Pkcs11Interop从HSM读取密钥值
Pkcs11Interop是一个开源的跨平台库，用于从硬件安全模块（HSM）中读取密钥值。它提供了一组API，使开发人员能够与HSM进行通信，并执行各种密钥管理操作。
Pkcs11Interop的主要功能包括：
- 密钥管理：Pkcs11Interop允许开发人员从HSM中读取密钥值，包括对称密钥、非对称密钥和证书等。这些密钥可以用于加密、解密、签名和验证等操作。
- 安全存储：Pkcs11Interop提供了安全的密钥存储机制，确保密钥在传输和存储过程中的安全性。它使用HSM的硬件加密功能来保护密钥。
- 密钥保护：Pkcs11Interop支持使用密码、PIN码或其他安全措施来保护密钥的访问。这样可以防止未经授权的访问和使用。
- 多厂商支持：Pkcs11Interop兼容多个HSM厂商的设备，包括硬件和软件模拟器。这使得开发人员可以在不同的环境中使用相同的API进行密钥管理操作。
Pkcs11Interop的应用场景包括：
- 安全通信：Pkcs11Interop可以用于保护网络通信中的密钥，确保数据的机密性和完整性。它可以与SSL/TLS协议一起使用，提供安全的加密通信。
- 数字签名：Pkcs11Interop可以用于生成和验证数字签名，确保数据的真实性和不可抵赖性。它可以在电子商务、电子政务和数字证书领域中广泛应用。
- 加密存储：Pkcs11Interop可以用于保护存储在数据库、文件系统或其他存储介质中的敏感数据。它可以确保数据在存储和传输过程中的安全性。
- 身份认证：Pkcs11Interop可以用于实现强大的身份认证机制，确保只有经过授权的用户才能访问系统。它可以与智能卡、USB令牌和生物识别设备等硬件一起使用。
腾讯云提供了一系列与HSM相关的产品和服务，包括云加密机（Cloud HSM）、密钥管理系统（Key Management System）等。您可以访问腾讯云官方网站了解更多详细信息和产品介绍。
Pkcs11Interop官方网站：https://www.pkcs11interop.net/
相关·内容
我已经使用PKCS11Interop generate key API在HSM中生成了一个RSA公私密钥对。我想导出密钥对。我使用Findobject API来获取密钥，GetAttributeValue接口返回一个ObjectHandle，当我使用Findobject API读取属性时，我无法读取密钥的值。当我将密钥的属性CKA_EXTRACTABLE设置为true时，我不能完全生成密钥。
另外，我需要在HSM中导入外部提供的密钥对。
任何帮助都是非常感谢的。
浏览 4提问于2017-02-27得票数 5
我们在应用程序中使用Pkcs11Interop API来使用存储在Thales nShield HSM中的私钥对摘要进行签名。
为了满足DR方案的需要，我们的数字签名应用程序托管服务器注册为主Thales nShield HSM和DR(备用) nShield HSM的HSM客户端。这里，基于以下假设:安装的安全世界软件将在创建nShield连接之前检测活动的高速移动，这两个Thales的IP地址是不同的。
当我们通过关闭主Thales nShield HSM来测试DR(故障转移)方案时，Pkcs11Interop给出了错误：
方法C_Initialize返回CKR_FUNCTION_FAIL
浏览 0提问于2018-07-25得票数 0
回答已采纳
我试图使用BouncyCastle库在.Net应用程序中生成X509Certificate，同时希望使用存储在HSM中的密钥。我的解决方案是在HSM中生成HSM密钥对，将ECPoint和密钥返回给.Net应用程序，并重新生成一个用于生成签名的椭圆密钥。
在生成椭圆密钥之后，在检查其有效性时，我得到了一个错误：UnManagedException: Public key presented not for certificate signature。这是代码中引起错误的部分：
X509Certificate rootCertificate = new X509Certificate (
浏览 9提问于2022-11-01得票数 0
回答已采纳
我正在使用PKCS11Interop在HSM中执行密钥管理操作。我使用的HSM是网络HSM，Thales N-Shield。以下是我的设置的详细信息：
1- HSM
1- RFS服务器
3-客户端
我的软件应用程序是分布式的，并托管在这3个客户端上。密钥将在其中一个客户端中生成，并可由存在于其他客户端中的应用程序组件使用。
但是，我注意到在一个客户端机器上生成的密钥对于其他客户端机器是不可访问的，除非两个客户端都执行rfs-sync。
问:有没有一种方法可以使用一些PKCS11Interop应用程序接口将客户端密钥与RFS同步？如果为No，则以何种方式在RFS和客户端计算机之间同步密钥。
我知
浏览 13提问于2017-08-01得票数 1
回答已采纳
我正在尝试将safenet HSM集成到我们的应用程序中。我正在用C编写程序，我指的是来自RSA实验室的PKCS11 v2.20加密标准文档。我需要生成一个AES 256位密钥。在为密钥生成定义模板时，我不确定需要为CKA_VALUE传递什么值。在生成DES3密钥时，我没有提供这个属性，并且能够生成一个密钥。
我搜索了CKA_LABEL的示例程序，但没有在C中找到任何可靠的示例。我找到了一些使用CKA_VALUE_LEN而不是CKA_VALUE的Java程序。我不确定这是否有效。
这是文档中给出的片段。大多数网站只给出了这个片段作为例子。没有为数组值指定任何内容。
CK_OBJECT_CLAS
浏览 0提问于2018-12-20得票数 3
我们使用Ncipher/Thales来存储密钥。用于此目的的操作员卡通过密码进行保护。我们使用PKCS11Interop与高速机床进行通信，需要提供PIN来与高速机床进行通信。在无人值守的过程中存储这类安全引脚/密码短语的行业惯例是什么？我们需要将我们的应用程序安装在多个盒子中，如何维护密码的安全性。
浏览 4提问于2017-04-03得票数 1
2回答
我有一个处理加密数据的应用程序，我试图尽可能小心地使密钥不可访问，但当然应用程序需要以某种方式知道它们。
我已经将键硬编码为函数返回值，所以它们不会在内存中停留太长时间，但是我猜它们仍然可以被读取。有没有办法让一个内存区域变得不可访问？我不是一个计算机科学家，所以如果这是一个众所周知的问题(我怀疑它是)，我很抱歉。
保护它们免受反编译器的攻击是另一天的问题...
提前感谢！
浏览 0提问于2016-07-26得票数 1
在TLS中使用短暂的Diffie-Hellman (DHE)时，密钥交换密钥可以/将在密钥交换之后丢弃。对吗？
当块密码密钥仍然存储在RAM中时，是否有充分的理由使用HSM来生成和存储DHE密钥？
浏览 0提问于2023-03-28得票数 1
1回答
计划有以下要求：
客户端应用程序应该使用组件1、组件2和ZPK (zone PIN密钥)执行加密/解密。客户端应以加密形式从主机获取此密钥)。
主机应用程序应该使用密钥MK (由组件1和组件2形成的主密钥)和ZPK来执行加密/解密。
下面是我如何生成组件
Online-AUTH>GC
Enter LMK id [0-2]: 0
Enter key length [1,2,3]: 2
Enter key type: 002
Enter key scheme: u
Clear component: **** **** **** **** **** **** **** ****
浏览 1提问于2015-10-15得票数 3
Derby数据库支持使用密钥或密码进行加密。传统上，这个密钥存储在文件系统中，现在我想在HSM中存储和保护这个密钥，但是我不知道该如何做。
最简单的方法似乎只是把钥匙本身放入HSM？然后，在服务器启动时，应用程序将查询HSM中的键，使用它引导Derby数据库，然后丢弃密钥。然而，我读到它似乎是无效的，因为可以简单地提取密钥，但是我并不真正理解这个appraoch的安全问题是什么，这是我应该采取的方法吗？
我读到的第二种方式是混合加密，但我不确定它是否适用于我的情况。我将生成一个对称密钥，然后在HSM中生成一个键盘。然后，我将使用HSM中的公钥加密对称密钥，并将其本地存储在文件系统中。在服务器启
浏览 0提问于2014-09-26得票数 3
2回答
我是HSM的新手，我找不到任何关于详细沟通的信息。HSM和主机应用程序之间的通信是如何工作的？我知道有一些驱动程序，但我想了解一下密钥解密和加密的部分。应用程序如何加密消息？它是如何知道具体的密钥的？
感谢您的支持。
干杯，霍斯特
浏览 13提问于2019-11-26得票数 0
1回答
我指的是以下文件：
先决条件之一是：
Thales HSM，智能卡和支持软件
我的问题是，我真的需要购买一个物理HSM来生成键使用HSM？
浏览 2提问于2016-01-29得票数 1
回答已采纳
设想情况：
在安装和配置CloudHSM CloudHSM客户端时使用Amazon。
为具有certreq.exe和provider Cavium Key Storage Provider的代码签名证书创建CSR。
提交CSR签署CA
接受与certreq.exe签署的证书
现在，我在一台服务器上有了一个证书，该证书链接到我们亚马逊CloudHSM上的私钥。
我需要在另一台服务器上使用相同的证书。我已经在另一台服务器上安装和配置了Windows客户端，并且能够使用CloudHSM命令行实用程序连接到HSM，并查看我先前从另一台服务器创建的证书的密钥。
我尝试过将证书(没有私钥)导入到此服务器的
浏览 0提问于2019-03-01得票数 0
1回答
假设我正在开发一个CEX，因此我将保管用户的密钥。我如何才能做到这一点，并确保安全和安保？
据我所知，我可以从种子短语生成用户的密钥，并存储用于生成密钥的路径。这些种子短语将存储在HSM中。
浏览 0提问于2022-05-31得票数 0
3回答
我们使用外部HSM设备来创建和存储密钥，并将其用于TDE。我们的审计师在问关于钥匙在哪里的问题。因此，很明显，密钥存储在外部HSM设备中。
在这个链接中，在步骤5下，
USE master ;
GO
CREATE ASYMMETRIC KEY ekm_login_key
FROM PROVIDER [EKM_Prov]
WITH ALGORITHM = RSA_512,
PROVIDER_KEY_NAME = 'SQL_Server_Key' ;
GO
这是否也会在主DB中创建密钥的副本？
对于TDE，SQL Server需要多久与EKM设备联系一
浏览 0提问于2018-09-20得票数 1
我已经在TPK下加密了一个PIN块(明文)
当我要将我的PIN块从TPK下的加密转换为ZPK下的加密时，它会给我错误代码24或20。
我可以做些什么来解决我的问题？我已经尝试了很多方法，但没有得到解决。
我使用的转换命令是CA - Translate a PIN from TPK to ZPK/BDK (3-DES DUKPT) Encryption。
所有这些我的操作都与thales HSM模拟器完美地配合工作。
浏览 1提问于2014-12-10得票数 2
2回答
我觉得我好像错过了什么。我知道HSM可以为您的密钥、加密数据等提供100%的防弹保护。但是，在您访问HSM并将您的秘密复制到用户内存之后，是什么阻止攻击者窃取您的敏感数据？或者，仅仅使用相同的API来访问模块？应用程序身份验证是如何工作的？如果它是基于一些简单的东西，例如密码，为什么攻击者不能直接从内存中窃取密码，登录到HSM并获得他想要的东西？此外，如果内核被攻破，我假设它可以监听或篡改进程和HSM之间的任何通信，对吗？
浏览 2提问于2013-02-07得票数 3
回答已采纳
我正试图通过API 在中创建一个新的密钥
public Task<KeyBundle> CreateKeyAsync (
string vaultAddress,
string keyType,
KeyAttributes keyAttributes)
keyType的文档是：
要创建的键的类型(有效的WebKeyTypes之一)
什么是有效的WebKeyTypes?？
我已经搜索了MSDN文档，但没有发现任何东西。调用似乎不需要此参数？？：
Parameter Set: Create
Add-AzureKeyVaultKey
浏览 3提问于2016-06-14得票数 1
回答已采纳
我已经将我的Django应用程序部署到ElasticBean秸秆中，目的是使用它的环境变量配置接口来存储我的API密钥，而不是将它们存储在我的源代码中(如这里所描述的https://stackoverflow.com/a/17878600)。
完成此操作后，我发现Bean秸秆所称的环境变量实际上不是shell环境变量(如这里提到的https://stackoverflow.com/a/24564832/378638)，而是存储在配置文件中的实例中(如这里所描述的https://stackoverflow.com/a/24566283/378638)。
对我来说这似乎是个安全问题。这难道不辜负秘
浏览 0提问于2015-07-15得票数 16
回答已采纳
4回答
我想实现一个HSM网络，以确保数百万私钥的安全。为了提高容错能力和速度，我希望这个网络运行RAID 50 (条带、奇偶校验和复制)。据我所知，HSMs的一个关键点是，它们从不共享密钥。这是否意味着我不能运行RAID (因为我不能复制键)？还是那种“正常”的服务器网络，加上一些密码软件，就像HSM网络一样好呢？
浏览 0提问于2018-01-31得票数 1
回答已采纳
我在互联网上发现HSM是最好的存储密钥的地方，但我留下了许多未回答的questions.How服务器，HSM和数据库之间是否发生交互？这是否像服务器从HSM检索密钥来解密数据库中的数据一样？如果我们可以从HSM中检索密钥，为什么我们需要在两者之间使用HSM？我们可以使用安全的数据库来存储密钥。我觉得我错过了一些东西。
浏览 0提问于2018-06-20得票数 1
1回答
我正在考虑将一个私钥存储在HSM中的CA从环境A克隆到环境B。但是，如果私钥无法克隆，我们是否可以启动CA服务，以便我可以生成新的密钥对/CSR或重新初始化它，而不是重新安装CA服务？
基本上，如果有替代解决方案，例如编辑注册表或某些配置文件，我会尽量避免重新安装CA服务。
浏览 4提问于2018-04-02得票数 0
我正在使用IAIK包装器向我的Bull HSM发送pkcs11请求。我的目标是生成一致的密钥(token = true)。问题是我总是有这样的错误代码：
Exception in thread "main" iaik.pkcs.pkcs11.wrapper.PKCS11Exception: CKR_ATTRIBUTE_READ_ONLY
我不明白为什么它是只读的？要初始化我的会话，我要这样做(使用RW_SESSION选项)：
import iaik.pkcs.pkcs11.Mechanism;
import iaik.pkcs.pkcs11.Module;
import iai
浏览 3提问于2021-10-05得票数 0
3回答
当我们说HSM安全地存储密钥时，意味着未经授权的请求者不能访问这些密钥。
但是密钥是物理上存储在硬件中的，所以访问仍然是可能的。
如果密钥是加密的，这意味着硬件中还有另一个密钥对这些密钥进行了加密。这个密钥没有加密！
我很困惑
浏览 0提问于2019-12-05得票数 0
回答已采纳
我想简单了解一下硬件/主机安全Module.Can中的区域主密钥或区域控制主密钥，有人能解释一下吗？
浏览 1提问于2017-02-24得票数 6
回答已采纳
1回答
脱机根CA工作流
、、
我在这里回顾了几次关于脱机根CA管理的讨论。虽然有用，但没有人能完全理解我的问题。
首先，如果它的密钥位于一个网络连接的HSM中，那么它大概不会被评估为“离线”根，不管它是如何保护的(使用PIN，防火墙后面等等)？
在我的设置中，物理笔记本或台式机可以断开、关闭和物理保护，这可能是不可行的。所以我在想一些像可引导USB的产品。从主机上启动并使用Tails加密分区来存储根密钥，从而从该环境发出根CA。由于联机中间签名CA证书必须由根发出并联机(通过HSM使用密钥)，如何将发出的CA证书请求输入Tails以充分安全地创建证书？这似乎是必要的运动鞋网络和使用USB存储是强制性的。
有两个HSMs是一
浏览 0提问于2020-12-06得票数 0
我正在使用Safenet HSM (硬件安全模块)来存储我的加密密钥，并且我正在尝试解开一个使用Java和SunPKCS11使用RSA加密的秘密密钥(AES/DES)。我想安全地这样做，这样解开的AES/DES密钥就不能从HSM中提取出来(就像RSA私钥值是不可见的一样)。但是，在展开后，在HSM外部的键对象中可以看到解开的键的值。
下面是我的代码：
Key privateKey = keyStore.getKey("MyKeyId", keyStorePassword);
Cipher cipher = Cipher.getInstance("RSA", &
浏览 79提问于2018-09-07得票数 4
1回答
在许多情况下，只有一个主键安装在HSM或类似的设备中，但是应该备份。在许多情况下，此备份的推荐方法是将主密钥加密到多个智能卡，从这些智能卡中恢复主密钥所需的"n out m“样式设置。一些HSM设备本机支持这一关键备份方法，但没有透露确切的算法。
这显然是徒劳无功的：
用长密码加密主密钥
使用一些秘密共享算法(Shamir's)来拆分密码
加密每个智能卡的每个生产部件
现在，我的问题是：
是否有任何现有的加密标准或业界接受的做法来做到这一点，还是仅仅是自制的？我正在特别寻找解决方案，与智能卡使用。
浏览 0提问于2013-03-16得票数 7
回答已采纳
在生产中出现了这种情况，他们必须将一个HSM中生成的密钥复制到其他HSM中，以便集群中的所有节点都使用相同的密钥。因此，如果在复制时，它们将不得不导入，对吗？因此，一旦密钥被复制，HSM是否必须重新启动，或者可以在没有停机时间的情况下完成。HSM是Thales HSM。这是我所有的信息。
浏览 49提问于2021-06-15得票数 0
3回答
在我的数据库中，我存储了通过PHP类动态加密和解密的信息。
对于每个应用程序，我使用一个附加了用户密钥的私钥，以确保只有当用户尝试解密自己的数据时，解密才会成功。
用户' key‘存储在数据库中；但私钥(应用程序级别)在FS中存储为txt-file。当然，“高于”web-root。
考虑因素：-如果数据库被黑客入侵:它们最终得到密钥的一部分，加密数据-如果PHP停止或损坏:它们最终只有一个页面，其中只有include('../private/private.php')。
如果NGINX失败，则：连接“只是”断开。
我能想到的唯一的情况就是系统本身的崩溃。但服务器运行防火
浏览 0提问于2013-12-11得票数 7
我必须在azure密钥库中配置RSA HSM公钥和私钥，并以加密的形式保存数据。
浏览 12提问于2019-05-15得票数 0
5回答
我正在编写一个应用程序App1。这个应用程序使用SQLite数据库，我计划使用AES256加密它。对于对称加密，我需要一个密钥，我需要存储在某个地方。
在类似问题中，我有几个选项，但没有一个适用于我的情况：
将加密密钥绑定到您的管理登录名，我不信任当前登录的用户。事实上，我想对任何人隐瞒这件事，除了App1。
将加密密钥绑定到硬件上。App1被部署到数千台机器上，有些可能不需要硬件。
启动时键入加密密钥，将其存储在内存中。用户不能访问App1密钥。
将密钥存储在其他服务器上。当App1运行时，机器被允许离线。
将密钥存储在同一台服务器的其他位置。然后就可以找到了。
将密钥存储在数据库中。我需要
浏览 0提问于2013-03-14得票数 11
回答已采纳
有一个任务是用存储在HSM (我想是LMK)中的密钥对消息进行加密，以便将加密的消息保存到数据库中。稍后也会解密。我找到的命令是M0/M2。正如我所看到的，这两个命令还需要我自己的键。
我可能会以某种方式(用HSM或其他方式)生成自己的密钥，但是消息最终是如何加密的？用我的和LMK的钥匙？另一种方式？我也应该把自己的钥匙藏在某个地方吗？
用内部HSM密钥加密消息是一种更直接的方法吗？
感谢提前，我是非常新的HSM泰勒斯。
浏览 0提问于2018-01-18得票数 0
回答已采纳
1回答
AWS KMS和现场HSM
、、、、
任何人能为我定义数据加密和解密的进程流程吗?在通过IPSEC隧道连接到AWS的数据中心运行本地HSM。使用本地HSM进行这些操作。加密和解密对象、数据的流程是什么？数据显然没有发送到HSM，但是具体是什么呢？计划将CMK保留在当地的HSM中。
浏览 0提问于2018-10-17得票数 0
这是一个非常新的IT安全问题..。
我必须迅速为我们的应用程序实现这样的解决方案.我们有一个二进制可执行文件，它被赋予一个配置文件。我需要加密配置文件，以便不受信任的用户可以获得二进制文件和加密配置文件(可能是公钥或其他什么)，并且应该能够使用加密文件运行二进制文件。
你能建议一个密码学范例&/或c++密码库，允许我这样做吗？我正在考虑用一个静态的河豚密钥加密配置文件，这个密钥被硬编码成二进制文件，作为一个紧急的修复程序，这将根据我从密码栈交换中得到的建议，稍微提高配置文件的大小。
从长远来看，什么是好的设计？我的目标是防止以下问题:-
随意读取xml配置/输入文件
通过搜索文本或数据
浏览 0提问于2014-04-30得票数 1
回答已采纳
--更新
我对HSM有一个错误的理解，我认为它们类似于巨大的USB令牌！
(>﹏<)‘~
让我们来加密它们的私钥存储在HSM中，但是它们怎么能拥有许多具有相同密钥的HSM呢？
我认为它们必须有多个服务器才能发出这么多证书，那么这些服务器怎么能有一个具有相同私钥的HSM呢？
浏览 0提问于2018-08-16得票数 1
回答已采纳
对于恢复TDE备份，MS很清楚:在EKM的情况下，证书必须在目标或上还原，这是非对称密钥。
移动受TDE保护的数据库时，还必须移动用于打开DEK的证书或[非对称密钥]。证书或非对称密钥必须安装在目标服务器的主数据库中，以便server可以访问数据库文件
现在，不存在内置于Server的非对称备份。我们可以假设EK可以导出它吗？？我们可以还原创建为强名称文件的Asym键，但是带有EKM的Asym key的create语句看起来不支持源文件。
CREATE ASYMMETRIC KEY SQL_EKM_RSA_2048_Key_TDE
FROM Provider [SafeNetLunaHSM]
浏览 0提问于2018-04-18得票数 1
例如，我有一个允许用户与第三方应用程序集成的应用程序。它将这些应用程序的API键以纯文本形式存储在AWS RDS中(这是一个非常老的功能)。从安全性的角度来看，是否值得对这些字段进行加密呢？在数据泄露的情况下，DB无论如何都是在静止状态下加密的，对攻击者来说是无用的？
浏览 0提问于2022-10-18得票数 1
2回答
密钥管理/存储系统
、、、
在我的公司，我们有几千个硬件设备，安装在外部，所有这些设备都将数据发送回中央服务器。他们每小时都会发回数据。
这些硬件设备中的每一个都使用单独的加密密钥(通常是AES 128位加密)加密它们发送的数据，但是还有其他几种加密方法，包括非对称加密方法。
我需要做的是安全地存储所有这些密钥，从输入服务器可以解密输入数据时，输入系统是用C# .NET制作的。出于安全考虑，加密密钥必须存储在另一台服务器上。您知道有任何加密密钥存储系统支持上述功能吗？
我们目前可能只有几千个硬件设备，但是这个系统应该能够处理1000多个硬件设备。
通过测试和研究，我已经发现像Oracle Key Vault这样的系统对我
浏览 0提问于2014-11-06得票数 2
2回答
我的公司已经购买了高速缓存，我们将在其中生成密钥对和csr，然后将csr传递给CA，当收到来自CA的.cer时，我们需要将.p12提供给用户。这样的安排可能吗？因为我听说HSM不允许出口任何东西。在露娜的HSM中如何做到这一点？
浏览 4提问于2018-03-13得票数 1
1回答
所以我读了这个
Traditionally, keys have been managed in haphazard ways, from SCP-ing
keys around your instances to baking them into machine images. The safe
way to manage high-value keys has been to employ dedicated Hardware
Security Modules (HSMs), either on-premise or with the AWS CloudHSM
service. I
浏览 1提问于2018-03-13得票数 1
回答已采纳
2回答
无论使用什么技术来存储加密密钥和登录，似乎所有的路都会返回到程序内存(据我所知)，因为密钥和登录的未加密版本将存储在那里以执行加密和登录，攻击者可以从RAM中实际读取。
这是真的吗？如果是这样的话，是否有任何方法可以防止密钥和登录被存储在未加密的内存中？
浏览 0提问于2013-05-29得票数 2
回答已采纳
4回答
纸上密钥备份方法
、、
把钥匙备份到纸上的方法是什么？
其思想是要有合理的保护和恢复能力，在数字备份丢失的情况下，关键。
有什么东西可以将标准的PKCS键转换成简单的纸张表示吗？(例如拿一个键输出一个单词或者QR代码？)
意图：
其目的是让技术含量较低的人有一种简单的方法来备份他们的钥匙，例如把文件归档在某个地方。它也应该相当容易恢复。
浏览 0提问于2020-05-29得票数 5
1回答
我们在AWS上托管了一组微服务。集群有一个面向公共的网关，它使用弹性负载均衡器来终止SSL通信。证书由AWS证书管理器(ACM)颁发。
我们的客户之一关注通配符:他们说，在不太可能但并非不可能的事件中，泄露SSL私钥，攻击者可以使用该证书创建具有任意子域的网站。
虽然这是真的，但问题是，这种情况发生的可能性有多大？我读过AWS的ACM私钥安全，它解释了私钥是如何存储和处理的。它存储在足够安全的KMS中，因为它将所有密码密钥存储在经过认证的HSM中(这在KMS密码细节白皮书中有解释)。但是，我找不到关于ELB服务安全性的任何信息，他们将解密的SSL私钥作为服务与ACM集成在一起。是否有来自AWS
浏览 0提问于2019-01-10得票数 1
2回答
根据PCI的要求，我们必须使用HSM (硬件安全模块)或密钥服务器来存储KEK (密钥加密密钥)。
如果我将加密的DEK (数据加密密钥)存储在App中，如何安全地存储加密DEK的KEK？
两个选项：
如果我决定使用密钥服务器，那么如果有人侵入App，他可以轻松地访问密钥服务器。那么如何保护我的密钥服务器呢？
如果HSM被用来存储KEK，那么如果有人侵入我的应用服务器，他们也能黑我的HSM吗？
这两种方法中哪一种更安全，HSM还是密钥服务器？
浏览 0提问于2014-03-03得票数 11
1回答
我们有少数使用透明数据加密(TDE)加密的MSSQL数据库，而没有HSM。因此，当前的链是：
服务主密钥( -> )
主密钥( -> )
用DMK ->加密的高级证书
数据加密密钥(DEK)
数据库使用相同的证书进行加密。是否有可能使用HSM而不必重新加密所有数据库的迁移路径？
(大约有100 to的数据，所以如果可能的话，我会尽量避免重新加密)
浏览 0提问于2022-09-07得票数 0
1回答
让我们考虑两个加密密钥：
1.数据加密-密钥(DEK)
2.密钥-加密-密钥(KEK)
KEK将安全地存储在HSM中，HSM将使用主密钥进行加密。数据加密密钥将使用KEK解密。
基于以上概念的
，我的怀疑是：
我们是否需要将加密的DEK发送到HSM进行解密，还是需要解密KEK并从HSM中检索它？
我只想知道密钥加解密的流程流程，同时使用HSM。
还提供任何有用的链接。
浏览 0提问于2014-01-23得票数 2
回答已采纳
也许我只是想要正确的搜索词。
mod_nss和NSS信息/设计思想是，如果密钥存储设备(在这种情况下，HSM)能够执行DH/SSL握手，那么将使用该设备(密钥不是从HSM中提取，而是在主机上用于握手，而是留在HSM上，而HSM用于执行握手)。这样做的想法是，如果您偏执(或受监管)到需要使用HSM，您将不希望您的密钥提取到主机，因为这暴露了他们的妥协。
HSM管理握手太慢
问题是握手的持续时间。即使没有PCIe，直接附加高速电机，单次TLS握手所需的时间也是可以测量的。如果您突然试图使用HSM进行握手，您将受到PCIe瓶颈和所涉及的所有管理费用的限制-- HSM通常是为安全性而构建的，而不是为了
浏览 0提问于2017-04-26得票数 1
2回答
我希望就以下几点作出澄清和提出建议： 我正在研究使用SFTP协议的安全文件传输。我们使用PGP公钥/私钥对对文件进行加密和解密。暂时，我们将公钥/私钥保存在本地系统中。但根据要求，我们希望将这些密钥保留在Azure的keyVault上。但是我没有在Azure的keyVault中找到任何与导入我现有的PGP公钥/私钥相关的文档。 在阅读了MS Azure的文档和相关博客文章后，我感到困惑，其中一些来源声称支持非对称密钥加密，但没有关于这方面的官方文档。
浏览 24提问于2019-09-11得票数 4
基本上，当我们执行generate命令(如A0 )时，就会收到一个key-under-lmk，以供以后使用。如果我们在高可用性配置中有多个HSM怎么办？我们如何确保LMK下的所有键对所有HSM实例都有相同的意义？
我所拥有的文档没有涵盖这一点，我也没有在网上找到任何关于特定型号的信息。
浏览 0提问于2020-05-18得票数 1
回答已采纳
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
腾讯会议
实时音视频活动推荐
腾讯云开发者
