Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

# Unterstützte Mechanismen für AWS CloudHSM Client SDK 3
<a name="pkcs11-v3-mechanisms"></a>

Die PKCS \#11 -Bibliothek unterstützt die folgenden Algorithmen für das AWS CloudHSM Client-SDK 3:
+ **Verschlüsselung und Entschlüsselung** — AES-CBC, AES-CTR, AES-ECB, AES-GCM, -CBC, -ECB, RSA-OAEP und RSA-PKCS DES3 DES3
+ **Signieren und Verifizieren** – RSA, HMAC und ECDSA; mit und ohne Hashing
+ ** SHA1 SHA256 SHA384Hash/Digest SHA224 —,,, und** SHA512
+ **Key Wrap** – AES Key Wrap[4](#pkcs11-v3-mech4), AES-GCM, RSA-AES und RSA-OAEP
+ **Wichtige Ableitung** — ECDH, -108 CTR KDF [5](#pkcs11-v3-mech5) SP800

## Die Funktionstabelle des PKCS \#11-Bibliotheksmechanismus
<a name="pkcs11-v3-mech-function"></a>

Die PKCS \#11-Bibliothek entspricht Version 2.40 der PKCS \#11-Spezifikation. Um eine kryptographische Funktion mit PKCS\#11 aufzurufen, rufen Sie eine Funktion mit einem bestimmten Mechanismus auf. Die folgende Tabelle fasst die Kombinationen von Funktionen und Mechanismen zusammen, die von AWS CloudHSM unterstützt werden.

**Tabelle zur Interpretation der unterstützten PKCS \#11-Mechanismen und -Funktionen**  
Ein ✔ -Zeichen bedeutet, dass der Mechanismus für die AWS CloudHSM Funktion unterstützt wird. Wir unterstützen nicht alle möglichen Funktionen, die in der PKCS \#11 Spezifikation aufgeführt sind. Ein ✖ -Zeichen AWS CloudHSM bedeutet, dass der Mechanismus für die angegebene Funktion noch nicht unterstützt wird, obwohl der PKCS \#11 -Standard dies zulässt. Leere Zellen zeigen an, dass der PKCS \#11-Standard den Mechanismus für die angegebene Funktion nicht unterstützt.


**Unterstützte PKCS \#11-Bibliotheksmechanismen und -funktionen**  

<table>
<thead>
  <tr><th>Mechanismus</th><th colspan="7">Funktionen</th><th></th></tr>
</thead>
<tbody>
  <tr><td> </td><td>**Schlüssel generieren** oder **Schlüsselpaar**</td><td>**Signieren und prüfen**</td><td>**SR und VR**</td><td>**Digest**</td><td>**Verschlüsseln/Entschlüsseln**</td><td>**Schlüssel ableiten**</td><td>**Wickeln & UnWrap**</td><td></td></tr>
  <tr><td>`CKM_RSA_PKCS_KEY_PAIR_GEN`</td><td>**✔**</td><td> </td><td> </td><td> </td><td> </td><td> </td><td> </td><td></td></tr>
  <tr><td>`CKM_RSA_X9_31_KEY_PAIR_GEN`</td><td>**✔**[2](#pkcs11-v3-mech2)</td><td> </td><td> </td><td> </td><td> </td><td> </td><td> </td><td></td></tr>
  <tr><td>`CKM_RSA_X_509`</td><td> </td><td>**✔**</td><td> </td><td> </td><td>**✔**</td><td> </td><td> </td><td></td></tr>
  <tr><td>`CKM_RSA_PKCS`**siehe Hinweis [8](#pkcs11-v3-mech8)**</td><td> </td><td>✔[1](#pkcs11-v3-mech1)</td><td>✖</td><td> </td><td>✔[1](#pkcs11-v3-mech1)</td><td> </td><td>✔[1](#pkcs11-v3-mech1)</td><td></td></tr>
  <tr><td>`CKM_RSA_PKCS_OAEP`</td><td> </td><td> </td><td> </td><td> </td><td>**✔**[1](#pkcs11-v3-mech1)</td><td> </td><td>**✔**[6](#pkcs11-v3-mech6)</td><td></td></tr>
  <tr><td>`CKM_SHA1_RSA_PKCS`</td><td> </td><td>**✔**[3.2](#pkcs11-v3-mech3-2)</td><td> </td><td> </td><td> </td><td> </td><td> </td><td></td></tr>
  <tr><td>`CKM_SHA224_RSA_PKCS`</td><td> </td><td>**✔**[3.2](#pkcs11-v3-mech3-2)</td><td> </td><td> </td><td> </td><td> </td><td> </td><td></td></tr>
  <tr><td>`CKM_SHA256_RSA_PKCS`</td><td> </td><td>**✔**[3.2](#pkcs11-v3-mech3-2)</td><td> </td><td> </td><td> </td><td> </td><td> </td><td></td></tr>
  <tr><td>`CKM_SHA384_RSA_PKCS`</td><td> </td><td>**✔**[2](#pkcs11-v3-mech2),[3.2](#pkcs11-v3-mech3-2)</td><td> </td><td> </td><td> </td><td> </td><td> </td><td></td></tr>
  <tr><td>`CKM_SHA512_RSA_PKCS`</td><td> </td><td>**✔**[3.2](#pkcs11-v3-mech3-2)</td><td> </td><td> </td><td> </td><td> </td><td> </td><td></td></tr>
  <tr><td>`CKM_RSA_PKCS_PSS`</td><td> </td><td>**✔**[1](#pkcs11-v3-mech1)</td><td> </td><td> </td><td> </td><td> </td><td> </td><td></td></tr>
  <tr><td>`CKM_SHA1_RSA_PKCS_PSS`</td><td> </td><td>**✔**[3.2](#pkcs11-v3-mech3-2)</td><td> </td><td> </td><td> </td><td> </td><td> </td><td></td></tr>
  <tr><td>`CKM_SHA224_RSA_PKCS_PSS`</td><td> </td><td>**✔**[3.2](#pkcs11-v3-mech3-2)</td><td> </td><td> </td><td> </td><td> </td><td> </td><td></td></tr>
  <tr><td>`CKM_SHA256_RSA_PKCS_PSS`</td><td> </td><td>**✔**[3.2](#pkcs11-v3-mech3-2)</td><td> </td><td> </td><td> </td><td> </td><td> </td><td></td></tr>
  <tr><td>`CKM_SHA384_RSA_PKCS_PSS`</td><td> </td><td>**✔**[2](#pkcs11-v3-mech2),[3.2](#pkcs11-v3-mech3-2)</td><td> </td><td> </td><td> </td><td> </td><td> </td><td></td></tr>
  <tr><td>`CKM_SHA512_RSA_PKCS_PSS`</td><td> </td><td>**✔**[3.2](#pkcs11-v3-mech3-2)</td><td> </td><td> </td><td> </td><td> </td><td> </td><td></td></tr>
  <tr><td>`CKM_EC_KEY_PAIR_GEN`</td><td>**✔**</td><td> </td><td> </td><td> </td><td> </td><td> </td><td> </td><td></td></tr>
  <tr><td>`CKM_ECDSA`</td><td> </td><td>**✔**[1](#pkcs11-v3-mech1)</td><td> </td><td> </td><td> </td><td> </td><td> </td><td></td></tr>
  <tr><td>`CKM_ECDSA_SHA1`</td><td> </td><td>**✔**[3.2](#pkcs11-v3-mech3-2)</td><td> </td><td> </td><td> </td><td> </td><td> </td><td></td></tr>
  <tr><td>`CKM_ECDSA_SHA224`</td><td> </td><td>**✔**[3.2](#pkcs11-v3-mech3-2)</td><td> </td><td> </td><td> </td><td> </td><td> </td><td></td></tr>
  <tr><td>`CKM_ECDSA_SHA256`</td><td> </td><td>**✔**[3.2](#pkcs11-v3-mech3-2)</td><td> </td><td> </td><td> </td><td> </td><td> </td><td></td></tr>
  <tr><td>`CKM_ECDSA_SHA384`</td><td> </td><td>**✔**[3.2](#pkcs11-v3-mech3-2)</td><td> </td><td> </td><td> </td><td> </td><td> </td><td></td></tr>
  <tr><td>`CKM_ECDSA_SHA512`</td><td> </td><td>**✔**[3.2](#pkcs11-v3-mech3-2)</td><td> </td><td> </td><td> </td><td> </td><td> </td><td></td></tr>
  <tr><td>`CKM_ECDH1_DERIVE`</td><td> </td><td> </td><td> </td><td> </td><td> </td><td>**✔**[5](#pkcs11-v3-mech5)</td><td> </td><td></td></tr>
  <tr><td>`CKM_SP800_108_COUNTER_KDF`</td><td> </td><td> </td><td> </td><td> </td><td> </td><td>**✔**</td><td> </td><td></td></tr>
  <tr><td>`CKM_GENERIC_SECRET_KEY_GEN`</td><td>**✔**</td><td> </td><td> </td><td> </td><td> </td><td> </td><td> </td><td></td></tr>
  <tr><td>`CKM_AES_KEY_GEN`</td><td>**✔**</td><td> </td><td> </td><td> </td><td> </td><td> </td><td> </td><td></td></tr>
  <tr><td>`CKM_AES_ECB`</td><td> </td><td> </td><td> </td><td> </td><td>**✔**</td><td> </td><td>✖</td><td></td></tr>
  <tr><td>`CKM_AES_CTR`</td><td> </td><td> </td><td> </td><td> </td><td>**✔**</td><td> </td><td>✖</td><td></td></tr>
  <tr><td>`CKM_AES_CBC`</td><td> </td><td> </td><td> </td><td> </td><td>**✔**[3.3](#pkcs11-v3-mech3-3)</td><td> </td><td>✖</td><td></td></tr>
  <tr><td>`CKM_AES_CBC_PAD`</td><td> </td><td> </td><td> </td><td> </td><td>**✔**</td><td> </td><td>✖</td><td></td></tr>
  <tr><td>`CKM_DES3_KEY_GEN` **siehe Hinweis [8](#pkcs11-v3-mech8)**</td><td>**✔**</td><td> </td><td> </td><td> </td><td> </td><td> </td><td> </td><td></td></tr>
  <tr><td>`CKM_DES3_CBC` **siehe Hinweis [8](#pkcs11-v3-mech8)**</td><td> </td><td> </td><td> </td><td> </td><td>**✔**[3.3](#pkcs11-v3-mech3-3)</td><td> </td><td>✖</td><td></td></tr>
  <tr><td>`CKM_DES3_CBC_PAD` **siehe Hinweis [8](#pkcs11-v3-mech8)**</td><td> </td><td> </td><td> </td><td> </td><td>**✔**</td><td> </td><td>✖</td><td></td></tr>
  <tr><td>`CKM_DES3_ECB` **siehe Hinweis [8](#pkcs11-v3-mech8)**</td><td> </td><td> </td><td> </td><td> </td><td>**✔**</td><td> </td><td>✖</td><td></td></tr>
  <tr><td>`CKM_AES_GCM`</td><td> </td><td> </td><td> </td><td> </td><td>**✔**[3.3](#pkcs11-v3-mech3-3), [4](#pkcs11-v3-mech4) </td><td> </td><td>**✔**[7.1](#pkcs11-v3-mech7-1)</td><td></td></tr>
  <tr><td>`CKM_CLOUDHSM_AES_GCM`</td><td> </td><td> </td><td> </td><td> </td><td>**✔**[7.1](#pkcs11-v3-mech7-1)</td><td> </td><td>**✔**[7.1](#pkcs11-v3-mech7-1)</td><td></td></tr>
  <tr><td>`CKM_SHA_1`</td><td> </td><td> </td><td> </td><td>**✔**[3.1](#pkcs11-v3-mech3-1)</td><td> </td><td> </td><td> </td><td></td></tr>
  <tr><td>`CKM_SHA_1_HMAC`</td><td> </td><td>**✔**[3.3](#pkcs11-v3-mech3-3)</td><td> </td><td> </td><td> </td><td> </td><td> </td><td></td></tr>
  <tr><td>`CKM_SHA224`</td><td> </td><td> </td><td> </td><td>**✔**[3.1](#pkcs11-v3-mech3-1)</td><td> </td><td> </td><td> </td><td></td></tr>
  <tr><td>`CKM_SHA224_HMAC`</td><td> </td><td>**✔**[3.3](#pkcs11-v3-mech3-3)</td><td> </td><td> </td><td> </td><td> </td><td> </td><td></td></tr>
  <tr><td>`CKM_SHA256`</td><td> </td><td> </td><td> </td><td>**✔**[3.1](#pkcs11-v3-mech3-1)</td><td> </td><td> </td><td> </td><td></td></tr>
  <tr><td>`CKM_SHA256_HMAC`</td><td> </td><td>**✔**[3.3](#pkcs11-v3-mech3-3)</td><td> </td><td> </td><td> </td><td> </td><td> </td><td></td></tr>
  <tr><td>`CKM_SHA384`</td><td> </td><td> </td><td> </td><td>**✔**[3.1](#pkcs11-v3-mech3-1)</td><td> </td><td> </td><td> </td><td></td></tr>
  <tr><td>`CKM_SHA384_HMAC`</td><td> </td><td>**✔**[3.3](#pkcs11-v3-mech3-3)</td><td> </td><td> </td><td> </td><td> </td><td> </td><td></td></tr>
  <tr><td>`CKM_SHA512`</td><td> </td><td> </td><td> </td><td>**✔**[3.1](#pkcs11-v3-mech3-1)</td><td> </td><td> </td><td> </td><td></td></tr>
  <tr><td>`CKM_SHA512_HMAC`</td><td> </td><td>**✔**[3.3](#pkcs11-v3-mech3-3)</td><td> </td><td> </td><td> </td><td> </td><td> </td><td></td></tr>
  <tr><td>`CKM_RSA_AES_KEY_WRAP`</td><td> </td><td> </td><td> </td><td> </td><td> </td><td> </td><td>**✔**</td><td></td></tr>
  <tr><td>`CKM_AES_KEY_WRAP`</td><td> </td><td> </td><td> </td><td> </td><td> </td><td> </td><td>**✔**</td><td></td></tr>
  <tr><td>`CKM_AES_KEY_WRAP_PAD`</td><td> </td><td> </td><td> </td><td> </td><td> </td><td> </td><td>**✔**</td><td></td></tr>
  <tr><td>`CKM_CLOUDHSM_AES_KEY_WRAP_NO_PAD`</td><td> </td><td> </td><td> </td><td> </td><td> </td><td> </td><td>**✔**[7.1](#pkcs11-v3-mech7-1)</td><td></td></tr>
  <tr><td>`CKM_CLOUDHSM_AES_KEY_WRAP_PKCS5_PAD`</td><td> </td><td> </td><td> </td><td> </td><td> </td><td> </td><td>**✔**[7.1](#pkcs11-v3-mech7-1)</td><td></td></tr>
  <tr><td>`CKM_CLOUDHSM_AES_KEY_WRAP_ZERO_PAD`</td><td> </td><td> </td><td> </td><td> </td><td> </td><td> </td><td>**✔**[7.1](#pkcs11-v3-mech7-1)</td><td></td></tr>
</tbody>
</table>


**Anmerkungen zum Mechanismus**
+ [1] Nur Single-Part-Operationen.
+ [2] Der Mechanismus ist funktionell identisch mit dem `CKM_RSA_PKCS_KEY_PAIR_GEN`-Mechanismus, bietet aber stärkere Garantien für die `p`- und `q`-Generierung.
+ [3.1] AWS CloudHSM geht je nach Client-SDK unterschiedlich an das Hashing heran. Beim Client-SDK 3 hängt der Ort, an dem wir das Hashing durchführen, von der Datengröße ab und davon, ob Sie einteilige oder mehrteilige Operationen verwenden.

  **Einteilige Operationen im Client-SDK 3**

  In Tabelle 3.1 ist die maximale Datensatzgröße für jeden Mechanismus für das Client-SDK 3 aufgeführt. Der gesamte Hash wird innerhalb des HSM berechnet. Keine Unterstützung für Datengrößen über 16 KB.  
**Tabelle 3.1, Maximale Datensatzgröße für einteilige Operationen**    
[See the AWS documentation website for more details](http://docs.aws.amazon.com/de_de/cloudhsm/latest/userguide/pkcs11-v3-mechanisms.html)

  **Mehrteilige Operationen Client-SDK 3**

  Support für Datengrößen über 16 KB, aber die Datengröße bestimmt, wo das Hashing stattfindet. Datenpuffer mit weniger als 16 KB werden innerhalb des HSM gehasht. Puffer zwischen 16 KB und der maximalen Datengröße für Ihr System werden lokal in der Software gehasht. *Denken Sie daran*: Für Hash-Funktionen sind keine kryptografischen Geheimnisse erforderlich, sodass Sie sie sicher außerhalb des HSM berechnen können.
+ [3.2] AWS CloudHSM geht je nach Client-SDK unterschiedlich an das Hashing heran. Beim Client-SDK 3 hängt der Ort, an dem wir das Hashing durchführen, von der Datengröße ab und davon, ob Sie einteilige oder mehrteilige Operationen verwenden.

  **Einteilige Operationen Client-SDK 3**

  In Tabelle 3.2 ist die maximale Datensatzgröße für jeden Mechanismus für das Client-SDK 3 aufgeführt. Keine Unterstützung für Datengrößen über 16 KB.  
**Tabelle 3.2, Maximale Datensatzgröße für einteilige Operationen**    
[See the AWS documentation website for more details](http://docs.aws.amazon.com/de_de/cloudhsm/latest/userguide/pkcs11-v3-mechanisms.html)

  **Mehrteilige Operationen Client-SDK 3**

  Support für Datengrößen über 16 KB, aber die Datengröße bestimmt, wo das Hashing stattfindet. Datenpuffer mit weniger als 16 KB werden innerhalb des HSM gehasht. Puffer zwischen 16 KB und der maximalen Datengröße für Ihr System werden lokal in der Software gehasht. *Denken Sie daran*: Für Hash-Funktionen sind keine kryptografischen Geheimnisse erforderlich, sodass Sie sie sicher außerhalb des HSM berechnen können.
+ [3.3] Wenn der Datenpuffer die maximale Datengröße überschreitet, führt die Operation bei der Bearbeitung von Daten mittels eines der folgenden Mechanismen zu einem Fehler. Für diese Mechanismen muss die gesamte Datenverarbeitung innerhalb des HSM erfolgen. Die folgende Tabelle listet die maximale Datengröße für jeden Mechanismus auf:  
**Tabelle 3.3, Maximale Datensatzgröße**    
[See the AWS documentation website for more details](http://docs.aws.amazon.com/de_de/cloudhsm/latest/userguide/pkcs11-v3-mechanisms.html)
+ [4] Bei AES-GCM-Verschlüsselungen akzeptiert HSM keine Initialisierungsvektor (IV)-Daten von der Anwendung. Sie müssen einen erzeugten IV verwenden. Das vom HSM bereitgestellte 12 Byte IV wird in den referenzierten Speicherbereich geschrieben, auf den das pIV-Element der von Ihnen bereitgestellten `CK_GCM_PARAMS`-Parameterstruktur zeigt. Um Missverständnissen vorzubeugen: Das PKCS\#11-SDK in Version 1.1.1 und höher erzwingt, dass pIV auf einen auf Null zurückgesetzten Puffer verweist, wenn die AES-GCM-Verschlüsselung initialisiert wird.
+ [5] **Nur Client-SDK 3.** Der Mechanismus ist zur Unterstützung von SSL/TLS-Auslagerungsfällen implementiert und wird nur teilweise innerhalb des HSM ausgeführt. Bevor Sie diesen Mechanismus verwenden, lesen Sie „Problem: ECDH-Schlüsselableitung wird nur teilweise innerhalb des HSM ausgeführt“ in [Bekannte Probleme mit der PKCS \#11 -Bibliothek für AWS CloudHSMBekannte Probleme für den PKCS\#11-Bibliothek](ki-pkcs11-sdk.md). `CKM_ECDH1_DERIVE` unterstützt nicht die secp521r1 (P-521) Kurve.
+ [6] Die folgenden `CK_MECHANISM_TYPE` und `CK_RSA_PKCS_MGF_TYPE` werden als `CK_RSA_PKCS_OAEP_PARAMS` für `CKM_RSA_PKCS_OAEP` unterstützt:
  + `CKM_SHA_1` mit `CKG_MGF1_SHA1`
  + `CKM_SHA224` mit `CKG_MGF1_SHA224`
  + `CKM_SHA256` mit `CKG_MGF1_SHA256`
  + `CKM_SHA384` mit `CKM_MGF1_SHA384`
  + `CKM_SHA512` mit `CKM_MGF1_SHA512`
+ [7.1] Vom Anbieter definierter Mechanismus. Um die von anbieterdefinierten CloudHSM-Mechanismen zu verwenden, müssen PKCS \#11 -Anwendungen während der Kompilierung `/opt/cloudhsm/include/pkcs11/cloudhsm_pkcs11_vendor_defs.h` enthalten. 

  `CKM_CLOUDHSM_AES_GCM`: Dieser proprietäre Mechanismus ist eine programmatisch sicherere Alternative zum Standard `CKM_AES_GCM`. Er stellt die vom HSM generierte IV dem Chiffretext voran, anstatt sie zurück in die `CK_GCM_PARAMS`- Struktur zu schreiben, die während der Chiffrierinitialisierung bereitgestellt wird. Sie können diesen Mechanismus mit `C_Encrypt`-, `C_WrapKey`-, `C_Decrypt`- und `C_UnwrapKey`-Funktionen verwenden. Bei Verwendung dieses Mechanismus muss die pIV-Variable in der `CK_GCM_PARAMS`-Struktur auf `NULL` gesetzt werden. Wenn Sie diesen Mechanismus mit `C_Decrypt` und `C_UnwrapKey` verwenden, wird erwartet, dass der IV dem Verschlüsselungstext vorangestellt wird, der entpackt werden soll.

  `CKM_CLOUDHSM_AES_KEY_WRAP_PKCS5_PAD`: AES-Verschlüsselung mit PKCS \#5 Padding

  `CKM_CLOUDHSM_AES_KEY_WRAP_ZERO_PAD`: AES-Verschlüsselung mit Zero Padding

  Weitere Informationen zum AES-Packen mit Schlüssel finden Sie unter [AES Key Wrapping](manage-aes-key-wrapping.md). 
+ [8] Gemäß den NIST-Richtlinien ist dies für Cluster im FIPS-Modus nach 2023 nicht zulässig. Für Cluster im Nicht-FIPS-Modus ist dies auch nach 2023 zulässig. Details dazu finden Sie unter [FIPS-140-Konformität: Mechanismus 2024 nicht mehr unterstützt](compliance-dep-notif.md#compliance-dep-notif-1).