Windows KSP ja PKCS#11 koos PKI Proxyga

This document explains the usage of PKI Proxy with HSM 2. PKI Proxy enables the usage of HSM 2 through the native Microsoft Windows APIs. For this purpose, PKI Proxy includes a KSP (Key Storage Provider) that enables its use via the CNG (Cryptography API: Next Generation) interface. Additionally it provides PKCS#11 access to the HSM 2, but this should only be used if your setup requires it for example if you need the additional authentication features of PKI Proxy, or if you need to access it from a remote machine running an application that only supports PKCS#11. In all other cases use the PKCS#11 driver from the OpenSC project directly.

The deployment of HSM 2 with PKI Proxy looks like this.

Connection between HSM 2 and PKI Proxy Server, Client and exposed client interfaces.

The HSM 2 is connected via its USB interface to the PKI Proxy server. PKI Proxy uses the OpenSC PKCS#11 driver to connect to the HSM 2 and access its keys and certificates. Clients to the PKI Proxy use the REST API of the PKI Proxy server to access the keys and certificates. Applications on the client can either use the native Windows API or a PKCS#11 driver. PKI Proxy server and client can be executed on the same computer.

Selle seadistuse võimalikud kasutusjuhud on järgmised:

  • Code signing

  • Document signing

Nõuanne

Lisateavet leiate ka ametlikust PKI Proxy dokumentatsioonist.

Eeltingimused

  • HSM 2

    • Initialized

    • Provisioned with keys and certificates

  • Windows machine

    • OpenSC PKCS#11 driver installed (only required on the PKI Proxy Server).

PKI Proxy - Server

The PKI Proxy server shares the keys and certificates from a HSM 2 for different users.

Paigaldamine

  1. Download the PKI Proxy 2024 installer from the /n software website.

  2. Avage paigaldusprogramm ja järgige paigaldusviisardi juhiseid.

  3. Avage PKI Proxy menüüst Start. Kui installite selle vaikimisi asukohta, saate seda käivitada ka järgmise käsuga dialoogist Run või PowerShellist.

    C:\Program Files\PKI Proxy 2024\PKIProxy.exe

    Märkus

    PKI Proxy minimeerub süsteemisalve, isegi kui põhiaken on suletud.

Service Configuration

Allpool toodud juhised konfigureerivad PKI Proxy.

  1. Open the PKI Proxy main window.

  2. Change to the Settings tab.

  3. Make sure the checkbox Enable TLS is checked and an appropriate certificate is used.

  4. Change to the Users tab.

  5. Looge uus kasutaja, klõpsates nupul New…. Valige autentimistüüp, mida toetavad kõik kliendid.

  6. PKI Proxy teenuse käivitamiseks klõpsake peamise akna menüüribal nupul Start.

Publish Certificates from the HSM 2

In the following we configure which certificates from the HSM 2 are made available through PKI Proxy.

  1. Veenduge, et PKI Proxy põhiaken on avatud.

  2. Change to the Certificates tab.

  3. Klõpsake nupul New…. See avab akna Share Certificate.

  4. Klõpsake akna sertifikaadi raamistikus nupul Select Certificate or Key…. See avab akna Select a Private Key.

  5. Vahetage vahekaart Turvalisusvõti.

  6. Click the Browse… button and select the OpenSC PKCS#11 driver library file. The text field PKCS#11 Library now shows the path to the library file.

  7. From the dropdown menu Security Key (PKCS#11) choose the slot which contains the certificate. The listed slots depend on your configuration of the HSM 2.

  8. Sisestage tekstiväljale „ PIN “ oma HSM 2 PIN-kood.

  9. Click the Open button.

  10. The text list below Certificates now shows a list of the available certificates and generic keys on the HSM 2. Select the certificate or generic key you want to share with PKI Proxy.

  11. Valiku kinnitamiseks klõpsake nuppu OK. See toob teid tagasi aknasse Share Certificate. Aknas kuvatakse nüüd valitud sertifikaadi üksikasjad.

  12. Klõpsake akna Access and Permissions raamistikus nupule Add…. See avab akna Select user.

  13. Valige rippmenüüst olemasolev kasutaja või looge uus kasutaja, valides Create New User…. Valiku kinnitamiseks klõpsake nuppu OK. Kui valite uue kasutaja loomise, kuvatakse seejärel aken New User.

  14. Tagasi aknas Share Certificate veenduge ka, et lubate ainult sertifikaadi või üldvõtme jaoks vajalikke toiminguid. Seda saab muuta raami Access and Permissions allosas olevate märkeruutudega.

  15. Sertifikaadi avaldamiseks klõpsake nuppu OK. See toob teid tagasi PKI Proxy põhiaknasse.

  16. Tekstiloendil Certificate Management on nüüd avaldatud sertifikaat.

PKI Proxy - klient

PKI Proxy klienditööriistad pakuvad erinevaid võimalusi PKI Proxy serveri jagatud võtmetele ja sertifikaatidele juurdepääsuks.

Nõuanne

PKI Proxy server sisaldab klienditööriistu. Seega võib masin, millel server töötab, olla ka iseendale kliendiks.

Paigaldamine

  1. Lae alla PKI Proxy 2024 - Client Tools tarkvara veebilehelt /n.

  2. Avage paigaldusprogramm ja järgige paigaldusviisardi juhiseid.

KSP (Key Storage Provider)

PKI Proxy pakub KSP-d PKI Proxy serveriga liidestamiseks. KSP võimaldab CNG (Cryptography API: Next Generation) liidese kaudu kasutada Windowsi algupäraseid APIsid koos rakendustega. Lisateavet leiate PKI Proxy dokumentatsioonist.

PKCS#11

PKI Proxy pakub PKCS#11 moodulit PKI Proxy serveriga liidestamiseks. Lisateavet leiate PKI Proxy dokumentatsioonist.