Systém Windows KSP a PKCS#11 s proxy serverem PKI

This document explains the usage of PKI Proxy with HSM 2. PKI Proxy enables the usage of HSM 2 through the native Microsoft Windows APIs. For this purpose, PKI Proxy includes a KSP (Key Storage Provider) that enables its use via the CNG (Cryptography API: Next Generation) interface. Additionally it provides PKCS#11 access to the HSM 2, but this should only be used if your setup requires it for example if you need the additional authentication features of PKI Proxy, or if you need to access it from a remote machine running an application that only supports PKCS#11. In all other cases use the PKCS#11 driver from the OpenSC project directly.

The deployment of HSM 2 with PKI Proxy looks like this.

Connection between HSM 2 and PKI Proxy Server, Client and exposed client interfaces.

The HSM 2 is connected via its USB interface to the PKI Proxy server. PKI Proxy uses the OpenSC PKCS#11 driver to connect to the HSM 2 and access its keys and certificates. Clients to the PKI Proxy use the REST API of the PKI Proxy server to access the keys and certificates. Applications on the client can either use the native Windows API or a PKCS#11 driver. PKI Proxy server and client can be executed on the same computer.

Možné případy použití tohoto nastavení jsou:

  • Code signing

  • Document signing

Tip

Další informace naleznete také v oficiální dokumentaci PKI Proxy.

Předpoklady

  • HSM 2

    • Initialized

    • Provisioned with keys and certificates

  • Windows machine

    • OpenSC PKCS#11 driver installed (only required on the PKI Proxy Server).

Proxy server PKI - Server

The PKI Proxy server shares the keys and certificates from a HSM 2 for different users.

Instalace

  1. Download the PKI Proxy 2024 installer from the /n software website.

  2. Otevřete instalační program a postupujte podle průvodce instalací.

  3. V nabídce Start otevřete nástroj PKI Proxy. Pokud jste ji nainstalovali do výchozího umístění, můžete ji také spustit následujícím příkazem z dialogového okna Spustit nebo z prostředí PowerShell.

    C:\Program Files\PKI Proxy 2024\PKIProxy.exe

    Poznámka

    Nástroj PKI Proxy se minimalizuje do systémové lišty, i když je hlavní okno zavřené.

Service Configuration

Níže uvedené pokyny slouží ke konfiguraci serveru PKI Proxy.

  1. Open the PKI Proxy main window.

  2. Change to the Settings tab.

  3. Make sure the checkbox Enable TLS is checked and an appropriate certificate is used.

  4. Change to the Users tab.

  5. Nového uživatele vytvoříte kliknutím na tlačítko New…. Vyberte typ ověření, který je podporován všemi klienty.

  6. Na panelu nabídek hlavního okna klikněte na tlačítko Start a spusťte službu PKI Proxy.

Publish Certificates from the HSM 2

In the following we configure which certificates from the HSM 2 are made available through PKI Proxy.

  1. Ujistěte se, že je otevřeno hlavní okno serveru PKI Proxy.

  2. Change to the Certificates tab.

  3. Klikněte na tlačítko New…. Tím se otevře okno Akciový certifikát.

  4. Klikněte na tlačítko Select Certificate or Key… v rámu okna Certificate. Tím se otevře okno Select a Private Key.

  5. Přejděte na kartu Security Key.

  6. Click the Browse… button and select the OpenSC PKCS#11 driver library file. The text field PKCS#11 Library now shows the path to the library file.

  7. From the dropdown menu Security Key (PKCS#11) choose the slot which contains the certificate. The listed slots depend on your configuration of the HSM 2.

  8. Do textového pole „ “ (Zadejte PIN) zadejte PIN k vašemu HSM 2.

  9. Click the Open button.

  10. The text list below Certificates now shows a list of the available certificates and generic keys on the HSM 2. Select the certificate or generic key you want to share with PKI Proxy.

  11. Výběr potvrďte kliknutím na tlačítko OK. Tím se vrátíte do okna Akciový certifikát. V okně se nyní zobrazí podrobnosti o vybraném certifikátu.

  12. Klikněte na tlačítko Add… v rámu okna Access and Permissions. Tím se otevře okno Select user (Vybrat uživatele).

  13. Z rozbalovací nabídky vyberte existujícího uživatele nebo vytvořte nového výběrem možnosti Create New User…. Výběr potvrďte kliknutím na tlačítko OK. Pokud se rozhodnete vytvořit nového uživatele, zobrazí se poté okno New User (Nový uživatel).

  14. V okně Share Certificate se také ujistěte, že jsou povoleny pouze požadované operace pro certifikát nebo generický klíč. To lze změnit pomocí zaškrtávacích políček ve spodní části rámu Přístup a oprávnění.

  15. Certifikát zveřejníte kliknutím na tlačítko OK. Tím se vrátíte do hlavního okna serveru PKI Proxy.

  16. V textovém seznamu pod stránkou Správa certifikátů se nyní zobrazuje zveřejněný certifikát.

Proxy server PKI - klient

Klientské nástroje serveru PKI Proxy poskytují různé způsoby přístupu ke sdíleným klíčům a certifikátům ze serveru PKI Proxy.

Tip

Server PKI Proxy obsahuje klientské nástroje. Proto může být počítač, na kterém běží server, také klientem sám sobě.

Instalace

  1. Stáhněte si PKI Proxy 2024 - Client Tools z webové stránky /n software.

  2. Otevřete instalační program a postupujte podle průvodce instalací.

KSP (Key Storage Provider)

Server PKI Proxy poskytuje KSP pro rozhraní se serverem PKI Proxy. KSP umožňuje používat nativní rozhraní API systému Windows s aplikacemi prostřednictvím rozhraní CNG (Cryptography API: Next Generation). Další informace naleznete v dokumentaci k serveru PKI Proxy.

PKCS#11

Server PKI Proxy poskytuje modul PKCS#11 pro rozhraní se serverem PKI Proxy. Další informace naleznete v dokumentaci k serveru PKI Proxy.