使用来自 aws-sdk-v3 的 KMS 客户端解密认知代码

Question

我正在按照此说明在 Cognito https://docs.aws.amazon.com/cognito/latest/developerguide/user-pool-lambda-custom-sms-sender.html中实现自定义消息发件人

一切都适用于类似的代码（我在 AWS Lambda 上使用 Typescript）：

import {buildClient, CommitmentPolicy, KmsKeyringNode} from '@aws-crypto/client-node';
import b64 from 'base64-js';

const {decrypt} = buildClient(CommitmentPolicy.REQUIRE_ENCRYPT_ALLOW_DECRYPT);
const keyring = new KmsKeyringNode({keyIds: ["my-key-arn"]});

...
const {plaintext} = await decrypt(keyring, b64.toByteArray(event.request.code));
console.log(plainttext.toString()) // prints plain text exactly as I need

但是，这个库@aws-crypto/client-node使我的包非常大，几乎有 20MB。 可能是因为它依赖于一些旧的 AWS 库......

我曾经使用像@aws-sdk/xxx这样的模块化库，它确实提供了更小的包。

我发现对于加密/解密我可以使用@aws-sdk/client-kms 。 但它不起作用！

我正在尝试以下代码：

import {KMSClient, DecryptCommand} from "@aws-sdk/client-kms";
import b64 from 'base64-js';

const client = new KMSClient;
await client.send(new DecryptCommand({CiphertextBlob: b64.toByteArray(event.request.code), KeyId: 'my-key-arn'}))

这给了我一个错误：

InvalidCiphertextException: UnknownError
    at deserializeAws_json1_1InvalidCiphertextExceptionResponse (/projectdir/node_modules/@aws-sdk/client-kms/dist-cjs/protocols/Aws_json1_1.js:3157:23)
    at deserializeAws_json1_1DecryptCommandError (/projectdir/node_modules/@aws-sdk/client-kms/dist-cjs/protocols/Aws_json1_1.js:850:25)
    at process.processTicksAndRejections (node:internal/process/task_queues:95:5)
    at async /projectdir/node_modules/@aws-sdk/middleware-serde/dist-cjs/deserializerMiddleware.js:7:24
    at async /projectdir/node_modules/@aws-sdk/middleware-signing/dist-cjs/middleware.js:14:20
    at async StandardRetryStrategy.retry (/projectdir/node_modules/@aws-sdk/middleware-retry/dist-cjs/StandardRetryStrategy.js:51:46)
    at async /projectdir/node_modules/@aws-sdk/middleware-logger/dist-cjs/loggerMiddleware.js:6:22
    at async REPL7:1:33 {
  '$fault': 'client',
  '$metadata': {
    httpStatusCode: 400,
    requestId: '<uuid>',
    extendedRequestId: undefined,
    cfId: undefined,
    attempts: 1,
    totalRetryDelay: 0
  },
  __type: 'InvalidCiphertextException'
}

我究竟做错了什么？ 这个 KMSClient 是否支持我需要的东西？

我也尝试过 AWS CLI aws kms decrypt --ciphertext-blob...命令，给我完全相同的响应。 虽然如果我加密和解密任何随机消息，如“hello world”，它就像一个魅力。

我做错了什么，Cognito 代码密文有什么特别之处，所以我必须以其他方式解密它？

Answer 1

简短回答： Cognito 不使用 KMS 来加密文本，它使用加密 SDK。因此您不能使用 KMS 来解密 Cognito 密文。

更长的答案：我过去一天试图使用 boto3 和 KMS 客户端获取 Python 电子邮件发件人触发器 function 来对抗 Cognito，直到我找到另一篇文章（某处？）解释 Cognito 不使用 KMS 加密数据，而是使用加密SDK。当然这两种加密机制是不兼容的。

对于 JavaScript 和 Node.js 应用程序，看起来您可以选择包含整个加密客户端： https://www.npmjs.com/package/@aws-crypto/decrypt-node

如果你所做的只是解密，上面的 package 将让你使用加密 SDK 解密，它只有 159KB。

Answer 2

我设法解决了我的任务。 我已经意识到它确实不是简单地使用KMS来加密文本，加密/解密过程要复杂得多。

有参考页https://docs.aws.amazon.com/encryption-sdk/latest/developer-guide/message-format.html

它描述了消息的外观，包括所有标头和正文、IV、AAD、密钥等……我编写了自己的脚本来解析所有内容并正确解密，它有效。 可能分享时间太长了……我建议改用参考资料。 希望将来他们会发布适当的 SDK 模块化版本。

来自“@aws-crypto”的那个对我不起作用，可能没有正确支持所有协议。 在您阅读它的那一刻，这可能不是事实。