Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
# Unterstützte Mechanismen für die PKCS \$111 -Bibliothek für AWS CloudHSM das Client-SDK 5
Die PKCS \$111-Bibliothek entspricht Version 2.40 der PKCS \$111-Spezifikation. Um eine kryptographische Funktion mit PKCS\$111 aufzurufen, rufen Sie eine Funktion mit einem bestimmten Mechanismus auf. In den folgenden Abschnitten werden die vom AWS CloudHSM Client SDK 5 unterstützten Kombinationen von Funktionen und Mechanismen zusammengefasst.
Die PKCS \$111-Bibliothek unterstützt die folgenden Algorithmen:
+ **Verschlüsselung und Entschlüsselung** — AES-CBC, AES-CTR, AES-ECB, AES-GCM, -CBC, -ECB, RSA-OAEP und RSA-PKCS DES3 DES3
+ **Signieren und Verifizieren** – RSA, HMAC und ECDSA; mit und ohne Hashing
+ ** SHA1 SHA256 SHA384Hash/Digest SHA224 —,,, und** SHA512
+ **Key Wrap** – AES Key Wrap[1](#mech1), AES-GCM, RSA-AES und RSA-OAEP
+ **Schlüsselableitung** — SP800 -108 Counter KDF und ECDH mit KDF (Unterstützte KDF-Algorithmen sind X9.63 mit,,,,) SHA1 SHA224 SHA256 SHA384 SHA512
**Topics**
+ [Schlüssel- und Schlüsselpaarfunktionen generieren](#pkcs11-mech-function-genkey)
+ [Funktionen zum Signieren und Überprüfen](#pkcs11-mech-function-signverify)
+ [Funktionen zur Signierung, Wiederherstellung und Überprüfung der Wiederherstellung](#pkcs11-mech-function-sr-vr)
+ [Digest-Funktionen](#pkcs11-mech-function-digest)
+ [Funktionen zum Verschlüsseln und Entschlüsseln](#pkcs11-mech-function-enc-dec)
+ [Schlüsselfunktionen ableiten](#pkcs11-mech-function-derive-key)
+ [Funktionen „Packen“ und „Entpacken“](#pkcs11-mech-function-wrap-unwrap)
+ [Maximale Datengröße für jeden Mechanismus](#pkcs11-mech-max)
+ [Anmerkungen zum Mechanismus](#pkcs11-mech-annotations)
## Schlüssel- und Schlüsselpaarfunktionen generieren
AWS CloudHSM Mit der Softwarebibliothek für die PKCS \$111 -Bibliothek können Sie die folgenden Mechanismen für die Funktionen Schlüssel generieren und Schlüsselpaar verwenden.
+ `CKM_RSA_PKCS_KEY_PAIR_GEN`
+ `CKM_RSA_X9_31_KEY_PAIR_GEN` – Dieser Mechanismus ist funktionell identisch mit dem `CKM_RSA_PKCS_KEY_PAIR_GEN`-Mechanismus, aber bietet stärkere Garantien für die Generierung von `p` und `q`.
+ `CKM_EC_KEY_PAIR_GEN`
+ `CKM_GENERIC_SECRET_KEY_GEN`
+ `CKM_AES_KEY_GEN`
+ `CKM_DES3_KEY_GEN` – bevorstehende Änderung in der Fußnote [5](#mech5) aufgeführt.
## Funktionen zum Signieren und Überprüfen
Mit der AWS CloudHSM Softwarebibliothek für PKCS \$111 können Sie die folgenden Mechanismen für die Funktionen Signieren und Überprüfen verwenden. Mit Client-SDK 5 werden die Daten lokal in der Software gehasht. Das bedeutet, dass die Größe der Daten, die vom SDK gehasht werden können, unbegrenzt ist.
Mit Client-SDK 5 erfolgt das RSA- und ECDSA-Hashing lokal, sodass es kein Datenlimit gibt. Bei HMAC gibt es ein Datenlimit. Weitere Informationen finden Sie in der Fußnote [2](#mech2).
**RSA**
+ `CKM_RSA_X_509`
+ `CKM_RSA_PKCS` – Nur Single-Part-Operationen.
+ `CKM_RSA_PKCS_PSS` – Nur Single-Part-Operationen.
+ `CKM_SHA1_RSA_PKCS`
+ `CKM_SHA224_RSA_PKCS`
+ `CKM_SHA256_RSA_PKCS`
+ `CKM_SHA384_RSA_PKCS`
+ `CKM_SHA512_RSA_PKCS`
+ `CKM_SHA512_RSA_PKCS`
+ `CKM_SHA1_RSA_PKCS_PSS`
+ `CKM_SHA224_RSA_PKCS_PSS`
+ `CKM_SHA256_RSA_PKCS_PSS`
+ `CKM_SHA384_RSA_PKCS_PSS`
+ `CKM_SHA512_RSA_PKCS_PSS`
**ECDSA**
+ `CKM_ECDSA` – Nur Single-Part-Operationen.
+ `CKM_ECDSA_SHA1`
+ `CKM_ECDSA_SHA224`
+ `CKM_ECDSA_SHA256`
+ `CKM_ECDSA_SHA384`
+ `CKM_ECDSA_SHA512`
**HMAC**
+ `CKM_SHA_1_HMAC`[2](#mech2)
+ `CKM_SHA224_HMAC`[2](#mech2)
+ `CKM_SHA256_HMAC`[2](#mech2)
+ `CKM_SHA384_HMAC`[2](#mech2)
+ `CKM_SHA512_HMAC`[2](#mech2)
**CMAC**
+ `CKM_AES_CMAC`
## Funktionen zur Signierung, Wiederherstellung und Überprüfung der Wiederherstellung
Das Client-SDK 5 unterstützt die Funktionen Sign Recover und Verify Recover nicht.
## Digest-Funktionen
Mit der AWS CloudHSM Softwarebibliothek für PKCS \$111 können Sie die folgenden Mechanismen für Digest-Funktionen verwenden. Mit Client-SDK 5 werden die Daten lokal in der Software gehasht. Das bedeutet, dass die Größe der Daten, die vom SDK gehasht werden können, unbegrenzt ist.
+ `CKM_SHA_1`
+ `CKM_SHA224`
+ `CKM_SHA256`
+ `CKM_SHA384`
+ `CKM_SHA512`
## Funktionen zum Verschlüsseln und Entschlüsseln
Mit der AWS CloudHSM Softwarebibliothek für PKCS \$111 können Sie die folgenden Mechanismen für Verschlüsselungs- und Entschlüsselungsfunktionen verwenden.
+ `CKM_RSA_X_509`
+ `CKM_RSA_PKCS` – Nur Single-Part-Operationen. Bevorstehende Änderung in der Fußnote [5](#mech5) aufgeführt.
+ `CKM_RSA_PKCS_OAEP` – Nur Single-Part-Operationen.
+ `CKM_AES_ECB`
+ `CKM_AES_CTR`
+ `CKM_AES_CBC`
+ `CKM_AES_CBC_PAD`
+ `CKM_DES3_CBC` – bevorstehende Änderung in der Fußnote [5](#mech5) aufgeführt.
+ `CKM_DES3_ECB` – bevorstehende Änderung in der Fußnote [5](#mech5) aufgeführt.
+ `CKM_DES3_CBC_PAD` – bevorstehende Änderung in der Fußnote [5](#mech5) aufgeführt.
+ `CKM_AES_GCM` [1](#mech1), [2](#mech2)
+ `CKM_CLOUDHSM_AES_GCM`[3](#mech3)
## Schlüsselfunktionen ableiten
Die AWS CloudHSM Softwarebibliothek für die PKCS \$111 -Bibliothek unterstützt die folgenden wichtigen Ableitungsmechanismen:
+ `CKM_SP800_108_COUNTER_KDF`
+ `CKM_ECDH1_DERIVE`- Unterstützt die ECDH-Schlüsselableitung mit den folgenden herstellerdefinierten KDF-Typen: [6](#kdf6)
+ `CKD_CLOUDHSM_X963_SHA1_KDF`- X9.63 KDF mit SHA1 [7](#kdf7)
+ `CKD_CLOUDHSM_X963_SHA224_KDF`- X9.63 KDF mit SHA224 [7](#kdf7)
+ `CKD_CLOUDHSM_X963_SHA256_KDF`- X9.63 KDF mit SHA256 [7](#kdf7)
+ `CKD_CLOUDHSM_X963_SHA384_KDF`- X9.63 KDF mit SHA384 [7](#kdf7)
+ `CKD_CLOUDHSM_X963_SHA512_KDF`- X9.63 KDF mit SHA512 [7](#kdf7)
## Funktionen „Packen“ und „Entpacken“
Die AWS CloudHSM Softwarebibliothek für die PKCS \$111 -Bibliothek ermöglicht es Ihnen, die folgenden Mechanismen für die Funktionen Wrap und Unwrap zu verwenden.
Weitere Informationen zum AES-Packen mit Schlüssel finden Sie unter [AES Key Wrapping](manage-aes-key-wrapping.md).
+ `CKM_RSA_PKCS` – Nur Single-Part-Operationen. Bevorstehende Änderung in der Fußnote [5](#mech5) aufgeführt.
+ `CKM_RSA_PKCS_OAEP`[4](#mech4)
+ `CKM_AES_GCM`[1](#mech1), [3](#mech3)
+ `CKM_CLOUDHSM_AES_GCM`[3](#mech3)
+ `CKM_RSA_AES_KEY_WRAP`
+ `CKM_CLOUDHSM_AES_KEY_WRAP_NO_PAD`[3](#mech3)
+ `CKM_CLOUDHSM_AES_KEY_WRAP_PKCS5_PAD`[3](#mech3)
+ `CKM_CLOUDHSM_AES_KEY_WRAP_ZERO_PAD`[3](#mech3)
## Maximale Datengröße für jeden Mechanismus
Die folgende Tabelle listet die maximale Datengröße für jeden Mechanismus auf:.
**Maximale Datensatzgröße**
[\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/de_de/cloudhsm/latest/userguide/pkcs11-mechanisms.html)
## Anmerkungen zum Mechanismus
+ [1] Bei AES-GCM-Verschlüsselungen akzeptiert HSM keine Initialisierungsvektor (IV)-Daten von der Anwendung. Sie müssen einen erzeugten IV verwenden. Das vom HSM bereitgestellte 12 Byte IV wird in den referenzierten Speicherbereich geschrieben, auf den das pIV-Element der von Ihnen bereitgestellten `CK_GCM_PARAMS`-Parameterstruktur zeigt. Um Missverständnissen vorzubeugen: Das PKCS\$111-SDK in Version 1.1.1 und höher erzwingt, dass pIV auf einen auf Null zurückgesetzten Puffer verweist, wenn die AES-GCM-Verschlüsselung initialisiert wird.
+ [2] Wenn der Datenpuffer die maximale Datengröße überschreitet, führt die Operation bei der Bearbeitung von Daten mittels eines der folgenden Mechanismen zu einem Fehler. Für diese Mechanismen muss die gesamte Datenverarbeitung innerhalb des HSM erfolgen. Informationen zur maximalen Datengröße für jeden Mechanismus finden Sie unter[Maximale Datengröße für jeden Mechanismus](#pkcs11-mech-max).
+ [3] Anbieterdefinierter Mechanismus. Um die von anbieterdefinierten CloudHSM-Mechanismen zu verwenden, müssen PKCS \$111 -Anwendungen während der Kompilierung `/opt/cloudhsm/include/pkcs11/pkcs11t.h` enthalten.
`CKM_CLOUDHSM_AES_GCM`: Dieser proprietäre Mechanismus ist eine programmatisch sicherere Alternative zum Standard `CKM_AES_GCM`. Er stellt die vom HSM generierte IV dem Chiffretext voran, anstatt sie zurück in die `CK_GCM_PARAMS`- Struktur zu schreiben, die während der Chiffrierinitialisierung bereitgestellt wird. Sie können diesen Mechanismus mit `C_Encrypt`-, `C_WrapKey`-, `C_Decrypt`- und `C_UnwrapKey`-Funktionen verwenden. Bei Verwendung dieses Mechanismus muss die pIV-Variable in der `CK_GCM_PARAMS`-Struktur auf `NULL` gesetzt werden. Wenn Sie diesen Mechanismus mit `C_Decrypt` und `C_UnwrapKey` verwenden, wird erwartet, dass der IV dem Verschlüsselungstext vorangestellt wird, der entpackt werden soll.
`CKM_CLOUDHSM_AES_KEY_WRAP_PKCS5_PAD`: AES-Verschlüsselung mit PKCS \$15 Padding.
`CKM_CLOUDHSM_AES_KEY_WRAP_ZERO_PAD`: AES-Verschlüsselung mit Zero Padding.
+ [4] Die folgenden `CK_MECHANISM_TYPE` und `CK_RSA_PKCS_MGF_TYPE` werden als `CK_RSA_PKCS_OAEP_PARAMS` für `CKM_RSA_PKCS_OAEP` unterstützt:
+ `CKM_SHA_1` mit `CKG_MGF1_SHA1`
+ `CKM_SHA224` mit `CKG_MGF1_SHA224`
+ `CKM_SHA256` mit `CKG_MGF1_SHA256`
+ `CKM_SHA384` mit `CKM_MGF1_SHA384`
+ `CKM_SHA512` mit `CKM_MGF1_SHA512`
+ [5] Gemäß den NIST-Leitlinien ist dies für Cluster im FIPS-Modus nach 2023 nicht zulässig. Für Cluster im Nicht-FIPS-Modus ist dies auch nach 2023 zulässig. Details dazu finden Sie unter [FIPS-140-Konformität: Mechanismus 2024 nicht mehr unterstützt](compliance-dep-notif.md#compliance-dep-notif-1).
+ [6] Vom Hersteller definierte Typen. Um herstellerdefinierte CloudHSM-Typen verwenden zu können, müssen PKCS \$111 -Anwendungen bei der Kompilierung Folgendes enthalten`cloudhsm_pkcs11_vendor_defs.h`. Dies ist `/opt/cloudhsm/include/pkcs11/cloudhsm_pkcs11_vendor_defs.h` für Linux-basierte Plattformen und `C:\Program Files\Amazon\CloudHSM\include\pkcs11\cloudhsm_pkcs11_vendor_defs.h` für Windows-basierte Plattformen zu finden
+ [7] Die wichtigsten Ableitungsfunktionen (KDFs) sind in der [NIST-Sonderveröffentlichung 800-56A](https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-56Ar3.pdf) Revision 3 spezifiziert.