View a markdown version of this page

交换初始密钥 (KEK) - AWS Payment Cryptography

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

交换初始密钥 (KEK)

在 AS2805 中，双方都有自己的 KEK。KEK (s) 是指发送端密钥，每当发送方需要密钥并将其发送到 node2 时，都将使用该 protect/wrap 密钥。KEK (r) 是由另一方（节点 2）创建的密钥。

注意

这些术语是相对的——一方创建密钥（发送方），另一方接收密钥。因此，给定 KEY1，它在节点 1 上被称为 KEK (s)，在节点 2 上被称为 KEK (r)。

AS2805 的 KEK 始终是密钥类型 = TR31_K0_KEY_ENCRYPTION_KEY，因为它们用于保护密码而不是密钥块。这映射到 AS2805 6.1 中定义的 TERMINAL_MAJOR_KEY_VARIANT_00

步骤：

1.创建密钥

使用 CreateKeyapi 创建密钥。您将创建一个类型为 TR31_K0_KEY_ENCRYPTION_KEY 的密钥

2. 确定与 node2 交换密钥的方法

确定如何与对手交换 KEK。对于 AS2805，最常见且可互操作的方法是 RSA Wrap。

3.导出 KEK

根据您在上面的选择，您将收到来自 node2 的公钥证书。您将使用该证书运行导出以保护密钥（或者如果使用 ECDH 则派生密钥）。

4. 导入 KekR

根据您在上面的选择，您将向 node2 发送公钥证书。您将使用该证书运行导入，将节点 2 的 KekR 加载到服务中。