Windows KSP ja PKCS#11 PKI Proxy -palvelun kanssa

This document explains the usage of PKI Proxy with HSM 2. PKI Proxy enables the usage of HSM 2 through the native Microsoft Windows APIs. For this purpose, PKI Proxy includes a KSP (Key Storage Provider) that enables its use via the CNG (Cryptography API: Next Generation) interface. Additionally it provides PKCS#11 access to the HSM 2, but this should only be used if your setup requires it for example if you need the additional authentication features of PKI Proxy, or if you need to access it from a remote machine running an application that only supports PKCS#11. In all other cases use the PKCS#11 driver from the OpenSC project directly.

The deployment of HSM 2 with PKI Proxy looks like this.

Connection between HSM 2 and PKI Proxy Server, Client and exposed client interfaces.

The HSM 2 is connected via its USB interface to the PKI Proxy server. PKI Proxy uses the OpenSC PKCS#11 driver to connect to the HSM 2 and access its keys and certificates. Clients to the PKI Proxy use the REST API of the PKI Proxy server to access the keys and certificates. Applications on the client can either use the native Windows API or a PKCS#11 driver. PKI Proxy server and client can be executed on the same computer.

Mahdollisia käyttötapauksia tälle asetukselle ovat:

  • Code signing

  • Document signing

Vihje

Lisätietoja on myös virallisessa PKI Proxy -dokumentaatiossa.

Edellytykset

  • HSM 2

    • Initialized

    • Provisioned with keys and certificates

  • Windows machine

    • OpenSC PKCS#11 driver installed (only required on the PKI Proxy Server).

PKI Proxy - palvelin

The PKI Proxy server shares the keys and certificates from a HSM 2 for different users.

Asennus

  1. Download the PKI Proxy 2024 installer from the /n software website.

  2. Avaa asennusohjelma ja noudata ohjatun asennuksen ohjeita.

  3. Avaa PKI Proxy Käynnistä-valikosta. Jos olet asentanut sen oletussijaintiin, voit ajaa sen myös seuraavalla komennolla Suorita -valintaikkunasta tai PowerShellistä.

    C:\Program Files\PKI Proxy 2024\PKIProxy.exe

    Muista

    PKI Proxy minimoituu järjestelmän lokeroon, vaikka pääikkuna olisi suljettu.

Service Configuration

Alla olevissa ohjeissa määritetään PKI-välityspalvelimen asetukset.

  1. Open the PKI Proxy main window.

  2. Change to the Settings tab.

  3. Make sure the checkbox Enable TLS is checked and an appropriate certificate is used.

  4. Change to the Users tab.

  5. Luo uusi käyttäjä napsauttamalla New… -painiketta. Valitse todennustyyppi, jota kaikki asiakkaat tukevat.

  6. Käynnistä PKI-välityspalvelu napsauttamalla pääikkunan valikkorivillä Käynnistä -painiketta.

Publish Certificates from the HSM 2

In the following we configure which certificates from the HSM 2 are made available through PKI Proxy.

  1. Varmista, että PKI-välityspalvelimen pääikkuna on auki.

  2. Change to the Certificates tab.

  3. Napsauta New… -painiketta. Tämä avaa Share Certificate -ikkunan.

  4. Napsauta Valitse varmenne tai avain… -painiketta Varmenne -ikkunan kehyksessä. Tämä avaa Select a Private Key -ikkunan.

  5. Siirry Security Key -välilehdelle.

  6. Click the Browse… button and select the OpenSC PKCS#11 driver library file. The text field PKCS#11 Library now shows the path to the library file.

  7. From the dropdown menu Security Key (PKCS#11) choose the slot which contains the certificate. The listed slots depend on your configuration of the HSM 2.

  8. Kirjoita tekstikenttään ” ” PIN-koodi ” ” HSM 2:n PIN-koodi.

  9. Click the Open button.

  10. The text list below Certificates now shows a list of the available certificates and generic keys on the HSM 2. Select the certificate or generic key you want to share with PKI Proxy.

  11. Vahvista valinta napsauttamalla OK -painiketta. Näin pääset takaisin Osakekirjatodistus -ikkunaan. Ikkunassa näkyvät nyt valitun varmenteen tiedot.

  12. Napsauta Add… -painiketta Access and Permissions -ikkunan kehyksessä. Tämä avaa Valitse käyttäjä -ikkunan.

  13. Valitse olemassa oleva käyttäjä pudotusvalikosta tai luo uusi käyttäjä valitsemalla Create New User…. Vahvista valinta klikkaamalla OK -painiketta. Jos valitset uuden käyttäjän luomisen, näyttöön tulee tämän jälkeen New User -ikkuna.

  14. Takaisin Share Certificate -ikkunassa varmista myös, että sallit vain varmenteelle tai yleisavaimelle tarvittavat toiminnot. Tätä voidaan muuttaa Access and Permissions (Pääsy ja käyttöoikeudet) -ruudun alareunassa olevilla valintaruuduilla.

  15. Julkaise varmenne napsauttamalla OK -painiketta. Näin pääset takaisin PKI Proxy -ohjelman pääikkunaan.

  16. Varmenteiden hallinta alla olevassa tekstiluettelossa näkyy nyt julkaistu varmenne.

PKI Proxy - Asiakas

PKI-välityspalvelimen asiakastyökalut tarjoavat erilaisia tapoja käyttää PKI-välityspalvelimen jaettuja avaimia ja varmenteita.

Vihje

PKI-välityspalvelin sisältää asiakastyökalut. Näin ollen palvelinta käyttävä kone voi olla myös itse asiakas.

Asennus

  1. Lataa PKI Proxy 2024 - Client Tools osoitteesta /n ohjelmistosivustolta.

  2. Avaa asennusohjelma ja noudata ohjatun asennuksen ohjeita.

KSP (Key Storage Provider)

PKI-välityspalvelin tarjoaa KSP:n PKI-välityspalvelimen käyttöliittymää varten. KSP mahdollistaa natiivien Windows API:iden käytön sovelluksissa CNG (Cryptography API: Next Generation) -rajapinnan kautta. Lisätietoja on PKI Proxy -dokumentaatiossa.

PKCS#11

PKI Proxy tarjoaa PKCS#11-moduulin PKI Proxy -palvelimen kanssa. Lisätietoja on PKI Proxy -dokumentaatiossa.