我可以使用PKCS#11在HSM中创建签名吗？

Question

我可以配置XAdES4J来委派签名创建使用PKCS#11基础架构给硬件安全模块(HSM)？如果是 - 如何？

这些网站上的信息让我假设,只有使用PKCS#11的密钥转移是可能的:

• https://code.google.com/p/xades4j/wiki/DefiningKeyingData(术语键控数据,-provider)
• http://code.google.com/p/xades4j/wiki/QeA(关于onur的讨论)
• http://xades4j.googlecode.com/svn/release/1.3.0/javadoc/reference/xades4j/providers/impl/KeyStoreKeyingDataProvider.html(步骤3:"返回条目的私钥")

Answer 1

如前所述,您可以使用PKCS#11键控数据,使用PKCS11KeyingDataProvider.您只需要使用HSM的本机PKCS#11 lib进行配置.

该PrivateKey接口仅仅是不透明的键表示一个标记接口.当您使用PKCS#11提供程序时,返回的PrivateKey实例只是密钥的句柄(代表),因为密钥材料实际上并不离开HSM.将使用延迟提供程序选择来选择签名引擎,相应于PrivateKey提供者,因为该提供者是知道如何处理该特定提供者的提供者PrivateKey.在这种情况下,密钥和签名值计算都由HSM完全处理.

XAdES4j PKCS11KeyingDataProvider只是KeyStore从特定PKCS#11提供程序实例创建的Java的包装器,该实例使用提供的本机lib路径进行配置.