Диагностика PKCS#11 и аппаратных ключей¶
| Симптом | Что проверять |
|---|---|
| Токен не виден в USB | Подключение, проброс USB в виртуальную машину, журнал ядра |
| Слот не виден | PC/SC, модуль PKCS#11, права на устройство |
| Механизм ГОСТ отсутствует | Возможности устройства и модуля производителя |
CKR_PIN_INCORRECT |
Роль пользователя, PIN-политика, оставшиеся попытки; не угадывать PIN |
CKR_USER_NOT_LOGGED_IN |
Требуется аутентификация пользователя токена |
CKR_MECHANISM_INVALID |
Запрошенный алгоритм не реализован или не подходит объекту |
CKR_KEY_FUNCTION_NOT_PERMITTED |
Атрибуты ключа запрещают операцию |
| PKCS#11 ключ не виден OpenSSL | Отсутствие PKCS#11 Provider, неверный URI, неверный модуль |
Безопасный набор проверок¶
p11-kit list-modules
systemctl status pcscd.service pcscd.socket --no-pager
openssl list -providers
pkcs11-tool --module /path/to/vendor.so --list-slots
pkcs11-tool --module /path/to/vendor.so --list-mechanisms
Если в журнале обнаружены PIN или токены с персональными метаданными, очистите их перед отправкой в службу поддержки. Не включайте подробное трассирование вызовов PKCS#11 в промышленной системе без оценки того, не попадают ли чувствительные данные в журнал.
Проверка после обновления¶
Сохраните перечень механизмов и метки тестовых объектов до обновления, обновите ПО в тестовом контуре, повторите обнаружение, тестовую подпись и проверку сертификата. Простая загрузка библиотеки не заменяет сквозную проверку криптографической операции.