我目前正在学习 PKCS#11,有一个我不知道如何处理的场景。
这是场景:
- 想要从提供商处获取证书的客户输入他的数据,
- 客户来到供应商设施,在那里他可以获得订购的智能卡,上面写有证书(例如合格的和商业的),
- 智能卡必须发生两件事:提供商必须为两个证书生成密钥对,然后在卡上写入证书(需要用户 PIN)
据我所知,智能卡有两种类型的用户:普通用户(用户 PIN)和 SO(SO PIN)。
那么问题是什么?当提供商使用用户 PIN 生成密钥和编写证书时,我们可以通过 SetPin 互操作操作以编程方式更改它,或者让客户稍后在家中使用适当的软件更改它。当客户想要为他的智能卡获取新证书时,就会出现问题,而在这个阶段,提供商不知道卡的用户 PIN(即他无法使用卡上的任何加密机制)。如果客户为提供者提供密码,他将能够让客户用他的证书签署一些随机文件,而不是出于正当理由使用 PIN(利用 PKCS#11 机制编写新证书)
所以我的问题是:
有什么方法可以在卡上为某些令牌设置第二个用户 PIN(提供商和客户分开)?我们能否让某些 PKCS#11 机制仅对特定用户可用(例如,仅为提供者生成密钥对,以及仅为客户端使用证书签署文档)?
处理此类问题的标准化方案是什么?我很高兴听到你的意见。