Versionen von AWS Encryption SDK

Version 1.7. x führt neue Konstruktoren für AWS-Verschlüsselungs-SDK for Java und ein, AWS-Verschlüsselungs-SDK for Python die explizit AWS KMS Masterkey-Anbieter entweder im Strict-Modus oder im Discovery-Modus erstellen. Diese Version fügt der AWS Encryption SDK Befehlszeilenschnittstelle (CLI) ähnliche Änderungen hinzu. Details hierzu finden Sie unter Aktualisierung der AWS KMS Hauptschlüsselanbieter.

Die Konstruktoren, die frühere Versionen von AWS KMS Masterkey-Providern erstellen, sind in Version 1.7 veraltet. x und in Version 2.0 entfernt. x. Diese Konstruktoren instanziieren Masterkey-Anbieter, die mithilfe der von Ihnen angegebenen Wrapping-Schlüssel verschlüsseln. Sie entschlüsseln jedoch verschlüsselte Datenschlüssel mithilfe des Wrapping-Schlüssels, mit dem sie verschlüsselt wurden, ohne Rücksicht auf die angegebenen Wrapping-Schlüssel. Benutzer können unbeabsichtigt Nachrichten mit Wrapping-Schlüsseln entschlüsseln, die sie nicht verwenden möchten, auch AWS KMS keys in anderen AWS-Konten und Regionen.

An den Konstruktoren für AWS KMS Hauptschlüssel wurden keine Änderungen vorgenommen. Beim Verschlüsseln und Entschlüsseln verwenden AWS KMS Hauptschlüssel nur AWS KMS key die von Ihnen angegebenen Schlüssel.

Version 1.7. x fügt den AWS-Verschlüsselungs-SDK for C und AWS-Verschlüsselungs-SDK for JavaScript -Implementierungen einen neuen Filter hinzu, der die AWS KMS Erkennungsschlüsselringe auf bestimmte beschränkt. AWS-Konten Dieser neue Kontofilter ist optional, aber es handelt sich um eine bewährte Methode, die wir empfehlen. Details hierzu finden Sie unter AWS KMS Schlüsselanhänger aktualisieren.

An den Konstruktoren für AWS KMS Schlüsselanhänger wurden keine Änderungen vorgenommen. AWS KMS Standardschlüsselringe verhalten sich im strikten Modus wie Masterkey-Anbieter. AWS KMS Discovery-Schlüsselringe werden explizit im Discovery-Modus erstellt.

Ab Version 1.7. x, beim Entschlüsseln verschlüsselter Datenschlüssel gibt das AWS KMS key in seinen Aufrufen der AWS KMS https://docs.aws.amazon.com/kms/latest/APIReference/API_Decrypt.html Decrypt-Operation AWS Encryption SDK immer an an. Der AWS Encryption SDK ruft den Schlüssel-ID-Wert für den AWS KMS key aus den Metadaten in jedem verschlüsselten Datenschlüssel ab. Für diese Funktion sind keine Codeänderungen erforderlich.

Die Angabe der Schlüssel-ID von AWS KMS key ist nicht erforderlich, um Chiffretext zu entschlüsseln, der mit einem KMS-Schlüssel für symmetrische Verschlüsselung verschlüsselt wurde, aber es ist eine bewährte Methode. AWS KMS Wie bei der Angabe von Wrapping-Schlüsseln in Ihrem Schlüsselanbieter wird bei dieser Vorgehensweise sichergestellt, dass AWS KMS nur der Wrapping-Schlüssel verwendet wird, den Sie verwenden möchten.

Version 1.7. x kann Chiffretext entschlüsseln, der mit oder ohne Schlüsselbindung verschlüsselt wurde. Chiffretext mit Schlüsselbindung kann es jedoch nicht verschlüsseln. Mit dieser Eigenschaft können Sie Anwendungen, die mit Schlüsselbindung verschlüsselten Chiffretext entschlüsseln können, vollständig bereitstellen, bevor sie auf einen solchen Chiffretext stoßen. Da diese Version Nachrichten entschlüsselt, die ohne Schlüsselbindung verschlüsselt wurden, müssen Sie keinen Chiffretext erneut verschlüsseln.

Um dieses Verhalten zu implementieren, Version 1.7. x enthält eine neue Konfigurationseinstellung für die Commitment-Richtlinie, die festlegt, ob mit Schlüsselzusage verschlüsselt oder entschlüsselt werden AWS Encryption SDK kann. In Version 1.7. x, der einzig gültige Wert für die Commitment-PolicyForbidEncryptAllowDecrypt, wird bei allen Verschlüsselungs- und Entschlüsselungsvorgängen verwendet. Dieser Wert AWS Encryption SDK verhindert die Verschlüsselung mit einer der neuen Algorithmus-Suites, die eine Schlüsselzusage beinhalten. Er ermöglicht es, Chiffretext mit und ohne Schlüsselbindung AWS Encryption SDK zu entschlüsseln.

In Version 1.7 gibt es zwar nur einen gültigen Wert für die Commitment-Richtlinie. x, wir verlangen, dass Sie diesen Wert explizit festlegen können, wenn Sie die neuen APIs verwenden, die in dieser Version eingeführt wurden. Wenn Sie den Wert explizit festlegen, wird verhindert, dass sich Ihre Verpflichtungsrichtlinie automatisch auf den require-encrypt-require-decrypt Zeitpunkt ändert, an dem Sie auf Version 2.1 aktualisieren. x. Stattdessen können Sie Ihre Verpflichtungsrichtlinie schrittweise migrieren.

Version 1.7. x enthält zwei neue Algorithmus-Suiten, die Key Commitment unterstützen. Eine beinhaltet das Signieren, die andere nicht. Wie frühere unterstützte Algorithmus-Suites enthalten auch diese beiden neuen Algorithmus-Suites Verschlüsselung mit AES-GCM, einem 256-Bit-Verschlüsselungsschlüssel und einer Funktion zum HMAC-based Extrahieren und Erweitern der Schlüsselableitung (HKDF).

Die für die Verschlüsselung verwendete Standard-Algorithmussuite ändert sich jedoch nicht. Diese Algorithmus-Suites wurden zu Version 1.7 hinzugefügt. x, um Ihre Anwendung für die Verwendung in den Versionen 2.0 vorzubereiten. x und später.

Version 1.7. x führt Änderungen an der CMM-Schnittstelle (Default Cryptographic Materials Manager) ein, um die Schlüsselbindung zu unterstützen. Diese Änderung betrifft Sie nur, wenn Sie ein benutzerdefiniertes CMM geschrieben haben. Einzelheiten finden Sie in der API-Dokumentation oder im GitHub Repository für Ihre Programmiersprache.

Die ursprünglichen AWS KMS Masterkey-Provider-Konstruktoren, die in Version 1.7 veraltet waren. x wurden in Version 2.0 entfernt. x. Sie müssen AWS KMS Masterkey-Anbieter explizit im strikten Modus oder im Discovery-Modus erstellen.

Version 2.0. x kann Chiffretext mit oder ohne Schlüsselbindung verschlüsseln und entschlüsseln. Wichtiges Engagement Sein Verhalten wird durch die Festlegung der Verpflichtungsrichtlinie bestimmt. Standardmäßig verschlüsselt es immer mit Schlüsselzusage und entschlüsselt nur Chiffretext, der mit Schlüsselzusage verschlüsselt wurde. Sofern Sie die Commitment-Richtlinie nicht ändern, AWS Encryption SDK werden Chiffretexte, die mit einer früheren Version von, einschließlich Version 1.7, verschlüsselt wurden, nicht entschlüsselt. AWS Encryption SDKx.

In Version 2.0. x, die Richtlinieneinstellung „Verpflichtungen“ hat drei gültige Werte:

Wenn Sie von einer früheren Version von auf Version 2.0 migrieren. AWS Encryption SDK x, setzen Sie die Commitment-Policy auf einen Wert, der sicherstellt, dass Sie alle vorhandenen Chiffretexte entschlüsseln können, auf die Ihre Anwendung stoßen könnte. Sie werden diese Einstellung wahrscheinlich im Laufe der Zeit anpassen.

Um den Umgang mit digitalen Signaturen beim Entschlüsseln zu verbessern, AWS Encryption SDK umfasst das die folgenden Funktionen:

Sie können die Anzahl der verschlüsselten Datenschlüssel in einer verschlüsselten Nachricht einschränken. Mit dieser Funktion können Sie beim Verschlüsseln einen falsch konfigurierten Masterkey-Anbieter oder Schlüsselbund erkennen oder beim Entschlüsseln bösartigen Chiffretext erkennen.

Sie sollten die Anzahl der verschlüsselten Datenschlüssel einschränken, wenn Sie Nachrichten aus einer nicht vertrauenswürdigen Quelle entschlüsseln. Es verhindert unnötige, teure und potenziell erschöpfende Aufrufe Ihrer wichtigsten Infrastruktur.