标签: pkcs#11

软件（如Mozilla Firefox、Thunderbird）可以加载opensc模块（linux上为opensc-pkcs11.so，windows上为opensc-pkcs11.dll）并使用OpenSC支持的所有智能卡进行身份验证、签名和解密。我的问题是我们如何在 android 中做同样的事情（在哪里存储 opensc 模块，如何访问外部令牌等）。例如，应用程序如何使用 opensc 模块通过 nfc 和/或蓝牙接口访问智能卡令牌。

我不喜欢像寻找 android 那样闪烁我的 android。我请求任何建议或示例。提前致谢。

我买了一个 NitroKey HSM，想用 EC 推导出一个秘密。 以前的问题

为此，我想使用这些CKM_ECDH1_DERIVE机制。此 HSM 支持哪个，请参阅：

参考PKCS#11 规范，必须考虑：

1. 该机制CKM_ECDH1_DERIVE必须与功能一起使用Derive(页 188)
2. 该机制CKM_ECDH1_DERIVE需要CK_ECDH1_DERIVE_PARAMS带有以下参数的参数(页 222)：
   1. kdf：用于共享秘密值 (CKD) 的密钥派生函数
   2. sharedData : 双方共享的一些数据
   3. publicData : 对方的EC公钥值
3. 该函数DeriveKey需要以下参数：
   1. 机制 CKM.CKM_ECDH1_DERIVE
   2. 对象句柄私钥
   3. 对象属性 (页 338)
      1. CKA.CKA_CLASS -> CKO.CKO_SECRET_KEY
      2. CKA.CKA_KEY_TYPE -> CKK.CKK_GENERIC_SECRET
      3. 但是“但是，由于这些事实都隐含在机制中，因此无需指定任何一个”，所以这些可以为空？

问题

因此，根据这些信息，我尝试实现一种方法。

但我收到此错误：

Net.Pkcs11Interop.Common.Pkcs11Exception：方法 C_DeriveKey 返回 CKR_TEMPLATE_INCOMPLETE

在Session.DeriveKey。

说明CKR_TEMPLATE_INCOMPLETE（第 64 页）：

如果提供的模板中的属性值，连同任何默认属性值和对象创建函数本身贡献给对象的任何属性值，都不足以完全指定要创建的对象，则尝试应该失败并显示错误代码CKR_TEMPLATE_INCOMPLETE。

和这里（第 98 页）

CKR_TEMPLATE_INCOMPLETE：为创建对象指定的模板不完整，缺少一些必要的属性。有关更多信息，请参阅第 10.1 节。

但我使用了必要的属性：

1. CKA.CKA_CLASS -> CKO.CKO_SECRET_KEY
2. CKA.CKA_KEY_TYPE …

我使用 PKCS11Interop 生成密钥 API 在 HSM 中生成了一个 RSA 公私密钥对。我想导出密钥对。我使用 Findobject API 来获取密钥，该 API 返回一个 ObjectHandle ，而使用 GetAttributeValue API 读取属性时，我无法读取密钥的值。当我将密钥的属性设置为 CKA_EXTRACTABLE 为 true 时，我无法完全生成密钥。

我还需要在 HSM 中导入外部提供的密钥对。

任何帮助都受到高度赞赏。

我正在使用 java 9 运行以下命令：

keytool -keystore NONE -storetype PKCS11 -providerClass
     sun.security.pkcs11.SunPKCS11 -providerArg pkcs11conf -list

Run Code Online (Sandbox Code Playgroud)

并得到流动的错误：

keytool 错误：java.lang.Exception：未找到提供程序“sun.security.pkcs11.SunPKCS11”

在 Java 8 中它可以工作。

如何将 keytool 与 SunPKCS11 提供程序一起使用？

我第一次尝试在 tomcat 8 中实现 SSL。

我有 .pem 文件形式的第三方签名 X.509 证书。

但是配置完成后，当我尝试启动 tomcat 时，出现以下错误：

2017 年 11 月 22 日 18:48:01.735 信息 [主要] org.apache.coyote.AbstractProtocol.init 初始化 ProtocolHandler ["https-jsse-nio-8443"] 2017 年 11 月 22 日 18:48:01.897 严重 [主要] org.apache.coyote.AbstractProtocol.init 无法初始化与 ProtocolHandler ["https-jsse-nio-8443"] java.lang.IllegalArgumentException 关联的端点：java.io.IOException：别名 [null] 不标识密钥条目 于...

以下是我遵循的步骤：

1. 将certificate.pem 重命名为certificate.p7b。
2. 应用以下命令将证书导入密钥库：

D:\keytest2>keytool -import -alias tomcat -trustcacerts -文件证书.p7b -keystore keystore.kdb

输入密钥库密码：test
重新输入新密码：test

...
...
证书已添加到密钥库

3. 检查导入的证书：

D:\keytest2>keytool -list -v -keystore keystore.kd

这给了我以下输出：

密钥库类型：JKS 密钥库提供商：SUN

您的密钥库包含 1 个条目

别名：tomcat 创建日期：2017 年 11 月 22 日 …

我有一个 GO 应用程序，它通过软件令牌中的 opencryptoki (pkcs11) 将它的证书存储到 HSM。但这不是一个围棋问题，我认为更像是一个通用的 pkcs11 问题。

我像这样设置我的证书和私钥：

    certTemplate := []*pkcs11.Attribute{
        pkcs11.NewAttribute(pkcs11.CKA_CLASS, pkcs11.CKO_CERTIFICATE),
        pkcs11.NewAttribute(pkcs11.CKA_CERTIFICATE_TYPE, pkcs11.CKC_X_509),
        pkcs11.NewAttribute(pkcs11.CKA_TOKEN, true),
        pkcs11.NewAttribute(pkcs11.CKA_VALUE, certBytes),
        pkcs11.NewAttribute(pkcs11.CKA_SUBJECT, template.SubjectKeyId),
        pkcs11.NewAttribute(pkcs11.CKA_ID, pkcs11KeyID),
    }

    privateKeyTemplate := []*pkcs11.Attribute{
        pkcs11.NewAttribute(pkcs11.CKA_CLASS, pkcs11.CKO_PRIVATE_KEY),
        pkcs11.NewAttribute(pkcs11.CKA_KEY_TYPE, pkcs11.CKK_ECDSA),
        pkcs11.NewAttribute(pkcs11.CKA_TOKEN, true), 
        pkcs11.NewAttribute(pkcs11.CKA_ID, pkcs11KeyID),
        pkcs11.NewAttribute(pkcs11.CKA_EC_PARAMS, []byte{0x06, 0x08, 0x2a, 0x86, 0x48, 0xce, 0x3d, 0x03, 0x01, 0x07}),
        pkcs11.NewAttribute(pkcs11.CKA_VALUE, ecdsaPrivKeyD),
    }

ctx.CreateObject(session, certTemplate)
ctx.CreateObject(session, privateKeyTemplate)

这完美地工作。我也可以通过以下方式获得证书

findTemplate := []*pkcs11.Attribute{
    pkcs11.NewAttribute(pkcs11.CKA_TOKEN, true),
    pkcs11.NewAttribute(pkcs11.CKA_CLASS, pkcs11.CKO_CERTIFICATE),
    pkcs11.NewAttribute(pkcs11.CKA_CERTIFICATE_TYPE, pkcs11.CKC_X_509),
}

ctx.FindObjectsInit(session, findTemplate); 
objs, b, err := ctx.FindObjects(session, numSlots)

但正如我所料，我无法获得我的公钥

findTemplate := []*pkcs11.Attribute{
        pkcs11.NewAttribute(pkcs11.CKA_TOKEN, true), …

设备与环境

使用的安全元件（当前）：Yubikey 5 NFC

（当前）使用的操作系统：Linux（未来目标将是Win和Android）

使用的读卡器：ACS ACR122U、REINER SCT cyberJack RFID、SCM SCL011

目标

通过 NFC 连接到 Yubikey 并实现/运行以下方法：

• 创建密钥对
• 导出公钥
• 符号
• 加密
• 解密

当前状态

基于 Yubico 的 PKCS#11 包装器库，我实现了上面的 5 个方法。通过USB连接 Yubikey，它们工作得很好。