Пример AWS KMS python3.6 и boto3 с AES CBC - PullRequest
Новая
       73

Пример AWS KMS python3.6 и boto3 с AES CBC

0 голосов
/ 23 октября 2018

Я попытался сделать демо-версию с использованием python 3.6 и boto3 с AWS KMS, но в нем отсутствует режим работы AES.Интересно, вы можете указать мне, как это сделать?Вот код: 

import base64
import boto3

from Crypto.Cipher import AES


PAD = lambda s: s + (32 - len(s) % 32) * ' '


def get_arn(aws_data):
    return 'arn:aws:kms:{region}:{account_number}:key/{key_id}'.format(**aws_data)


def encrypt_data(aws_data, plaintext_message):
    kms_client = boto3.client(
        'kms',
        region_name=aws_data['region'],
        aws_access_key_id='your_key_id',
        aws_secret_access_key='your_secred_key_id')

    data_key = kms_client.generate_data_key(
        KeyId=aws_data['key_id'],
        KeySpec='AES_256')

    cipher_text_blob = data_key.get('CiphertextBlob')
    plaintext_key = data_key.get('Plaintext')

    # Note, does not use IV or specify mode... for demo purposes only.
    cypher = AES.new(plaintext_key, AES.MODE_CBC)
    encrypted_data = base64.b64encode(cypher.encrypt(PAD(plaintext_message)))

    # Need to preserve both of these data elements
    return encrypted_data, cipher_text_blob


def decrypt_data(aws_data, encrypted_data, cipher_text_blob):
    kms_client = boto3.client(
        'kms',
        region_name=aws_data['region'])

    decrypted_key = kms_client.decrypt(CiphertextBlob=cipher_text_blob).get('Plaintext')
    cypher = AES.new(decrypted_key)

    return cypher.decrypt(base64.b64decode(encrypted_data)).rstrip()


def main():
    # Add your account number / region / KMS Key ID here.
    aws_data = {
        'region': 'us-east-1',
        'account_number': 'your_account',
        'key_id': 'your_key_id',
    }

    # And your super secret message to envelope encrypt...
    plaintext = 'Superduper and the mighty Scoop!'

    # Store encrypted_data & cipher_text_blob in your persistent storage. You will need them both later.
    encrypted_data, cipher_text_blob = encrypt_data(aws_data, plaintext)
    print(encrypted_data)

    # # Later on when you need to decrypt, get these from your persistent storage.
    decrypted_data = decrypt_data(aws_data, encrypted_data, cipher_text_blob)
    print(decrypted_data)

if __name__ == '__main__':
    main()

Ответы [ 2 ]

0 голосов
/ 24 октября 2018

Вместо того, чтобы реализовывать собственное шифрование конвертов, рассматривали ли вы вопрос об использовании AWS Encryption SDK? [1] [2] Он тесно интегрируется с AWS KMS и упрощает безопасное шифрование конвертов, защищая ваши ключи данных с помощью KMS CMK.,Это также упрощает отслеживание всех частей, необходимых для дешифрования (IV, зашифрованный ключ данных, контекст шифрования и т. Д.), Возвращая вам одно зашифрованное текстовое сообщение, которое содержит все, что клиент должен знать для расшифровкисообщение.

Вы можете найти пример того, как реализовать нечто похожее на то, что показано в вашем вопросе, здесь [3].

[1] https://docs.aws.amazon.com/encryption-sdk/latest/developer-guide/introduction.html

[2] https://aws -encryption-sdk-python.readthedocs.io / en / latest /

[3] https://github.com/aws/aws-encryption-sdk-python/blob/master/examples/src/basic_encryption.py

0 голосов
/ 23 октября 2018

AES_128 и AES_256 относятся к 128-битным ключам шифрования AES 256 / AES.

CBC означает цепочку блоков шифрования

GCM означает режим Galois / Counter

KMS использует AES_256и GCM.CBC не поддерживается.

AWS KMS использует алгоритм расширенного стандарта шифрования (AES) в режиме Galois / Counter (GCM), известный как AES-GCM.AWS KMS использует этот алгоритм с 256-битными секретными ключами.

...