问题标签 [hsm]

我正在使用 SafeNet HSM 并尝试执行命令 EE9001 以生成 RSA 密钥对：

在哪里，

\01\01\22\00 是 Header
\00\13 是 Message Length
\EE\90\01 是 Function Code
\12\17\18\46\44\24\58\73 是 Command Identifier
\00 是Function Modifier
\00\02 是 KeyType
\08\00是模数大小
\01\00\01是公共指数

最后 2 个字符代表错误代码，即 03，这意味着：Incorrect message length。似乎错误代码缺少前导，因为请求命令中的十六进制长度是正确的。

提示：在文档中它写道：
1. 确保模数与指定的公共指数兼容。（我不知道他们在谈论什么兼容性！）

2. 'Public Exponent' 和 'User Data' 的 Var 长度可能很难将两者分开（以找出它们的实际长度）。

以下是手册中的命令（'h' 代表十六进制值）：

我已经执行了另一个命令'9B'来生成 CVV，并且成功执行。但是在该命令中没有可变长度请求内容。

非常感谢您的帮助！

I am using a Safenet Luna HSM 5.1. and I am trying to figure out if it is possible to extract a SecretKey from my HSM using ckdemo tools option #118 Extract Object.

The whole point of the HSM is that it will be impossible to extract private keys from it, but this option is making me very suspicious.

有谁知道许可证 HSM9-LIC031 中“JS”命令（ARQC 验证和/或 ARPC 生成 - CUP）的格式。“JS”指令是中国银联指令。我正在使用 HSM，但我不知道命令格式。该命令看起来像Command Code 2A JS.

我需要将密钥的拆分导入 HSM 设备。密钥加密密钥 (KEK) 3DES 密钥已被拆分以进行传输，需要在目标 HSM 中重新组合。

如何才能做到这一点 ？拆分实际上是在 HSM 本身中重新组合，还是在 HSM 外部重新组合，然后将结果导入 HSM？

谢谢 ！

我目前正在使用 HSM 实施安全通道设置。该协议是专有的，但使用标准加密机制（rsa sha）

在安全通道设置中，我们会收到一堆证书，最后一个是远程设备个人证书。这个链必须用高级语言验证，没问题。但是我找不到任何示例如何使用 pkcs11 接口完成此操作。我的印象是pkcs11中没有证书链验证方法？我必须剖析每个证书并使用基本的 pkcs11 函数计算签名吗？这不是很安全，您可能希望将整个堆栈传递给 HSM，它会报告：OK 或 NOT。在 OK 的情况下，（在我们的例子中）设备证书的公钥可用于加密随机通道密钥等。

所以问题是，这通常是如何用 pkcs11 完成的？

我想开始在 java 卡上实现 pkcs。我已经搜索了很多，但我找不到从哪里开始。我知道标准令牌应该支持 PKCS#11 功能，并且可能支持 PKCS#15。我应该阅读这两个标准并尽我所能在我的卡上实施它们吗？Java Card 上是否有任何 PKCS 的开源实现？

问候

我对 HSM 很陌生。目前我需要将 HSM 集成到我的应用程序中，以便以安全的方式存储 PIN。为此，我必须使用命令 DE 来创建加密 PIN 的偏移量，但这需要 PVK 作为输入。我需要知道创建 PVK 的步骤。（命令和步骤）。

我尝试了以下步骤

谁能告诉上面的步骤是创建 PVK 的正确方法。我也输入了随机数作为组件 1 和 2，这样做是否正确？

我正在尝试使用 python 代码向 HSM (Thales paysheild 9000) 发送命令。但是我从代码中得到的响应与期望的不同。

任何人都可以帮助我确定问题吗？理想情况下，响应应该有 JB 而不是我作为输出得到的 JA。

下面是代码。

我正在尝试使用 HSM (Thales) 中的 DE 命令创建加密引脚的偏移量。我正在使用 Python 代码来执行此操作。发出命令后，我在响应中得到 02。错误代码手册将其描述为

我还可以看到输出中生成的偏移量。但是为什么这个错误代码会出现在响应中。我可以使用输出中的偏移量吗？

提前感谢您的帮助。

We used a static value ‘usernameTest’ as username to request EJBCA to generate X.509 certifcates; after generating certificates using this satic username we changed it to a unique value identifiying uniquely each certificate (Since using a static username is considered as a renew since the username is the same for all certificates (*) ) but now EJBCA refuses to generate certificates and stil reference the old static username ‘usernameTest’; we get this error:

User '250320092916' is not allowed to use same key as the user(s) ‘usernameTest’ is/are using.

We revoked all certificates previously generated for username 'usernameTest', but we still get this error message from EJBCA. Is there any way we can remove username 'usernameTest'?

Each certificate has a unique SubjectDN and username.

The version of EJBCA is ejbca-6.2.0.

(*): All generated certificates in EJBCA Administration GUI are related to the same username.

Thanks in advance.