Introduction à EP11 sur gRPC-Plan Standard

Enterprise PKCS #11 (EP11) est conçu pour les clients qui recherchent une prise en charge des normes ouvertes et une sécurité renforcée. La bibliothèque EP11 fournit une interface sans état, qui est similaire à la norme de l'industrie API #11 Public-Key Cryptography Standards(PKCS). L'API PKCS #11 définit une API indépendante de la plateforme pour les jetons de chiffrement, tels que les modules HSM (Hardware Security Module) et les cartes à puce. Les applications existantes qui utilisent PKCS #11 bénéficient d'une sécurité renforcée, via l'utilisation d'une cryptographie à base de clés sécurisées ainsi que d'une interface sans état, ce qui rend les opérations de chiffrement beaucoup plus efficaces.

Pour plus d'informations sur la bibliothèque EP11, consultez le document Enterprise PKCS #11(EP11)Library structure. Pour plus d'informations sur les fonctionnalités et les extensions EP11, voir Introduction àEP11.

IBM Cloud® Hyper Protect Crypto Services fournit un ensemble d'appels API EP11 sur gRPC (GREP11), avec lequel toutes les fonctions de chiffrement sont exécutées dans le module HSM en cloud d'Hyper Protect Crypto Services. L'API GREP11 est une interface sans état pour les opérations de chiffrement sur le cloud.

Hyper Protect Crypto Services utilise des infrastructures telles que gRPC pour activer l'accès à l'application distante. GRPC est une infrastructure moderne d'appel de procédure à distance (RPC) à haute performance qui permet de connecter des services dans et entre les centres de données pour l'équilibrage de charge, le traçage, la vérification de la santé et l'authentification. Les applications accèdent à Hyper Protect Crypto Services en appelant l'API EP11 à distance via gRPC. Pour plus d'informations sur gRPC, voir la documentation gRPC.

Avec l'API GREP11, vous pouvez exécuter les opérations suivantes :

• Génération de clé
• Chiffrement et déchiffrement
• Signature et vérification
• Encapsulage et désencapsulage de clés
• Dérivation de clés
• Génération d'un résumé de message
• Extraction d'informations relatives aux mécanismes

Pour certaines opérations, il existe une série de sous-opérations. Par exemple, l'opération de chiffrement de données à plusieurs parties est composée des sous-opérations EncryptInit(), EncryptUpdate() et EncryptFinal().

• EncryptInit() est utilisé pour initialiser une opération.
• Encrypt() est utilisé pour chiffrer les données ne comportant qu'une partie sans qu'il soit nécessaire d'effectuer des sous-opérations EncryptUpdate() et EncryptFinal(). Cette opération doit être effectuée après l'appel EncryptInit().
• EncryptUpdate() et EncryptFinal() sont utilisés conjointement pour effectuer un chiffrement de données à plusieurs parties. Ces sous-opérations doivent être effectuées après l'appel EncryptInit().
• La sous-opération EncryptSingle(), qui est une extension IBM EP11 vers la spécification PKCS#11 standard, est utilisée pour effectuer un appel unique pour chiffrer les données ne comportant qu'une partie sans qu'il soit nécessaire d'exécuter les sous-opérations EncryptInit() et Encrypt().

Le diagramme suivant montre les trois flux de séquences d'appel des fonctions GREP11 pour procéder au chiffrement. Les flux peuvent également s'appliquer à d'autres opérations telles que le déchiffrement, le prétraitement, la signature et la vérification. Pour plus d'informations sur l'API GREP11, voir Référence de l'API GREP11.

L'API GREP11 peut traiter jusqu'à 500 demandes par seconde pour une seule unité de chiffrement.