amazon-kms - 关键管理服务

Question

Amazon Key Management Services 背后使用哪些算法或加密方法？

我搜索了它，但只找到了与配置相关的信息，而不是集成信息。

Answer 1

我会在这个答案的开头说，如果你真的感兴趣，KMS Cryptographic Details document写得非常好，很详细，推荐您阅读。

KMS key 有两种类型:客户主 key (CMK) 和数据 key (DK)。客户主 key 永远不会离开 AWS 基础设施，它们是通过 API call 生成的。有一个警告:它们可以由 AWS 客户(也称为您)通过 this 提供。和 this API 调用。数据 key 通过 API call 生成。该 API 返回 key 的“明文”版本和加密版本。此加密是使用 CMK 完成的。

KMS 仅使用对称加密，根据 developer guide .

因此，要回答您的问题(KMS 使用什么算法)，请看一下此图(取自 here ):

图片底部的加密算法是用于加密DK的算法。从上面链接的加密详细信息文档:

AWS KMS uses configurable cryptographic algorithms so that the system can quickly migrate from one algorithm, or mode, to another. The initial default set of cryptographic algorithms has been selected from Federal Information Processing Standard (FIPS-approved algorithms) for their security properties and performance.

还有:

All symmetric key encrypt commands used within the HSA use the Advanced Encryption Standards (AES), in Galois Counter Mode (GCM) using 256-bit keys. The analogous calls to decrypt use the inverse function.

生成 DK 后，您可以使用您想要的算法和标准自行执行加密和解密(这就是上图顶部的加密算法)。但目前您可以生成的唯一 DK 类型是 AES，并且您只能选择需要 128 位还是 256 位 ( docs )。

为了完整起见，当您导入主 key 时，您通常会 wrap your key material使用 RSA(2048 位)。