검색 및 데이터베이스 암호화용 BYOK 암호 생성을 위한 스크립트 샘플

2025_search_secretgen.sh 파일 내용. Linux 또는 MacOS 시스템에서 이 스크립트를 실행할 수 있습니다.

이 스크립트는 BYOK(Bring Your Own Key)라는 프로세스를 사용하여 Salesforce Shield Platform Encryption에 대한 보안 키를 생성합니다. Salesforce 인증서에서 공개 키를 추출하여 시작합니다. 임시 키 하나와 "고객" 키 하나의 두 가지 임의 AES 키를 만듭니다. 임시 키는 공개 키 및 강력한 암호화 스키마(SHA-512 포함 RSA-OAEP)를 사용하여 암호화됩니다. 그런 다음, 이 암호화된 임시 키는 다른 암호화 스키마(패딩 포함 AES 키 래핑)를 사용하여 고객 키를 래핑하는 데 사용됩니다. 마지막으로 스크립트는 암호화된 임시 키와 래핑된 고객 키를 단일 페이로드에 결합하고 base64 형식으로 인코딩합니다. 그러면 Salesforce에 페이로드를 업로드하여 중요한 데이터를 안전하게 암호화할 수 있습니다.

#!/bin/bash
set -euo pipefail

CERT_IN="$1"
OPENSSL="openssl"

# Extract public key from X.509 certificate
$OPENSSL x509 -in "$CERT_IN" -pubkey -noout > byok_public_key.pem

# Generate a random temporary AES key (256 bits)
$OPENSSL rand -out temp_aes_key.bin 32

# Encrypt the temp AES key using RSA-OAEP with SHA-512
$OPENSSL pkeyutl -encrypt \
  -pubin \
  -inkey byok_public_key.pem \
  -in temp_aes_key.bin \
  -out temp_key_wrapped.bin \
  -pkeyopt rsa_padding_mode:oaep \
  -pkeyopt rsa_oaep_md:sha512 \
  -pkeyopt rsa_mgf1_md:sha512

# Generate the actual target AES key to be wrapped
$OPENSSL rand -out target_aes_key.bin 32

# Convert temp AES key to hex format for the -K parameter
KEY_HEX=$(hexdump -v -e '/1 "%02x"' < temp_aes_key.bin)

# AES Key Wrap with Padding using OpenSSL 3.x
$OPENSSL enc -id-aes256-wrap-pad \
  -iv A65959A6 \
  -K "$KEY_HEX" \
  -in target_aes_key.bin \
  -out target_key_wrapped.bin

# Combine both parts into final payload
cat temp_key_wrapped.bin target_key_wrapped.bin > payload.bin

# Cleanup
rm "$CERT_IN" byok_public_key.pem temp_aes_key.bin target_aes_key.bin temp_key_wrapped.bin target_key_wrapped.bin