Nitrokey HSM FAQ#
- Q: Jakie systemy operacyjne są obsługiwane?
Windows, Linux i macOS.
- Q: Do czego mogę użyć Nitrokey?
Zobacz overview obsługiwanych przypadków użycia.
- Q: Jaka jest maksymalna długość kodu PIN?
Nitrokey używa PINów zamiast haseł. Główna różnica polega na tym, że sprzęt ogranicza ilość prób do trzech, podczas gdy w przypadku haseł nie ma takiego ograniczenia. Z tego powodu krótki PIN jest nadal bezpieczny i nie ma potrzeby wybierania długiego i skomplikowanego kodu PIN.
PINy Nitrokey mogą mieć długość do 16 cyfr i mogą składać się z cyfr, znaków i znaków specjalnych. Uwaga: W przypadku używania GnuPG lub OpenSC można używać PINów o długości 32 znaków, ale nie są one obsługiwane przez Nitrokey App.
- Q: Do czego służy kod PIN użytkownika?
Kod PIN składa się z co najmniej 6 cyfr i jest używany do uzyskania dostępu do zawartości Nitrokey. Jest to kod PIN, którego będziesz często używać w codziennym użytkowaniu.
PIN może składać się z maksymalnie 16 cyfr i innych znaków (np. alfabetycznych i specjalnych). Ponieważ jednak kod PIN jest blokowany po trzech błędnych próbach, wystarczającym zabezpieczeniem jest posiadanie tylko 6-cyfrowego kodu PIN.
- Q: Do czego służy SO PIN?
SO PIN jest używany tylko w Nitrokey HSM i jest czymś w rodzaju „master” PIN ze specjalnymi właściwościami. Prosimy o uważne przeczytanie tej instrukcji, aby zrozumieć SO PIN dla HSM Nitrokey.
SO PIN musi mieć długość dokładnie 16 cyfr.
- Q: Ile obiektów danych (DF, EF) może być przechowywanych?
Łącznie 76 KB pamięci EEPROM, którą można wykorzystać do
maks. 150 x klucze ECC-521 lub
maks. 300 x klucze ECC/AES-256 lub
maks. 19 x RSA-4096 kluczy lub
maks. 38 x klucze RSA-2048
- Q: Ile kluczy mogę przechowywać?
Nitrokey HSM może przechowywać 20 par kluczy RSA-2048 i 31 par kluczy ECC-256.
- Q: Jak szybkie jest szyfrowanie i podpisywanie?
Generowanie kluczy na karcie: RSA 2048: 2 na minutę
Generowanie kluczy na karcie: ECC 256: 10 na minutę.
Tworzenie podpisu z hashowaniem poza kartą: RSA 2048; 100 na minutę
Tworzenie podpisu z hashowaniem poza kartą: ECDSA 256: 360 na minutę
Tworzenie podpisu z wbudowanym SHA-256 i 1 kb danych: RSA 2048; 68 na minutę
Tworzenie podpisu przy użyciu SHA-256 na karcie i 1 kb danych: ECDSA 256: 125 na minutę
- Q: Jak mogę odróżnić Nitrokey HSM 1 od Nitrokey HSM 2?
Użyj
opensc-tool --list-algorithms
i porównaj z poniższą tabelą. Proszę również zapoznać się z tym wątkiem, aby uzyskać arkusze informacyjne i więcej szczegółów.
- Q: Jakie algorytmy i maksymalna długość klucza są obsługiwane?
Patrz poniższa tabela:
Start |
Pro + Magazynowanie |
Pro 2 + Magazyn 2 |
Nitrokey 3 |
HSM |
HSM 2 |
|
rsa1024 |
✓ |
✓ |
✓ |
✓ |
||
rsa2048 |
✓ |
✓ |
✓ |
✓ |
✓ |
✓ |
rsa3072 |
✓ |
✓ |
✓ |
✓ |
||
rsa4096 |
✓ |
✓ |
✓ |
✓ |
||
krzywa25519 |
✓ |
✓ |
||||
NIST-P 192 |
✓ |
|||||
NIST-P 256 |
✓ |
✓ |
✓ |
✓ |
||
NIST-P 384-521 |
✓ |
✓ |
||||
Brainpool 192 |
✓ |
✓ |
||||
Brainpool 256-320 |
✓ |
✓ |
✓ |
|||
Brainpool 384-521 |
✓ |
✓ |
||||
secp192 |
✓ |
✓ |
||||
sekp256 |
✓ |
✓ |
✓ |
|||
sekp521 |
✓ |
- Q: Jak mogę wykorzystać Generator Prawdziwych Numerów Losowych (TRNG) HSM Nitrokey w moich aplikacjach?
Nitrokey HSM może być używany z Botan i TokenTools poprzez użycie OpenSC jako sterownika PKCS#11.
OpenSSL nie może użyć bezpośrednio Nitrokey HSM, ponieważ engine-pkcs11 nie zawiera mapowania dla OpenSSL do C_GenerateRandom.
- Q: Jak dobry jest Generator Liczb Losowych?
Nitrokey HSM używa Generatora Prawdziwych Liczb Losowych z JCOP 2.4.1r3, który ma jakość DRNG.2 (zgodnie z AIS 31 niemieckiego Federalnego Urzędu Bezpieczeństwa Informacji, BSI).
- Q: Którego API mogę użyć?
OpenSC: Istnieją wyczerpujące instrukcje dla frameworka OpenSC. Istnieje nitrotool jako wygodniejszy interfejs do OpenSC.
Systemy wbudowane: Dla systemów z minimalną ilością pamięci dostarczany jest moduł tylko do odczytu PKCS#11 w projekcie sc-hsm-embedded. Ten moduł PKCS#11 jest przydatny we wdrożeniach, w których nie jest wymagane generowanie kluczy w miejscu pracy użytkownika. Moduł PKCS#11 wspiera również główne karty podpisu elektronicznego dostępne na rynku niemieckim.
OpenSCDP: SmartCard-HSM jest w pełni zintegrowany z OpenSCDP, otwartą platformą rozwoju kart inteligentnych. Zobacz publiczne skrypty wsparcia, aby uzyskać szczegółowe informacje. Aby zaimportować istniejące klucze możesz użyć SCSH lub NitroKeyWrapper.
- Q: Czy Nitrokey 3 posiada certyfikat Common Criteria lub FIPS?
Kontroler zabezpieczeń (NXP JCOP 3 P60) posiada certyfikat Common Criteria EAL 5+ do poziomu systemu operacyjnego (Certyfikat, `Raport certyfikacyjny <https://commoncriteriaportal.org/files/epfiles/Certification%20Report%20NSCIB-CC-98209-CR5%20-%20version%203.0%20(2022-10-14).pdf>%20NSCIB-CC-98209-CR5%20-%20version%203.0%20(2022-10-14).pdf>`__, Security Target, Java Card System Protection Profile Open Configuration, Version 3.0).
- Q: Jak zaimportować istniejący klucz do HSM Nitrokey?
Najpierw ` skonfiguruj HSM Nitrokey do tworzenia kopii zapasowych i przywracania kluczy. Następnie użyj narzędzia Smart Card Shell do importu. Jeśli Twój klucz jest przechowywany w magazynie kluczy Java, możesz zamiast tego użyć NitroKeyWrapper.
- Q: Jak mogę zabezpieczyć moją infrastrukturę chmury/ubernetes za pomocą Nitrokey HSM?
Podejście do zabezpieczania kluczy dla Hashicorp Vault/Bank-Vault na HSM Nitrokey można znaleźć na stronie banzaicloud.com.
- Q: Czy mogę używać Nitrokey HSM z kryptowalutami?
J.v.d.Bosch napisał prosty, darmowy pythonowy program do zabezpieczenia klucza prywatnego portfela Bitcoin w HSM. Tezos został podany do pracy z Nitrokey HSM.