Benutzertyp Voraussetzungen Syntax Beispiel Argumente Verwandte Themen

Generieren Sie eine Signatur mit dem PureEd DSA-Mechanismus in CloudHSM CLI

Wichtig

PureEdDSA-Signaturvorgänge werden nur auf hsm2m.medium-Instances im Nicht-FIPS-Modus unterstützt.

Verwenden Sie den crypto sign ed25519 Befehl in der CloudHSM-CLI, um eine Signatur mithilfe eines privaten Ed25519-Schlüssels und des DSA-Signaturmechanismus zu generieren. PureEd PureEdDSA (auch Ed25519 genannt) signiert die Rohnachricht direkt ohne Prehashing, wie in RFC 8032, Abschnitt 5.1.6 auf der IETF-Website definiert.

Anmerkung

Die maximale Nachrichtengröße für DSA beträgt 16.000 Byte. PureEd Verwenden Sie für größere Nachrichten. Generieren Sie eine Signatur mit dem HashEd DSA-Mechanismus in CloudHSM CLI

Um den crypto sign ed25519 Befehl verwenden zu können, benötigen Sie zunächst einen privaten Ed25519-Schlüssel in Ihrem AWS CloudHSM Cluster. Sie können einen privaten Ed25519-Schlüssel generieren, indem Sie den Generieren Sie ein asymmetrisches EC-Schlüsselpaar mit CloudHSM CLI Befehl verwenden, bei dem der curve Parameter auf ed25519 und das sign Attribut auf gesetzt ist. true

Anmerkung

Signaturen können AWS CloudHSM mit Die Krypto-Verifizierungskategorie in CloudHSM CLI Unterbefehlen verifiziert werden.

Benutzertyp

Die folgenden Benutzertypen können diesen Befehl ausführen.

Crypto-Benutzer (CUs)

Voraussetzungen

Um diesen Befehl auszuführen, müssen Sie als CU angemeldet sein.
PureEdDSA-Signaturvorgänge werden nur auf hsm2m.medium-Instances im Nicht-FIPS-Modus unterstützt.
Die Nachrichtendaten dürfen nicht größer als 16.000 Byte sein. Verwenden Generieren Sie eine Signatur mit dem HashEd DSA-Mechanismus in CloudHSM CLI Sie für größere Nachrichten.

Syntax


aws-cloudhsm > help crypto sign ed25519
Sign with the Ed25519 mechanism

Usage: crypto sign ed25519 [OPTIONS] --key-filter [<KEY_FILTER>...] <--data-path <DATA_PATH>|--data <DATA>>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --key-filter [<KEY_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a matching key
      --data-path <DATA_PATH>
          The path to the file containing the data to be signed
      --data <DATA>
          Base64 Encoded data to be signed
      --approval <APPROVAL>
          Filepath of signed quorum token file to approve operation
  -h, --help
          Print help

Beispiel

Diese Beispiele zeigen, wie eine Signatur mithilfe des PureEd DSA-Signaturmechanismus generiert wird. crypto sign ed25519 Mit diesem Befehl wird die Rohnachricht direkt und ohne Prehashing signiert. Dieser Befehl verwendet einen privaten Ed25519-Schlüssel im HSM.

Beispiel Beispiel: Generieren Sie eine Signatur für Base-64-kodierte Daten


aws-cloudhsm > crypto sign ed25519 \
    --key-filter attr.label=ed25519-private \
    --data YWJj
{
  "error_code": 0,
  "data": {
    "key-reference": "0x00000000006c1507",
    "signature": "NjWz797ntYSLFwg7nKYYdn+On3cCMj4zKz059wadVVlBHxyxe4JrSZxgekwb9AYR5xFxuVE9dTnDSo+gCaW/CQ=="
  }
}

Beispiel Beispiel: Generieren Sie eine Signatur für eine Datendatei


aws-cloudhsm > crypto sign ed25519 \
    --key-filter attr.label=ed25519-private \
    --data-path data.txt
{
  "error_code": 0,
  "data": {
    "key-reference": "0x00000000006c1507",
    "signature": "NjWz797ntYSLFwg7nKYYdn+On3cCMj4zKz059wadVVlBHxyxe4JrSZxgekwb9AYR5xFxuVE9dTnDSo+gCaW/CQ=="
  }
}

Argumente

<CLUSTER_ID>

Die ID des Clusters, auf dem dieser Vorgang ausgeführt werden soll.

Erforderlich: Wenn mehrere Cluster konfiguriert wurden.

<DATA>

Base64-kodierte Daten, die signiert werden sollen. Die dekodierten Daten dürfen nicht größer als 16.000 Byte sein.

Erforderlich: Ja (sofern nicht über den Datenpfad bereitgestellt)

<DATA_PATH>

Gibt den Speicherort der Daten an, die signiert werden sollen. Der Dateiinhalt darf nicht größer als 16.000 Byte sein.

Erforderlich: Ja (sofern nicht durch den Datenparameter angegeben)

<KEY_FILTER>

Schlüsselreferenz (z. B.key-reference=0xabc) oder durch Leerzeichen getrennte Liste von Schlüsselattributen in der Form von attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE zur Auswahl eines passenden Schlüssels.

Eine Liste der unterstützten CloudHSM-CLI-Schlüsselattribute finden Sie unter. Schlüsselattribute für CloudHSM-CLI

Erforderlich: Ja

<APPROVAL>

Gibt den Dateipfad zu einer signierten Quorum-Token-Datei an, um den Vorgang zu genehmigen. Nur erforderlich, wenn der Quorumwert des privaten Schlüssels für den Key Usage Service größer als 1 ist.

Erforderlich: Nein