Перейти к содержанию

PKCS#11, аппаратные ключи и смарт-карты

В НАЙС.ОС инструменты p11-kit, pcsc-lite и OpenSC помогают приложениям работать с внешними криптографическими устройствами. PKCS#11 — общий интерфейс доступа к ключам, сертификатам и операциям токена. ГОСТ-алгоритмы выполняются тогда, когда соответствующие механизмы поддерживает установленный PKCS#11-модуль и само устройство.

Схема работы

  1. USB-токен или смарт-карта подключается к узлу.
  2. Драйвер устройства и pcscd обеспечивают обмен с носителем, если он использует PC/SC.
  3. Модуль PKCS#11 производителя предоставляет слоты, объекты и механизмы.
  4. p11-kit помогает приложениям находить зарегистрированные модули.
  5. Приложение обращается к ключу, например через OpenSSL с pkcs11-provider.

Закрытый ключ, созданный как неэкспортируемый объект в токене, остаётся внутри носителя. Внешнему приложению возвращается результат операции подписи или другой поддерживаемой операции.

Важное разделение

  • OpenSC предоставляет универсальные драйверы и инструменты смарт-карт, но не заменяет специализированный ГОСТ-модуль конкретной модели.
  • SoftHSM в НАЙС.ОС полезен для обучения PKCS#11, однако его сборка не включает ГОСТ-механизмы. Используйте его для общей модели токенов, а не для демонстрации ГОСТ-подписей.
  • Рутокен, JaCarta и HSM требуют совместимого модуля производителя. Список возможностей определяется моделью и версией её прошивки.
  • OpenSSL GOST Provider обеспечивает ГОСТ-алгоритмы в OpenSSL, а PKCS#11 Provider осуществляет доступ к ключу токена. Это разные компоненты.

Руководства