Benutzertyp Voraussetzungen Syntax Beispiel Argumente Verwandte Themen

Verifizieren Sie eine Signatur, die mit dem RSA-PKCS-PSS Mechanismus in der CloudHSM CLI signiert wurde

Verwenden Sie den crypto sign rsa-pkcs-pss Befehl in der CloudHSM-CLI, um die folgenden Vorgänge abzuschließen.

Bestätigen Sie, dass eine Datei im HSM mit einem bestimmten öffentlichen Schlüssel signiert wurde.
Stellen Sie sicher, dass die Signatur mithilfe des RSA-PKCS-PSS Signaturmechanismus generiert wurde.
Vergleicht eine signierte Datei mit einer Quelldatei und bestimmt anhand eines bestimmten öffentlichen RSA-Schlüssels und eines Signierungsmechanismus, ob die beiden kryptografisch verwandt sind.

Um den crypto verify rsa-pkcs-pss Befehl verwenden zu können, benötigen Sie zunächst einen öffentlichen RSA-Schlüssel in Ihrem Cluster. AWS CloudHSM Sie können einen öffentlichen RSA-Schlüssel mithilfe des Einen Schlüssel im PEM-Format mit CloudHSM CLI importieren Befehls oder des auspacken Befehls mit dem verify Attribut auf importieren. true

Anmerkung

Sie können mithilfe der CloudHSM-CLI mit den Unterbefehlen eine Signatur generieren. Die Kategorie Crypto Sign in CloudHSM CLI

Benutzertyp

Die folgenden Benutzertypen können diesen Befehl ausführen.

Crypto-Benutzer (CUs)

Voraussetzungen

Um diesen Befehl auszuführen, müssen Sie als CU angemeldet sein.

Syntax


aws-cloudhsm > help crypto verify rsa-pkcs-pss
Verify with the RSA-PKCS-PSS mechanism

Usage: crypto verify rsa-pkcs-pss --key-filter [<KEY_FILTER>...] --hash-function <HASH_FUNCTION> --mgf <MGF> --salt-length >SALT_LENGTH< <--data-path <DATA_PATH>|--data <DATA> <--signature-path <SIGNATURE_PATH>|--signature <SIGNATURE>>

Options:
      --cluster-id <CLUSTER_ID>
          Unique Id to choose which of the clusters in the config file to run the operation against. If not provided, will fall back to the value provided when interactive mode was started, or error
      --key-filter [<KEY_FILTER>...]
          Key reference (e.g. key-reference=0xabc) or space separated list of key attributes in the form of attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE to select a matching key
      --hash-function <HASH_FUNCTION>
          [possible values: sha1, sha224, sha256, sha384, sha512]
      --data-path <DATA_PATH>
          The path to the file containing the data to be verified
      --data <DATA>
          Base64 encoded data to be verified
      --signature-path <SIGNATURE_PATH>
          The path to where the signature is located
      --signature <SIGNATURE>
          Base64 encoded signature to be verified
      --data-type <DATA_TYPE>
          The type of data passed in, either raw or digest [possible values: raw, digest]
      --mgf <MGF>
          The mask generation function [possible values: mgf1-sha1, mgf1-sha224, mgf1-sha256, mgf1-sha384, mgf1-sha512]
      --salt-length <SALT_LENGTH>
          The salt length
  -h, --help
          Print help

Beispiel

Diese Beispiele zeigen, wie eine Signatur verifiziert wird, die mithilfe des RSA-PKCS-PSS Signierungsmechanismus und SHA256 der Hash-Funktion generiert wurde. crypto verify rsa-pkcs-pss Dieser Befehl verwendet einen öffentlichen Schlüssel im HSM.

Beispiel Beispiel: Überprüfen Sie eine Base64-kodierte Signatur mit Base64-kodierten Daten


aws-cloudhsm > crypto verify rsa-pkcs-pss \
    --key-filter attr.label=rsa-public \
    --hash-function sha256 \
    --data YWJjMTIz \
    --salt-length 10 \
    --mgf mgf1-sha256 \
    --signature H/z1rYVMzNAa31K4amE5MTiwGxDdCTgQXCJXRBKVOVm7ZuyI0fGE4sT/BUN+977mQEV2TqtWpTsiF2IpwGM1VfSBRt7h/g4o6YERm1tTQLl7q+AJ7uGGK37zCsWQrAo7Vy8NzPShxekePo/ZegrB1aHWN1fE8H3IPUKqLuMDI9o1Jq6kM986ExS7YmeOIclcZkyykTWqHLQVL2C3+A2bHJZBqRcM5XoIpk8HkPypjpN+m4FNUds30GAemoOMl6asSrEJSthaZWV53OBsDOqzA8Rt8JdhXS+GZp3vNLdL1OTBELDPweXVgAu4dBX0FOvpw/gg6sNvuaDK4YOBv2fqKg==
{
  "error_code": 0,
  "data": {
    "message": "Signature verified successfully"
  }
}

Beispiel Beispiel: Verifizieren Sie eine Signaturdatei mit einer Datendatei


aws-cloudhsm > crypto verify rsa-pkcs-pss \
    --key-filter attr.label=rsa-public \
    --hash-function sha256 \
    --data-path data.txt \
    --salt-length 10 \
    --mgf mgf1-sha256 \
    --signature-path signature-file
{
  "error_code": 0,
  "data": {
    "message": "Signature verified successfully"
  }
}

Beispiel Beispiel: Falsche Signaturbeziehung nachweisen

Mit diesem Befehl wird überprüft, ob die ungültigen Daten mit einem öffentlichen Schlüssel mit dem Etikett signiert wurden. Dabei wird der RSAPKCSPSS-Signaturmechanismus rsa-public verwendet, um die Signatur zu erzeugen, die sich in befindet. /home/signature Da die angegebenen Argumente keine echte Signaturbeziehung ausmachen, gibt der Befehl eine Fehlermeldung zurück.


aws-cloudhsm > crypto verify rsa-pkcs-pss \
    --key-filter attr.label=rsa-public \
    --hash-function sha256 \
    --data aW52YWxpZA== \
    --salt-length 10 \
    --mgf mgf1-sha256 \
    --signature H/z1rYVMzNAa31K4amE5MTiwGxDdCTgQXCJXRBKVOVm7ZuyI0fGE4sT/BUN+977mQEV2TqtWpTsiF2IpwGM1VfSBRt7h/g4o6YERm1tTQLl7q+AJ7uGGK37zCsWQrAo7Vy8NzPShxekePo/ZegrB1aHWN1fE8H3IPUKqLuMDI9o1Jq6kM986ExS7YmeOIclcZkyykTWqHLQVL2C3+A2bHJZBqRcM5XoIpk8HkPypjpN+m4FNUds30GAemoOMl6asSrEJSthaZWV53OBsDOqzA8Rt8JdhXS+GZp3vNLdL1OTBELDPweXVgAu4dBX0FOvpw/gg6sNvuaDK4YOBv2fqKg==
{
  "error_code": 1,
  "data": "Signature verification failed"
}

Argumente

<CLUSTER_ID>

Die ID des Clusters, auf dem dieser Vorgang ausgeführt werden soll.

Erforderlich: Wenn mehrere Cluster konfiguriert wurden.

<DATA>

Base64-kodierte Daten, die signiert werden sollen.

Erforderlich: Ja (sofern nicht über den Datenpfad angegeben)

<DATA_PATH>

Gibt den Speicherort der Daten an, die signiert werden sollen.

Erforderlich: Ja (sofern nicht über den Datenpfad angegeben)

<HASH_FUNCTION>

Gibt die Hash-Funktion an.

Zulässige Werte:

sha1
sha224
sha256
sha384
sha512

Erforderlich: Ja

<KEY_FILTER>

Tastenreferenz (z. B.key-reference=0xabc) oder durch Leerzeichen getrennte Liste von Schlüsselattributen in der Form von attr.KEY_ATTRIBUTE_NAME=KEY_ATTRIBUTE_VALUE zur Auswahl eines passenden Schlüssels.

Eine Liste der unterstützten CloudHSM-CLI-Schlüsselattribute finden Sie unter Schlüsselattribute für CloudHSM-CLI.

Erforderlich: Ja

<MFG>

Gibt die Funktion zur Maskengenerierung an.

Anmerkung

Die Hashfunktion der Maskengenerierungsfunktion muss der Hashfunktion des Signaturmechanismus entsprechen.

Zulässige Werte:

mgf1-sha1
mgf1-sha224
mgf1-sha256
mgf1-sha384
mgf1-sha512

Erforderlich: Ja

<SIGNATURE>

Base64-kodierte Signatur.

Erforderlich: Ja (sofern nicht über den Signaturpfad angegeben)

<SIGNATURE_PATH>

Gibt den Speicherort der Signatur an.

Erforderlich: Ja (sofern nicht über den Signaturpfad angegeben)

<DATA_TYPE>

Gibt an, ob der Wert des Datenparameters als Teil des Signaturalgorithmus gehasht werden soll. Wird raw für Daten ohne Hashing verwendet; wird digest für Digests verwendet, die bereits gehasht sind.

Zulässige Werte:

RAW
Digest