ruby - Ruby：使用存储在 TPM 中的密钥

Question

我正在寻找一种方法来打开 HTTPS 连接，同时将必要的证书存储在 TPM 中。

现在我正在使用 HTTPClient 打开连接，只要证书存储在磁盘上，一切正常。

  http = HTTPClient.new
  request = "#{address}/#{command}"
  http.ssl_config.set_client_cert_file("#{CLIENT_CERT}",
                                       "#{CLIENT_KEY}")

如果客户端私钥存储在 TPM 中，我该怎么做？

Answer 1

你有两种可能性：

• 将密钥存储在 TPM 的非易失性存储器中
• “密封”包含密钥的文件

要在 Ruby 中执行此操作，您可以：

• 自己实现必要的命令，让您的代码与操作系统的 TPM 驱动程序对话
• 编写使用TrouSerS的 C API 的代码
• 调用一些命令行工具，例如TrouSerS、jTSS或 IBM 的tpm_utils提供的工具

但是，我不确定从架构的角度来看这是否是您正在寻找的。通过 TPM 加载密钥仅在启动时可行。如果你想对每个请求都这样做，它会扼杀你的表现。此外，您需要注意将密钥从内存中安全擦除，否则将毫无意义。