PKCS#11-URL-Generierung

Nitrokey 3	Nitrokey Passkey	Nitrokey FIDO2	Nitrokey U2F	Nitrokey HSM 2	Nitrokey Pro 2	Nitrokey Start	Nitrokey Storage 2
⨯	⨯	⨯	⨯	✓	⨯	⨯	⨯

Verschiedene Anwendungen verwenden openssl, um z. B. TLS-Zertifikate zu handhaben. Dieses Konzept erlaubt es meist, einfach einen Dateipfad (für das Geheimnis) durch eine sogenannte PKCS#11-URL zu ersetzen, um ein Geheimnis aus einem z. B. Nitrokey zu verwenden.

Vorbereitung

• sicherstellen, dass openssl installiert ist

• stellen Sie sicher, daß openssl die PKCS#11-Engine benutzen kann, indem Sie libengine-pkcs11-openssl installieren

• Installieren Sie opensc und gnutls-bin für notwendige Werkzeuge

• Überprüfen Sie mit pkcs15-tool -D, ob die benötigten Schlüssel und/oder Zertifikate auf Ihrem Nitrokey vorhanden sind

• wenn Sie ECC-Schlüssel/-Mechanismen durch libengine-pkcs11-openssl verwenden wollen, müssen Sie sicherstellen, dass dessen Version mindestens 0.4.10 ist

Auflisten und Erzeugen von PKCS#11-URLs

Verwenden Sie den folgenden Befehl, um eine Liste der verfügbaren Token (Nitrokeys) zu erhalten:

p11tool --list-tokens

Wählen Sie die Token-(Nitrokey-)URL, für die Sie URL-Token generieren möchten, und verwenden Sie sie wie folgt:

p11tool --list-all <token-url>

# example:
# p11tool --list-all "pkcs11:model=PKCS%2315%20emulated;manufacturer=www.CardContact.de;serial=DENK0123123;token=UserPIN%20%28SmartCard-HSM%29"

Wenn Sie den hinteren Teil der URL inspizieren, werden Sie erkennen: label, id und mehr, diese können teilweise entfernt werden, solange die notwendigen Objekte über die resultierende URL eindeutig identifiziert werden können, siehe TLS Apache2 Configuration für ein Beispiel, das nur id verwendet.