本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 物理密钥交换
<a name="keys-physicalkeyexchange"></a>

当您的合作伙伴或供应商不支持电子密钥交换时，您可以使用物理密钥交换将纸质加密密钥组件安全地转换为电子格式。训练有素的 AWS 密钥保管人使用 PCI PIN 和 P2PE 认证的安全 AWS-operated 设施进行密钥仪式，使用离线 HSM 将纸质密钥组件转换为电子格式。该服务使用 ECDH-based 密钥交换来交付 ECDH-wrapped TR-31 密钥块，您可以将其直接导入您的 AWS 支付密码学账户。

**注意**  
我们建议[导入和导出密钥](keys-importexport.md)尽可能使用基于标准的产品。[仅当您的合作伙伴或供应商不支持 [ANSI X9.24 TR-34](terminology.md#terms.tr34)、[RSA wrap/unwrap](terminology.md#terms.rsawrap) 或 ECDH 等电子密钥交换方法时，才使用物理密钥交换。](terminology.md#terms.ecdh)

## 物理密钥交换的工作原理
<a name="pke-how-it-works"></a>

要启动 paper 密钥交换，[CloudFormation 模板](https://github.com/aws-samples/samples-for-payment-cryptography-service/tree/main/physical-key-exchange)将指导您完成先决条件设置，包括在您的账户中创建 ECC 密钥对和 S3 存储桶。然后，您或您的合作伙伴将纸质密钥组件运送到 AWS 安全设施，由训练有素的 AWS 密钥保管人使用离线 HSM 进行密钥仪式。输出是上传到您的 S3 存储桶的 ECDH-wrapped TR-31 密钥块，您使用[使用非对称技术 (ECDH) 导入密钥](keys-import.md#keys-import-ecdh)方法将其导入您的账户。物理密钥交换支持在 TDES 和 AES 密钥算法中导入 KEK（密钥使用 K1）或 BDK（密钥使用 B0）密钥。

下图显示了端到端物理密钥交换过程。

![物理密钥交换流程流](http://docs.aws.amazon.com/zh_cn/payment-cryptography/latest/userguide/images/physical-key-exchange.png)


1. **启动** — 您提交支持请求或与您的客户经理合作提交请求。

1. **客户设置**- AWS 支付密码学为您提供了完成以下先决条件步骤的 CloudFormation 模板：
   + 在您的 AWS 支付密码学账户中创建 ECC P521 密钥对，然后检索公钥证书。
   + 使用授予 AWS 支付密码服务委托人 read/write 访问权限的策略创建 Amazon S3 存储桶。
   + 将 ECC 公共证书和签名的根 CA 存储在 Amazon S3 存储桶中。
   + 提供关键属性：密钥使用情况、密钥使用模式以及要发送的 paper 密钥组件数量。

1. **共享 S3 存储桶名称** — 客户共享 CloudFormation 堆栈创建的 S3 存储桶名称，其中存储了公钥证书、证书链和密钥属性，以便 P AWS ayment Cryptography 启动密钥交换。

1. **运输协调** — AWS 支付密码学提供 US-based 安全设施的运输详细信息。您或您的合作伙伴将 paper 密钥组件运送给 AWS 主要保管人。

1. **组件收据** — AWS 主要保管人会收到每个 paper 组件，并为每个组件发送单独的确认函。

1. **密钥仪式** — AWS 密钥保管人使用离线 HSM 进行密钥仪式。生成的 TR-31 密钥块（使用密 ECDH-derived AES-256 钥封装）、来自离线 HSM 的 ECC 公共证书及其签名证书将上传到您的 Amazon S3 存储桶。

1. **完成** — AWS 支付密码学会发送密钥仪式已完成的确认信息。然后，您可以使用该方法将ECDH封装的 TR-31 密钥块导入您的 AWS 支付密码学账户。[使用非对称技术 (ECDH) 导入密钥](keys-import.md#keys-import-ecdh)

1. **计费** — 成功完成密钥仪式后，按交换的密钥计费。

## 安全与合规
<a name="pke-security"></a>

物理密钥交换在旨在满足 PCI PIN 和 PCI P2PE 物理和逻辑 AWS 安全要求的安全设施中运行。以下控件已到位：

双重控制和职责分离  
AWS 主要保管人由不同的团队分配，其报告结构各不相同。已经制定了程序，以确保关键的仪式步骤在双重控制下进行。

离线 HSM  
关键仪式使用经过认证的 PCI PTS HSM-listed 硬件安全模块进行，这些模块可在没有网络连接的情况下离线运行。您的密钥永远不会以明文形式存在于 HSM 边界之外。

加密密钥交付  
使用 ECDH-based 密钥交换将密钥材料从离线 HSM 转移到您的 AWS 支付密码账户，从而确保端到端的加密保护。

审计与合规  
AWS 制定了符合适用的合规要求的流程，这些流程会定期评估 PCI PIN 和 P2PE 认证。查看 Arti AWS fact 中的合规包，了解你在自己的 PCI 评估中可以参考的报告。