Einführung in EP11 über gRPC-Standardplan

Enterprise PKCS #11 (EP11) ist speziell für Kunden konzipiert, die Unterstützung für offene Standards und erhöhte Sicherheit suchen. Die Bibliothek EP11 stellt eine statusunabhängige Schnittstelle bereit, die der standardisierten Public-Key Cryptography Standards(PKCS)#11 -APIähnelt. Die PKCS #11-API definiert eine platformunabhängige API für Verschlüsselungstokens, beispielsweise Hardwaresicherheitsmodule (HSM) und Smartcards. Vorhandene Anwendungen, die PKCS #11 verwenden, profitieren von einer erhöhten Sicherheit mithilfe sicherer Schlüsselkryptographie sowie einer statusunabhängigen Schnittstelle, was die Effizienz von Verschlüsselungsoperationen deutlich steigert.

Weitere Informationen zur Bibliothek EP11 finden Sie im Enterprise PKCS #11 -Bibliotheksstrukturdokument(EP11). Weitere Informationen zu EP11-Funktionen und -Erweiterungen finden Sie unter Einführung inEP11.

IBM Cloud® Hyper Protect Crypto Services stellen eine Reihe von EP11-API-Aufrufen über gRPC (GREP11-API-Aufrufen) bereit, durch die alle Verschlüsselungsfunktionen in dem Cloud-HSM von Hyper Protect Crypto Services ausgeführt werden. Die GREP11-API ist eine statusunabhängige Schnittstelle für Verschlüsselungsoperationen in der Cloud.

Hyper Protect Crypto Services nutzt Frameworks wie gRPC, um den fernen Anwendungszugriff zu aktivieren. gRPC ist ein modernes Open-Source-RPC-Framework (Remote Procedure Call) mit hoher Leistung, das Services in und zwischen Rechenzentren zwecks Lastausgleich, Traceerstellung, Statusprüfung und Authentifizierung verbinden kann. Anwendungen greifen auf Hyper Protect Crypto Services zu, indem sie die EP11-API per Fernzugriff über gRPC aufrufen. Weitere Informationen zu gRPCfinden Sie in der Dokumentation zu gRPC.

Mit der GREP11-API können Sie die folgenden Operationen durchführen:

  • Generieren von Schlüsseln.
  • Verschlüsseln und entschlüsseln.
  • Signieren und verifizieren.
  • Wrapping von Schlüsseln durchführen und aufheben.
  • Ableiten von Schlüsseln.
  • Message-Digest erstellen.
  • Informationen zu Verfahren abrufen.

Einige Operationen bestehen aus einer Reihe von Teiloperationen. Zum Beispiel setzt sich die mehrteilige Datenverschlüsselungsoperation aus den Teiloperationen EncryptInit(), EncryptUpdate() und EncryptFinal() zusammen.

  • EncryptInit() wird verwendet, um eine Operation zu initialisieren.
  • Encrypt() wird zum Verschlüsseln von einteiligen Daten verwendet, ohne dass die Teiloperationen EncryptUpdate() und EncryptFinal() ausgeführt werden müssen. Diese Operation muss nach dem Aufruf von EncryptInit() ausgeführt werden.
  • EncryptUpdate() und EncryptFinal() werden in Kombination für eine mehrteilige Datenverschlüsselung verwendet. Diese Teiloperationen müssen nach dem Aufruf von EncryptInit() ausgeführt werden.
  • EncryptSingle() ist eine IBM EP11-Erweiterung der PKCS#11-Standardspezifikation und wird zur Verschlüsselung einteiliger Daten mit einen einzigen Aufruf verwendet, ohne dass die Teiloperationen EncryptInit() and Encrypt() ausgeführt werden müssen.

Das folgende Diagramm zeigt die drei aufrufenden Sequenzabläufe von GREP11-Funktionen für die Verschlüsselung. Die Abläufe können auch auf andere Operationen wie Entschlüsseln, Digest, Signieren und Prüfen angewendet werden. Weitere Informationen zur GREP11-API finden Sie in der GREP11-API-Referenz.

GREP11 Funktionen, die den Nachrichtenfluss für die Verschlüsselung aufrufen
Abbildung 1. Drei Aufrufabläufe von GREP11-Funktionen für die Verschlüsselung

Die API GREP11 kann bis zu 500 Anforderungen/Sekunde für eine einzelne Verschlüsselungseinheit verarbeiten.

Unterstützung für Post-Quantum-Verschlüsselung

Mit der API GREP11 können Sie auch post-quantum cryptographic-Operationen ausführen. Traditionelle Verschlüsselung beruht auf komplizierten mathematischen Problemen, die für klassische Computer schwierig zu lösen sind. Dank ihren Rechenkapazitäten können Quantencomputer diese Probleme jedoch lösen. Die Post-Quantum-Verschlüsselung gilt als resistent gegen kryptoanalytische Angriffe von Quantencomputern. Sie verwendet in der Regel asymmetrische Algorithmen und verfolgt mehrere Ansätze.

Die API GREP11 stellt den Dilithium-Algorithmus für die Postquantenverschlüsselung bereit. Dies ist ein gitterbasiertes digitales Signaturschema, das zur Signaturerzeugung und -verifizierung verwendet werden kann. Derzeit wird nur die Hochsicherheitsversion von Round 2 Dilithium unterstützt und ist für SignUpdate-und VerifyUpdate-Operationen nicht verfügbar.

Der Dilithium-Algorithmus wird nur von der Verschlüsselungskarte IBM 4769 unterstützt, die auch als Crypto Express 7S (CEX7S) bezeichnet wird. Wenn Sie Ihre Instanzen in VPC-basierten (Virtual Private Cloud) Regionen erstellen, in denen die CEX7S-Verschlüsselungskarten verwendet werden, können Sie den Dilithium-Algorithmus für die Post-Quantum-Verschlüsselung mit der GREP11-API verwenden. Eine Liste der VPC-basierten Regionen finden Sie unter Regionen und Standorte.

Weitere Informationen zur Unterstützung von Dilithium-Algorithmen in GREP11 finden Sie in der GREP11-API-Referenz. Codebeispiele für Dilithium-Algorithmen finden Sie auch in den folgenden Repositorys: