ASP.NET Core のコア暗号化機能拡張

IAuthenticatedEncryptorFactoryインターフェイスは、IAuthenticatedEncryptor インスタンスを作成する方法を認識する型を表します。 その API は次のとおりです。

• CreateEncryptorInstance(IKey key) : IAuthenticatedEncryptor

特定の IKey インスタンスでは、次のコード サンプルのように、CreateEncryptorInstance メソッドによって作成された認証済みの暗号化機能が同等と見なされる必要があります。

// we have an IAuthenticatedEncryptorFactory instance and an IKey instance
IAuthenticatedEncryptorFactory factory = ...;
IKey key = ...;

// get an encryptor instance and perform an authenticated encryption operation
ArraySegment<byte> plaintext = new ArraySegment<byte>(Encoding.UTF8.GetBytes("plaintext"));
ArraySegment<byte> aad = new ArraySegment<byte>(Encoding.UTF8.GetBytes("AAD"));
var encryptor1 = factory.CreateEncryptorInstance(key);
byte[] ciphertext = encryptor1.Encrypt(plaintext, aad);

// get another encryptor instance and perform an authenticated decryption operation
var encryptor2 = factory.CreateEncryptorInstance(key);
byte[] roundTripped = encryptor2.Decrypt(new ArraySegment<byte>(ciphertext), aad);


// the 'roundTripped' and 'plaintext' buffers should be equivalent

IAuthenticatedEncryptorDescriptor インターフェイスは、IAuthenticatedEncryptor インスタンスを作成する方法を認識する型を表します。 その API は次のとおりです。

• CreateEncryptorInstance() : IAuthenticatedEncryptor

• ExportToXml() : XmlSerializedDescriptorInfo

IAuthenticatedEncryptor と同様に、IAuthenticatedEncryptorDescriptor のインスタンスは、1 つの特定のキーをラップすると見なされます。 つまり、特定の IAuthenticatedEncryptorDescriptor インスタンスでは、次のコード サンプルのように、CreateEncryptorInstance メソッドによって作成された認証済みの暗号化機能が同等と見なされる必要があります。

// we have an IAuthenticatedEncryptorDescriptor instance
IAuthenticatedEncryptorDescriptor descriptor = ...;

// get an encryptor instance and perform an authenticated encryption operation
ArraySegment<byte> plaintext = new ArraySegment<byte>(Encoding.UTF8.GetBytes("plaintext"));
ArraySegment<byte> aad = new ArraySegment<byte>(Encoding.UTF8.GetBytes("AAD"));
var encryptor1 = descriptor.CreateEncryptorInstance();
byte[] ciphertext = encryptor1.Encrypt(plaintext, aad);

// get another encryptor instance and perform an authenticated decryption operation
var encryptor2 = descriptor.CreateEncryptorInstance();
byte[] roundTripped = encryptor2.Decrypt(new ArraySegment<byte>(ciphertext), aad);


// the 'roundTripped' and 'plaintext' buffers should be equivalent

IAuthenticatedEncryptorDescriptor インターフェイスは、それ自体を XML にエクスポートする方法を認識する型を表します。 その API は次のとおりです。

• ExportToXml() : XmlSerializedDescriptorInfo

AlgorithmConfiguration クラスは、IAuthenticatedEncryptorDescriptor インスタンスを作成する方法を認識する型を表します。 これにより、1 つの API が公開されます。

• CreateNewDescriptor() : IAuthenticatedEncryptorDescriptor

AlgorithmConfiguration は、最上位レベル ファクトリとして考えます。 構成はテンプレートとして機能します。 アルゴリズム情報がラップされますが (たとえば、この構成では、AES-128-GCM マスター キーを使用して記述子が生成されます)、特定のキーにはまだ関連付けられていません。

CreateNewDescriptor が呼び出されると、この呼び出し専用の新しいキー マテリアルが作成され、このキー マテリアルとマテリアルの使用に必要なアルゴリズム情報をラップする新しい IAuthenticatedEncryptorDescriptor が生成されます。 キー マテリアルは、ソフトウェアで作成 (およびメモリ内に保持) したり、HSM 内に作成して保持したりすることなどができます。 重要なのは、CreateNewDescriptor への 2 回の呼び出しで、等価な IAuthenticatedEncryptorDescriptor インスタンスが作成されることはない点です。

AlgorithmConfiguration 型は、自動キー ローリングなどのキー作成ルーチンのエントリ ポイントとして機能します。 今後のすべてのキーの実装を変更するには、KeyManagementOptions 内で AuthenticatedEncryptorConfiguration プロパティを設定します。

IAuthenticatedEncryptorConfiguration インターフェイスは、IAuthenticatedEncryptorDescriptor インスタンスを作成する方法を認識する型を表します。 これにより、1 つの API が公開されます。

• CreateNewDescriptor() : IAuthenticatedEncryptorDescriptor

IAuthenticatedEncryptorConfiguration は、最上位レベル ファクトリと考えます。 構成はテンプレートとして機能します。 アルゴリズム情報がラップされますが (たとえば、この構成では、AES-128-GCM マスター キーを使用して記述子が生成されます)、特定のキーにはまだ関連付けられていません。

CreateNewDescriptor が呼び出されると、この呼び出し専用の新しいキー マテリアルが作成され、このキー マテリアルとマテリアルの使用に必要なアルゴリズム情報をラップする新しい IAuthenticatedEncryptorDescriptor が生成されます。 キー マテリアルは、ソフトウェアで作成 (およびメモリ内に保持) したり、HSM 内に作成して保持したりすることなどができます。 重要なのは、CreateNewDescriptor への 2 回の呼び出しで、等価な IAuthenticatedEncryptorDescriptor インスタンスが作成されることはない点です。

IAuthenticatedEncryptorConfiguration 型は、自動キー ローリングなどのキー作成ルーチンのエントリ ポイントとして機能します。 今後のすべてのキーの実装を変更するには、サービス コンテナーにシングルトン IAuthenticatedEncryptorConfiguration を登録します。