Windows KSP és PKCS#11 a PKI Proxy-val

This document explains the usage of PKI Proxy with HSM 2. PKI Proxy enables the usage of HSM 2 through the native Microsoft Windows APIs. For this purpose, PKI Proxy includes a KSP (Key Storage Provider) that enables its use via the CNG (Cryptography API: Next Generation) interface. Additionally it provides PKCS#11 access to the HSM 2, but this should only be used if your setup requires it for example if you need the additional authentication features of PKI Proxy, or if you need to access it from a remote machine running an application that only supports PKCS#11. In all other cases use the PKCS#11 driver from the OpenSC project directly.

The deployment of HSM 2 with PKI Proxy looks like this.

Connection between HSM 2 and PKI Proxy Server, Client and exposed client interfaces.

The HSM 2 is connected via its USB interface to the PKI Proxy server. PKI Proxy uses the OpenSC PKCS#11 driver to connect to the HSM 2 and access its keys and certificates. Clients to the PKI Proxy use the REST API of the PKI Proxy server to access the keys and certificates. Applications on the client can either use the native Windows API or a PKCS#11 driver. PKI Proxy server and client can be executed on the same computer.

Ennek a beállításnak a lehetséges felhasználási esetei a következők:

  • Code signing

  • Document signing

Javaslat

További információkért olvassa el a PKI Proxy hivatalos dokumentációját is:.

Előfeltételek

  • HSM 2

    • Initialized

    • Provisioned with keys and certificates

  • Windows machine

    • OpenSC PKCS#11 driver installed (only required on the PKI Proxy Server).

PKI Proxy - Kiszolgáló

The PKI Proxy server shares the keys and certificates from a HSM 2 for different users.

Telepítés

  1. Download the PKI Proxy 2024 installer from the /n software website.

  2. Nyissa meg a telepítőt, és kövesse a telepítő varázslót.

  3. Nyissa meg a PKI Proxy-t a Start menüből. Ha az alapértelmezett helyre telepítette, akkor a következő paranccsal is futtathatja a Futtatás párbeszédpanelen vagy a PowerShellben.

    C:\Program Files\PKI Proxy 2024\PKIProxy.exe

    Megjegyzés

    A PKI Proxy akkor is a tálcára minimalizálódik, ha a főablak be van zárva.

Service Configuration

Az alábbi utasítások a PKI-proxyt konfigurálják.

  1. Open the PKI Proxy main window.

  2. Change to the Settings tab.

  3. Make sure the checkbox Enable TLS is checked and an appropriate certificate is used.

  4. Change to the Users tab.

  5. Hozzon létre új felhasználót a New… gombra kattintva. Válasszon olyan hitelesítési típust, amelyet minden ügyfél támogat.

  6. A főablak menüsorában kattintson a Start gombra a PKI Proxy szolgáltatás elindításához.

Publish Certificates from the HSM 2

In the following we configure which certificates from the HSM 2 are made available through PKI Proxy.

  1. Győződjön meg róla, hogy a PKI Proxy főablak nyitva van.

  2. Change to the Certificates tab.

  3. Kattintson a New… gombra. Ez megnyitja a Share Certificate ablakot.

  4. Kattintson a Select Certificate or Key… gombra a Certificate keretben a Certificate ablakban. Ez megnyitja a Select a Private Key ablakot.

  5. Váltson a Biztonsági kulcs fülre.

  6. Click the Browse… button and select the OpenSC PKCS#11 driver library file. The text field PKCS#11 Library now shows the path to the library file.

  7. From the dropdown menu Security Key (PKCS#11) choose the slot which contains the certificate. The listed slots depend on your configuration of the HSM 2.

  8. A „ PIN ” szövegmezőbe írja be az HSM 2 készülék PIN-kódját.

  9. Click the Open button.

  10. The text list below Certificates now shows a list of the available certificates and generic keys on the HSM 2. Select the certificate or generic key you want to share with PKI Proxy.

  11. Kattintson a OK gombra a kiválasztás megerősítéséhez. Ezáltal visszatér a Share Certificate ablakhoz. Az ablakban most már a kiválasztott tanúsítvány részletei jelennek meg.

  12. Kattintson a Add… gombra a Access and Permissions (Hozzáférés és engedélyek) ablak keretén belül. Ez megnyitja a Select user ablakot.

  13. Válasszon ki egy meglévő felhasználót a legördülő menüből, vagy hozzon létre egy újat a Új felhasználó létrehozása… menüpont kiválasztásával. Kattintson a OK gombra a kiválasztás megerősítéséhez. Ha új felhasználó létrehozása mellett dönt, akkor ezt követően megjelenik a Új felhasználó ablak.

  14. Visszatérve a Share Certificate ablakban győződjön meg arról is, hogy csak a szükséges műveleteket engedélyezi a tanúsítványhoz vagy az általános kulcshoz. Ez a Hozzáférés és engedélyek keret alján található jelölőnégyzetekkel módosítható.

  15. Kattintson a OK gombra a tanúsítvány közzétételéhez. Ezzel visszatér a PKI Proxy főablakába.

  16. A Tanúsítványkezelés alatti szöveges lista mostantól a közzétett tanúsítványt mutatja.

PKI Proxy - Ügyfél

A PKI Proxy ügyféleszközök különböző módokat biztosítanak a PKI Proxy-kiszolgáló megosztott kulcsainak és tanúsítványainak elérésére.

Javaslat

A PKI Proxy-kiszolgáló tartalmazza az ügyféleszközöket. Ezért a kiszolgálót futtató gép önmagának is ügyfél lehet.

Telepítés

  1. Töltse le a PKI Proxy 2024 - Client Tools a /n szoftver weboldaláról.

  2. Nyissa meg a telepítőt, és kövesse a telepítő varázslót.

KSP (Key Storage Provider)

A PKI Proxy egy KSP-t biztosít a PKI Proxy-kiszolgálóval való kapcsolódáshoz. A KSP a CNG (Cryptography API: Next Generation) interfészen keresztül lehetővé teszi a natív Windows API-k használatát az alkalmazásokkal. További információkért tekintse meg a PKI Proxy dokumentációját.

PKCS#11

A PKI Proxy egy PKCS#11 modult biztosít a PKI Proxy szerverrel való kapcsolódáshoz. További információkért olvassa el a PKI Proxy dokumentációját.