PKCS #11 -标准套餐简介

应用程序

应用程序在单个地址空间中运行。 所有控制线程都在应用程序中运行。 通过从其中一个线程调用 Cryptoki 函数 C_Initialize，应用程序将成为 Cryptoki 应用程序。 进行此调用后，应用程序可以调用其他 Cryptoki 函数。 当应用程序完成使用 Cryptoki 时，它将调用 Cryptoki 函数 C_Finalize，并且不再是 Cryptoki 应用程序。

如果要在 IBM Z (s390x) 平台上使用 SunPKCS11 提供程序运行 Java PKCS #11 应用程序，请确保使用最新的 IBM Semeru JVM，并在启动应用程序时指定 -Xjit:noResumableTrapHandler Java 选项。 您可以通过在 IBM Semeru Runtime Downloads 页面上将 Architecture 过滤器字段更改为 s390x 来下载 IBM Semeru JVM 的最新 s390x 版本。

用户

PKCS #11 标准定义了两种类型的用户用于登录: 安全主管 (SO) 和普通用户。 如果用户未使用 C_Login Cryptoki 函数登录，那么该用户也称为匿名用户。 只有普通用户才能访问令牌上的专用对象，并且只有在认证普通用户之后才会授予该访问权。 在 Hyper Protect Crypto Services PKCS #11 实现中，安全主管和普通用户通过 API 密钥进行认证。 还支持匿名用户。 有关设置 PKCS #11 用户类型的指示信息，请参阅 设置 PKCS #11 用户类型的最佳实践。

会话

Cryptoki API 要求应用程序使用令牌打开一个或多个会话，以获取对令牌的对象和功能的访问权。 会话提供应用程序与令牌之间的逻辑连接。 会话可以是读/写 (R/W) 会话或只读 (R/O) 会话。

要获取对令牌的专用对象的访问权，正常用户需要登录并进行认证。 请参阅 PKCS #11 加密令牌接口使用指南，以深入了解会话。

键对象

密钥对象存储在驻留在 PKCS #11 应用程序中的内存中密钥库中，或存储在数据库支持的密钥库中。 如果针对密钥对象将 CKA_TOKEN 属性设置为 true，那么密钥对象将存储在数据库支持的密钥库中。 否则，密钥对象将存储在内存中的密钥库中。

在主密钥轮换之后，不会自动轮换内存中密钥库中的密钥对象。 如果在服务实例中启用了 PKCS #11 密钥库，那么在主密钥轮换完成后，需要重新启动所有活动的 PKCS #11 应用程序以清除内存中的密钥库。

如下图所示，PKCS #11 密钥对象是 PKCS #11 对象类的示例:

• 数据: 数据对象由应用程序定义。
• 证书: 证书对象存储证书。
• 密钥: 密钥对象存储密钥。 密钥可以是公用密钥，专用密钥或密钥。 这些键的每种类型都有用于特定机制的子类型。
  • 公用密钥: 密钥对的公用组件，任何人都使用该密钥对来加密针对特定收件人的消息，该收件人有权访问密钥对的专用密钥。 公用密钥还用于验证专用密钥创建的签名。
  • 专用密钥: 用于解密消息的密钥对的专用组件。 专用密钥还用于创建签名。
  • 密钥: 密钥是生成的比特流，用于对消息进行对称加密和解密。

Cloud Identity and Access Management

IBM Cloud Identity and Access Management (IAM) 为 PKCS #11 API 的实现提供用户认证和访问控制。 通过使用 API 密钥，PKCS #11 库获取用于执行 Cryptoki API 调用的不记名令牌。

PKCS #11 的此实现将 API 密钥等同于用户的 PIN。 有关设置服务标识和相应 API 密钥的更多信息，请参阅 为 SO 用户，普通用户和匿名用户创建服务标识。

加密服务

作为 PKCS #11 库初始化过程的一部分，将建立从 PKCS #11 库到 IBM Cloud的 gRPC 连接。 gRPC 连接有助于 PKCS #11 库调用需要使用硬件安全模块 (HSM) 的 Cryptoki 函数，例如 C_Encrypt，C_Decrypt，C_Sign 和 C_Verify。

密钥库

提供了两种主要类型的密钥库:

• 内存中密钥库: 将密钥对象临时存储在内存中。 存储在内存中密钥库中的密钥对象也称为 会话对象。 当您为特定会话调用 C_CloseSession 函数时，将销毁该会话中的会话对象。 调用 C_Finalize 函数后，将销毁所有会话中的会话对象。
• 数据库支持的密钥库: 将密钥对象存储在数据库中。 存储在数据库支持的密钥库中的密钥对象也称为 令牌对象。 如果启用了 sessionauth 参数，并且配置了密钥库的密码，那么将对数据库支持的密钥库进行加密和认证。 缺省情况下，sessionauth 参数处于禁用状态。 对于每个服务实例，最多支持五个已认证的密钥库。 您可以启用 sessionauth 参数以将生成的密钥加密到密钥库中，或者在使用该密钥之前对其进行解密。 密码可以是 6-8 个字符。

密钥库密码未存储在服务实例中。 作为密钥库管理员，您负责维护密码的本地副本。 如果密码丢失，您需要联系支持团队以重置密钥库，这意味着将清除密钥库中的所有数据。

内存中密钥库和数据库支持的密钥库都由以下类型的密钥库组成:

• 公用密钥库: 存储不太敏感且可供任何用户类型访问的密钥。
• 专用密钥库: 存储加密敏感数据的密钥以及仅供普通用户访问的密钥。

根据 用户类型 和密钥属性设置，生成的密钥将存储在不同的密钥库中。 以下列表汇总了密钥存储方式的条件:

• CKA_TOKEN 属性值决定生成的密钥是存储在内存密钥库中还是存储在数据库支持的密钥库中。

  如果要将密钥存储在数据库支持的密钥库中，请在密钥或密钥对生成模板中将 CKA_TOKEN 设置为 TRUE。 PKCS #11 库初始化过程与 IBM Cloud建立 gRPC 连接，这有助于在数据库支持的密钥库中存储和检索密钥对象。 缺省情况下，CKA_TOKEN 设置为 FALSE，这意味着密钥对象存储在 PKCS #11 应用程序的进程地址空间内的内存中密钥库中。

• CKA_PRIVATE 属性值决定是将普通用户生成的密钥存储在公用密钥库还是专用密钥库中。

  缺省情况下，如果用户以普通用户身份登录，那么生成的密钥将存储在专用密钥库中，但 CKA_PRIVATE 设置为 FALSE 的情况除外。 如果用户以 SO 用户身份登录或未登录 (称为匿名用户)，那么生成的密钥将始终存储在公用密钥库中。 如果 SO 用户或匿名用户在密钥生成模板中对 TRUE 指定 CKA_PRIVATE，那么将从服务器返回错误。

  对于非对称密钥对，您需要为公用密钥和专用密钥分别设置 CKA_PRIVATE 属性，这意味着密钥对可以存储在不同的密钥库中。

请参阅下表，以获取有关用户类型，密钥属性和密钥库之间的关系以及密钥存储方式的详细说明。