问题标签 [hsm]

我想用 HSM（硬件安全模块）替换 PostgreSQL 加密函数 'pgp_sym_encrypt' 和 'pgp_sym_decrypt' 机制。我可以实现它以用 HSM 替换现有算法吗？

我正在使用 SoftHSM，并且能够在令牌中生成和存储密钥。为了使用 SunPKCS 接口，许多方法都需要会话句柄，我不知道如何检索它们。目前我正在使用 SoftHSM 和 PKCS11，如下所示。注释中的代码是我尝试使用 SUNPKCS11 接口签名的代码。任何有关如何包装和解包密钥的示例代码也将不胜感激。我正在尝试使用 PKCS11 将密钥从一个令牌备份到另一个令牌，如果我的理解是正确的，则该方法必须通过包装.... Sitaraman

我对使用 PKCS#11 库很陌生，所以也许有更多经验的人可以解决问题。

我想做以下事情：

1. 上传到 HSM 现有的 RSA 公钥（在 PC 上生成）
2. 然后使用这个上传的密钥来包装在 HSM 上生成的对称密钥。

我知道如何生成对称密钥，但如何上传现有的 RSA 公钥？

这甚至可以使用 PKCS#11 库吗？

Wrap a secret key with a public key using PKCS#11似乎有类似的问题，但它使用在 HSM 上生成的 RSA 密钥对。我需要自己将 RSA 公钥上传到 HSM。

3个问题：

1.有没有人知道CA公司允许我把购买的CA证书放入SoftHSM（和HSM一样，但是没有任何硬件，这是纯软件）？

2.PKCS11接口难用吗？我有一个将签署文件的 Java 应用程序。但是我需要通过PKCS11接口进行通信。有人有过这方面的经验吗？有这方面的教程吗？

3.如果我购买了受信任的证书，他们为什么不以 .crt 格式交付它？我有试用证书，但我的浏览器只是导入它。看不到在哪里下载此证书，因此我可以将其存储在我的 hsm 中。

请帮助我理清思路。

是否有任何 OpenSSL 引擎可以在软件中完成所有操作并将密钥存储在文件中（甚至可能以明文形式）？

也许这可以通过单独的 OpenSSL 以某种方式实现？

这样做的目的是在没有任何硬件的情况下测试一个软件是否与引擎 API 正确接口。

假设在以后的某个时间点，当获得 HSM 时，它将立即与该软件一起使用（前提是 HSM 供应商提供了 OpenSSL 引擎）。

我有一个简单的直截了当的问题：加密的 PKCS1 RSAPrivateKey 可以导入到与 PKCS11 兼容的安全模块中，而不会将私钥暴露在客户端内存中吗？

我知道 PKCS11 明确提到 PKCS8 的 PrivateKeyInfo 作为所需的私钥格式，以便通过 C_UnwrapKey 函数将其导入。

请提供任何帮助！

我尝试连接到安装了 SDK 和 luna 和 luna API 的 luna SA。我可以访问月球，我可以在腻子控制台中打开会话。我使用了示例中的登录名，但给我发送了一个错误。

代码：

在 LunaTokenManager.getInstance() 中停止调试；

错误：线程“主”com.chrysalisits.crypto.LunaCryptokiException 中的异常：函数“C_Initialize”在 com.chrysalisits.crypto.LunaCryptokiException.ThrowNew(LunaCryptokiException.java:57) 在 com.chrysalisits.crypto.LunaAPI.Initialize(本机方法）在 com.chrysalisits.crypto.LunaTokenManager.(LunaTokenManager.java:107) 在 com.chrysalisits.crypto.LunaTokenManager.getInstance(LunaTokenManager.java:62)

文档说这不是 Java 错误，但我未能解决

http://leifj.nordu.net/luna-docs/007-011136-002_lunasa_5-1_webhelp_rev-a/content/sdk/jsp_errors.htm

我有一个 LunaSA HSM，我正在尝试使用 CAST5 密钥解开 PKCS#8 格式的私钥？要使用的机制是CKM_CAST5_CBC_PADOID，它是1.2.840.113533.7.66.10.

不幸的是，当我C_UnwrapKey使用带有指定密钥的上述机制运行该函数时，HSM 返回CKM_MECHANISM_INVALID，根据 PKCS11 意味着该机制不支持指定的加密操作。

如何使用 PKCS#8 私钥解包CKM_CAST5_CBC_PAD？

我正在尝试从我的计算机访问 Safenet HSM，我将我的计算机添加到客户端并将 pem 文件发送到 HSM，可以到这里。问题是当我输入“ vtl verify”时，因为它启动了以下错误：

SSL 连接失败

错误：无法在注册服务器中找到任何 Luna SA 插槽/分区。确保此客户端在 Luna SA 服务器上分配了分区，并检查 vtl supportInfo 命令是否存在其他可能的问题，例如无法 ping 服务器或缺少配置文件。

我正在尝试编译一个示例 c 应用程序，该应用程序使用 pkcs#11 来查找令牌上的所有私钥，并打印它们的标签和 ID，但出现以下错误

示例取自这里

使用以下命令编译；

我不确定我应该在 -L 之后链接哪个库。任何人都可以指导如何编译它，是否需要链接一些库。