connection - HSM 连接持久或非持久

Question

我即将使用 thales hsm 来使用http://www.pkcs11interop.net/进行一些 aes 加密/解密

但是，我有一个问题在我的脑海中提出。我有两种方法可以将 thales hsm 与我的服务器应用程序一起使用

• 一种方法是：每当我需要进行 aes 操作时，打开连接，完成工作，关闭连接。

• 另一种方式：在服务器应用程序启动时打开连接，在服务器应用程序的生命周期内进行AES操作，在需要关闭服务器时关闭连接。

所以我的问题是，哪种方式是使用 hsm 的正确（或建议）方式？

Answer 1

这完全取决于您对 HSM 的需求和使用情况。如果您在 5 分钟内发送 1 条消息，最好为每个 AES 操作打开连接并在完成工作后关闭连接。通常，如果您在一分钟内发送超过 1 条消息，您应该有持久连接，因为 HSM 有限的连接资源可能会在短时间内耗尽。

Thales HSM 默认设置允许您打开最多 64 个连接并以 60 分钟的间隔检查这些连接。如果连接关闭，它可以在 60 分钟后理解它。

如果您为每个请求打开一个连接，您可以在短时间内达到 64 个连接限制，并且通常 HSM 开始不再允许打开新连接。要摆脱它，您可以将 Hsm 设置更改为 1 分钟检查间隔以进行垃圾收集连接。

我建议使用持久连接（池）来大量使用 HSM，并以 20 分钟的间隔更新（关闭打开）所有连接。