在Linux上與硬件安全模塊接口

我必須在我的項目中使用HSM設備才能滿足安全要求。我對HSM如何在Linux機器上與C接口感到困惑。在Linux上與硬件安全模塊接口

用戶如何使用HSM內存執行不同的操作？

HSM供應商應該爲您提供了一個庫。您可以使用此庫通過PKCS＃11接口與您的HSM進行交互。您需要在項目中使用PKCS＃11頭文件才能做到這一點。查看本網站http://www.calsoftlabs.com/whitepapers/public-key-cryptography.html獲得介紹

2012-06-04 21:10:59 Giovani

謝謝你，先生！ –

每個HSM供應商都支持至少一個加密API。 PKCS＃11是一個特別常見的選擇，但還有很多其他選項。例如，OpenSSL通過engine interface支持HSM。

除了它實現的「標準」API之外，供應商通常會公開一個專有API。專有API通常對關鍵安全屬性和密鑰使用提供更高程度的控制，而不是在標準API中表達。

當使用HSM時，通常會發出一條命令，從安全存儲區加載密鑰並將句柄檢索到密鑰對象。該句柄是一個抽象層，它允許HSM在不暴露密鑰材料的情況下安全地執行密鑰操作。

關於您的項目，重要的是您不要簡單地將HSM「推」到解決方案中的某處，以使其看起來很安全。相反，請仔細考慮系統的安全屬性以及密碼學如何幫助您抵禦攻擊。一旦確定了您的攻擊媒介（以及您的相關加密防禦），然後考慮哪些加密API可以支持您的使用案例。只有這樣才能從支持該API的用戶中選擇最好的供應商。

根據我的經驗，標準API只適用於簡單的安全系統。對於複雜的項目，幾乎總是需要使用特定供應商的專有API。在這種情況下，在決定真正滿足您的需求的產品之前，嚴重依賴供應商提供支持和概念驗證。

2012-10-25 18:58:33

我知道這是一歲，但萬一別人穿過它運行，還有在這個環節更詳細的討論：

包括我增加了一些長期形成的工作代碼。您也可以直接在此鏈接獲取我的代碼：https://github.com/tkil/openssl-pkcs11-samples

祝您好運！

2013-05-12 05:35:08 AnthonyFoiani

回答