如何將我的軟件應用程序替換爲HSM以使用PKCS？

Question

我試圖用我的純軟件應用程序替換HSM並與PKCS11集成。我遇到的問題是所有PKCS api函數處理的插槽和令牌不屬於我的軟件應用程序的一部分。有沒有例子可以查看軟件應用程序如何用於模仿HSM並與PKCS集成？

Answer 1

當你處理HSM時，你必須處理槽和令牌。你必須稍微修改你的軟件來適應這個。

有兩種方法可以使用PKCS＃11,PKCS#11 Wrapper或PKCS#11 Provider。 Wrapper是直接調用HSM庫（.dll或.so）的原生函數的api。提供者使用包裝下的Wrapper，但爲您提供了使用Java KeyStore api的便利。

考慮到你的情況，包裝可能不適合你，因爲它涉及編寫新的類與HSM集成。你可以使用提供者。

Java有非常好的PKCS11提供程序here的文檔。還有一個非常好的第三方庫叫做IAIK，here是他們的提供者文檔。即使您在軟件應用程序中使用提供程序，但不可避免的代碼更改也是不可避免的。

如果您使用過KeyStore API，您可能需要在那裏進行更改。最初，當您的軟件加載時，您必須爲PKCS11提供程序加載一個配置文件，該配置文件告訴哪個插槽號碼和要連接的令牌。

IAIK也有很好的例子，它們的提供程序庫僅用於開發目的。