Объекты PKCS#11, PIN, PUK и неэкспортируемые ключи¶
PKCS#11 различает слот, токен, объект, сессию и роль пользователя. Эти понятия важны для безопасного использования аппаратных ключей НАЙС.ОС.
| Объект | Назначение |
|---|---|
CKO_PRIVATE_KEY |
Закрытый ключ; может быть неэкспортируемым |
CKO_PUBLIC_KEY |
Открытый ключ, не являющийся секретом |
CKO_CERTIFICATE |
X.509-сертификат, связывающий открытый ключ с субъектом |
CKO_DATA |
Дополнительные объекты и метаданные |
Атрибуты CKA_SENSITIVE, CKA_EXTRACTABLE, CKA_TOKEN, CKA_SIGN, CKA_DECRYPT и другие определяют, разрешена ли операция и остаётся ли объект после закрытия сессии.
PIN пользователя и роль администратора токена¶
- Пользовательский PIN разрешает криптографические операции с защищёнными объектами.
- SO PIN (или аналог роли администратора) используется для операций управления токеном.
- PUK, если поддерживается устройством, применяется для разблокировки PIN по правилам производителя.
- Лимит неверных попыток устанавливается устройством. Попытки подбора могут заблокировать токен.
Проверка состояния без аутентификации:
Не передавайте реальные PIN через --pin в командной строке: значения могут появиться в журнале оболочки и списке процессов. Предпочтителен интерактивный запрос средства, которое поддерживает безопасный ввод PIN.
Неэкспортируемый ключ¶
При выпуске корпоративного ключа выбирайте политику, при которой закрытый ключ генерируется в токене, помечается как чувствительный и не подлежит экспорту. Для сертификата можно экспортировать только открытый ключ или сертификат. Проверяйте ограничения реального модуля, а не полагайтесь на название атрибута в выводе.
Ротация и восстановление¶
Неэкспортируемый ключ невозможно «восстановить из PEM». Для замены носителя обычно выпускают новую ключевую пару и перевыпускают сертификат. Потерянные или скомпрометированные сертификаты отзывают через УЦ. В регламент включите резервное устройство, доступность администраторов, контроль запасных PIN/PUK и план отзыва.