Encryption einrichten

Content Encryption konfigurieren und Keystore einrichten

technische Erklärung zur Verschlüsselung

Derzeit sind 2 Encryption-Algorithmen verfügbar, CBC ist nicht empfohlen und wird entfernt:
~~- AES/CBC/PKCS5PADDING~~
- AES/GCM/NoPadding
Die Unterschiede des Verfahrens sind in Wikipedia gut beschrieben, aber zur Verdeutlichung kann man sich die beiden Verfahren mal in der praktischen Anwendung auf das KGS-Logo ansehen:

AES/CBC

AES/GCM

Konfiguration des Encryption Service:

am Beispiel für das Repository CE (empfohlen wird GCM):

CE.encryptionservice.type=aes_cbc
CE.encryptionservice.aes_cbc.secret=alongsecretwithmorethan16bytes

oder:

CE.encryptionservice.type=aes_gcm
CE.encryptionservice.aes_gcm.secret=x1

Das Secret sollte auf jeden Fall ein Alias sein, welches auf ein Kennwort im KeystoreService verweist (siehe 3).
Derzeit ist das Ändern des Secrets nicht möglich, kann aber auf Bedarf implementiert werden.

Bei der Encryption wird initial ein Zufalls-Vektor erzeugt, der gewährleistet, dass gleicher Content unterschiedlich encrypted wird. Dieser Vektor wird dem encrypteten
Datenstrom vorangestellt, da er zum Decrypten wieder benötigt wird. Die Größe der Ursprungsdatei erhöht sich je nach Verfahren um bis zu 32 Byte, d.h. auf der Storage
zeigt sich eine andere Content-Length.

Einrichten des Keystores

Für das Speichern der Secrets sollte in Autodigit der Keystore-Service eingerichtet sein (im Beispiel für das Repository CE):

CE.keystoreservice.type = pkcs12
CE.keystoreservice.pkcs12.name = ce-ks.p12
CE.keystoreservice.pkcs12.path = C:/autodigit/config/CE

Das Anlegen des Keystores kann durch unterschiedliche Methoden erfolgen:

- mit der tia core- Sap-HTTP Schnittstelle (ContentServer) wird dieser automatisch erzeugt (für die Ablage der Zertifikate)
- für die tia core- OSGi Schnittstelle muss der Keystore über ein separates Tool (autodigit-create-keystore.jar) angelegt werden

Siehe hierzu Set up a keystore

Verwandte Artikel

Filter by label