Windows KSP και PKCS#11 με PKI Proxy

This document explains the usage of PKI Proxy with HSM 2. PKI Proxy enables the usage of HSM 2 through the native Microsoft Windows APIs. For this purpose, PKI Proxy includes a KSP (Key Storage Provider) that enables its use via the CNG (Cryptography API: Next Generation) interface. Additionally it provides PKCS#11 access to the HSM 2, but this should only be used if your setup requires it for example if you need the additional authentication features of PKI Proxy, or if you need to access it from a remote machine running an application that only supports PKCS#11. In all other cases use the PKCS#11 driver from the OpenSC project directly.

The deployment of HSM 2 with PKI Proxy looks like this.

Connection between HSM 2 and PKI Proxy Server, Client and exposed client interfaces.

The HSM 2 is connected via its USB interface to the PKI Proxy server. PKI Proxy uses the OpenSC PKCS#11 driver to connect to the HSM 2 and access its keys and certificates. Clients to the PKI Proxy use the REST API of the PKI Proxy server to access the keys and certificates. Applications on the client can either use the native Windows API or a PKCS#11 driver. PKI Proxy server and client can be executed on the same computer.

Πιθανές περιπτώσεις χρήσης αυτής της εγκατάστασης είναι:

  • Code signing

  • Document signing

Πρακτική συμβουλή

Ανατρέξτε επίσης στην επίσημη τεκμηρίωση PKI Proxy για περισσότερες πληροφορίες.

Προαπαιτούμενα

  • HSM 2

    • Initialized

    • Provisioned with keys and certificates

  • Windows machine

    • OpenSC PKCS#11 driver installed (only required on the PKI Proxy Server).

PKI Proxy - Διακομιστής

The PKI Proxy server shares the keys and certificates from a HSM 2 for different users.

Εγκατάσταση

  1. Download the PKI Proxy 2024 installer from the /n software website.

  2. Ανοίξτε το πρόγραμμα εγκατάστασης και ακολουθήστε τον οδηγό εγκατάστασης.

  3. Ανοίξτε το PKI Proxy από το μενού Έναρξη. Εάν το εγκαταστήσατε στην προεπιλεγμένη θέση, μπορείτε επίσης να το εκτελέσετε με την ακόλουθη εντολή από το παράθυρο διαλόγου Εκτέλεση ή το PowerShell.

    C:\Program Files\PKI Proxy 2024\PKIProxy.exe

    Σημείωση

    Το PKI Proxy θα ελαχιστοποιηθεί στο δίσκο του συστήματος, ακόμη και αν το κύριο παράθυρο είναι κλειστό.

Service Configuration

Οι παρακάτω οδηγίες ρυθμίζουν τις παραμέτρους του PKI Proxy.

  1. Open the PKI Proxy main window.

  2. Change to the Settings tab.

  3. Make sure the checkbox Enable TLS is checked and an appropriate certificate is used.

  4. Change to the Users tab.

  5. Δημιουργήστε έναν νέο χρήστη κάνοντας κλικ στο κουμπί New…. Επιλέξτε έναν τύπο ελέγχου ταυτότητας που υποστηρίζεται από όλους τους πελάτες.

  6. Στη γραμμή μενού του κύριου παραθύρου κάντε κλικ στο κουμπί Έναρξη για να εκκινήσετε την υπηρεσία PKI Proxy.

Publish Certificates from the HSM 2

In the following we configure which certificates from the HSM 2 are made available through PKI Proxy.

  1. Βεβαιωθείτε ότι το κύριο παράθυρο PKI Proxy είναι ανοικτό.

  2. Change to the Certificates tab.

  3. Κάντε κλικ στο κουμπί New…. Αυτό θα ανοίξει το παράθυρο Share Certificate.

  4. Κάντε κλικ στο κουμπί Select Certificate or Key…, στο πλαίσιο Certificate του παραθύρου. Αυτό θα ανοίξει το παράθυρο Select a Private Key (Επιλογή ιδιωτικού κλειδιού).

  5. Μεταβείτε στην καρτέλα Κλειδί ασφαλείας.

  6. Click the Browse… button and select the OpenSC PKCS#11 driver library file. The text field PKCS#11 Library now shows the path to the library file.

  7. From the dropdown menu Security Key (PKCS#11) choose the slot which contains the certificate. The listed slots depend on your configuration of the HSM 2.

  8. Στο πεδίο κειμένου « » (ΠΙΝ), πληκτρολογήστε τον κωδικό PIN του HSM 2.

  9. Click the Open button.

  10. The text list below Certificates now shows a list of the available certificates and generic keys on the HSM 2. Select the certificate or generic key you want to share with PKI Proxy.

  11. Κάντε κλικ στο κουμπί OK για να επιβεβαιώσετε την επιλογή. Αυτό θα σας επαναφέρει στο παράθυρο Share Certificate. Το παράθυρο θα εμφανίζει τώρα τις λεπτομέρειες του επιλεγμένου πιστοποιητικού.

  12. Κάντε κλικ στο κουμπί Add…, στο πλαίσιο Access and Permissions του παραθύρου. Αυτό θα ανοίξει το παράθυρο Επιλογή χρήστη.

  13. Επιλέξτε έναν υπάρχοντα χρήστη από το αναπτυσσόμενο μενού ή δημιουργήστε έναν νέο επιλέγοντας Δημιουργία νέου χρήστη…. Κάντε κλικ στο κουμπί OK για να επιβεβαιώσετε την επιλογή. Εάν επιλέξετε να δημιουργήσετε νέο χρήστη, στη συνέχεια θα εμφανιστεί το παράθυρο Νέος χρήστης.

  14. Επιστρέφοντας στο παράθυρο Share Certificate βεβαιωθείτε επίσης ότι επιτρέπονται μόνο οι απαιτούμενες λειτουργίες για το πιστοποιητικό ή το γενικό κλειδί. Αυτό μπορεί να αλλάξει με τα πλαίσια ελέγχου στο κάτω μέρος του πλαισίου Access and Permissions.

  15. Κάντε κλικ στο κουμπί OK για να δημοσιεύσετε το πιστοποιητικό. Αυτό θα σας επαναφέρει στο κύριο παράθυρο του PKI Proxy.

  16. Η λίστα κειμένου κάτω από το Διαχείριση πιστοποιητικών εμφανίζει πλέον το δημοσιευμένο πιστοποιητικό.

PKI Proxy - Πελάτης

Τα εργαλεία-πελάτες PKI Proxy παρέχουν διαφορετικούς τρόπους πρόσβασης στα κοινά κλειδιά και πιστοποιητικά από έναν διακομιστή PKI Proxy.

Πρακτική συμβουλή

Ο διακομιστής PKI Proxy περιέχει τα εργαλεία πελάτη. Ως εκ τούτου, το μηχάνημα που εκτελεί το διακομιστή μπορεί επίσης να είναι πελάτης για τον εαυτό του.

Εγκατάσταση

  1. Κατεβάστε το PKI Proxy 2024 - Client Tools από την ιστοσελίδα /n software.

  2. Ανοίξτε το πρόγραμμα εγκατάστασης και ακολουθήστε τον οδηγό εγκατάστασης.

KSP (Key Storage Provider)

Το PKI Proxy παρέχει ένα KSP για τη διασύνδεση με το διακομιστή PKI Proxy. Το KSP επιτρέπει τη χρήση εγγενών API των Windows με εφαρμογές, μέσω της διεπαφής CNG (Cryptography API: Next Generation). Ανατρέξτε στην τεκμηρίωση PKI Proxy για περισσότερες πληροφορίες.

PKCS#11

Το PKI Proxy παρέχει μια ενότητα PKCS#11 για τη διασύνδεση με τον διακομιστή PKI Proxy. Ανατρέξτε στην τεκμηρίωση PKI Proxy για περισσότερες πληροφορίες.