Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Schlüssel importieren und exportieren
Sie können AWS Payment Cryptography-Schlüssel aus anderen Lösungen importieren und sie in andere Lösungen wie HSMs exportieren. Viele Kunden tauschen mithilfe der Import- und Exportfunktionen Schlüssel mit Dienstanbietern aus. Wir haben AWS Payment Cryptography so konzipiert, dass ein moderner, elektronischer Ansatz für die Schlüsselverwaltung verwendet wird, der Sie bei der Einhaltung von Vorschriften und Kontrollen unterstützt. Wir empfehlen, den standardbasierten elektronischen Schlüsselaustausch anstelle von papierbasierten Schlüsselkomponenten zu verwenden. Wenn Sie die Verarbeitung von Schlüsselkomponenten in Papierform so lange fortsetzen müssen, bis alle Partner den elektronischen Schlüsselaustausch unterstützen, können Sie Folgendes verwenden. Physischer Schlüsselaustausch
- Mindeststärken der Schlüssel und deren Auswirkung auf Import- und Exportfunktionen
-
PCI erfordert bestimmte Mindestschlüsselstärken für kryptografische Operationen, Schlüsselspeicherung und Schlüsselübertragung. Diese Anforderungen können sich ändern, wenn die PCI-Standards überarbeitet werden. Die Regeln legen fest, dass Wrapping-Schlüssel, die für die Speicherung oder den Transport verwendet werden, mindestens so stark sein müssen wie der zu schützende Schlüssel. Wir setzen diese Anforderung beim Export automatisch durch und verhindern, dass Schlüssel durch schwächere Schlüssel geschützt werden, wie in der folgenden Tabelle dargestellt.
Die folgende Tabelle zeigt die unterstützten Kombinationen aus Schlüsselumbruch, zu schützenden Schlüsseln und Schutzmethoden.
Schlüssel umschließen Der Schlüssel zum Schutz TDES_2KEY TDES_3KEY AES_128 AES_192 AES_256 RSA_2048 RSA_3072 RSA_4096 ECC_p256 ECC_p384 ECC_p521 Hinweise TDES_2-SCHLÜSSEL TR-31 TR-31 TR-31 TR-31 TR-31 TR-34, RSA TR-34, RSA TR-34, RSA ECDH ECDH ECDH TDES_3-SCHLÜSSEL ✗ Wird nicht unterstützt TR-31 TR-31 TR-31 TR-31 TR-34, RSA TR-34, RSA TR-34, RSA ECDH ECDH ECDH AES-128 ✗ Nicht unterstützt ✗ Nicht unterstützt TR-31 TR-31 TR-31 ✗ Nicht unterstützt TR-34, RSA TR-34, RSA ECDH ECDH ECDH AES_192 ✗ Nicht unterstützt ✗ Nicht unterstützt ✗ Nicht unterstützt TR-31 TR-31 ✗ Nicht unterstützt ✗ Nicht unterstützt ✗ Nicht unterstützt ✗ Nicht unterstützt ECDH ECDH AES_256 ✗ Nicht unterstützt ✗ Nicht unterstützt ✗ Nicht unterstützt ✗ Nicht unterstützt TR-31 ✗ Nicht unterstützt ✗ Nicht unterstützt ✗ Nicht unterstützt ✗ Nicht unterstützt ✗ Nicht unterstützt ECDH Weitere Informationen finden Sie in Anhang D — Minimale und äquivalente Schlüsselgrößen und -stärken für zugelassene Algorithmen
in den PCI-HSM-Standards. - Austausch von Schlüsselverschlüsselungsschlüsseln (KEK)
-
Wir empfehlen die Verwendung des X9.24 TR-34 ANSI-Standards. Dieser anfängliche Schlüsseltyp kann als Key Encryption Key (KEK), Zone Master Key (ZMK) oder Zone Control Master Key (ZCMK) bezeichnet werden. Wenn Ihre Systeme oder Partner TR-34 noch keinen Support bieten, können Sie RSA verwenden. Wrap/Unwrap Wenn Ihre Anforderungen den Austausch von AES-256 Schlüsseln beinhalten, können Sie ECDH ECDH verwenden.
Anmerkung
Um Ihre eigenen Testschlüssel zu importieren oder Schlüssel mit Ihren vorhandenen HSMs zu synchronisieren, lesen Sie bitte den AWS Payment Cryptography Beispielcode unter. GitHub
- Austausch von Arbeitsschlüsseln (WK)
-
Wir verwenden Industriestandards (ANSI X9.24 TR 31-2018 und X9.143) für den Austausch funktionierender Schlüssel. Dies setzt voraus, dass Sie bereits einen KEK mithilfe von RSA Wrap TR-34, ECDH oder ähnlichen Schemata ausgetauscht haben. Dieser Ansatz erfüllt die PCI-PIN-Anforderung, Schlüsselmaterial jederzeit kryptografisch an seinen Typ und seine Verwendung zu binden. Zu den Arbeitsschlüsseln gehören die Arbeitsschlüssel des Acquirers, die Arbeitsschlüssel des Ausstellers, BDK und IPEK.
