Operação#
Este capítulo descreve as tarefas operacionais para os utilizadores com o papel de Administrador e Operador. Consulte o capítulo Roles para saber mais sobre o papel.
Importante
Certifique-se por favor de ler a informação no início de ` este documento <index.html>`__ antes de começar a trabalhar.
Gestão de chaves#
Gerar chave#
O NetHSM pode gerar pares de chaves. Recomenda-se especificar a opção de identificação da chave para lhe dar um nome expressivo.
Os tipos de chave suportados e os seus mecanismos correspondentes são os seguintes.
Tipo de chave |
Mecanismos |
---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
A chave pode ser gerada da seguinte forma.
Papel requerido*
Esta operação requer uma autenticação com o papel de Administrador.
Opções requeridas*
Opção |
Descrição |
---|---|
|
O tipo para a chave gerada. Valores possíveis para o argumento |
|
Os mecanismos para a chave gerada. Os valores possíveis para o |
|
O comprimento da chave gerada |
Opções opcionais*
Opção |
Descrição |
---|---|
|
A identificação da chave gerada |
Exemplo*
$ nitropy nethsm --host $NETHSM_HOST generate-key --type RSA --mechanism RSA_Signature_PSS_SHA256 --mechanism RSA_Decryption_PKCS1 --length 2048 --key-id myFirstKey
Key myFirstKey generated on NetHSM localhost:8443
Informações sobre o parâmetro /keys/generate podem ser encontradas na documentação API.
Chave de importação#
A NetHSM pode importar chaves privadas existentes para a Key Store.
Os tipos de chave suportados e os seus mecanismos correspondentes são os seguintes.
Tipo de chave |
Mecanismos |
---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
A importação pode ser iniciada da seguinte forma.
Papel requerido*
Esta operação requer uma autenticação com o papel de Administrador.
Opções requeridas*
Opção |
Descrição |
---|---|
|
O tipo para a chave gerada. Valores possíveis para o argumento |
|
Os mecanismos para a chave gerada. Os valores possíveis para o |
|
O p principal para chaves RSA |
|
O q principal para chaves RSA |
|
O expoente público das chaves da RSA |
|
Os dados-chave para chaves ED25519 ou ECDSA_* |
Opções opcionais*
Opção |
Descrição |
---|---|
|
A identificação da nova chave |
|
The Tag for the new key |
Exemplo*
$ nitropy nethsm --host $NETHSM_HOST add-key \
--type RSA \
--mechanism RSA_Signature_PSS_SHA256 \
--mechanism RSA_Decryption_PKCS1 \
--key-id myFirstKey \
--public-exponent AQAB \
--prime-p "AOnWFZ+JrI/xOXJU04uYCZOiPVUWd6CSbVseEYrYQYxc7dVroePshz29tc+VEOUP5T0O8lXMEkjFAwjW6C9QTAsPyl6jwyOQluMRIkdN4/7BAg3HAMuGd7VmkGyYrnZWW54sLWp1JD6XJG33kF+9OSar9ETPoVyBgK5punfiUFEL" \
--prime-q "ANT1kWDdP9hZoFKT49dwdM/S+3ZDnxQa7kZk9p+JKU5RaU9e8pS2GOJljHwkES1FH6CUGeIaUi81tRKe2XZhe/163sEyMcxkaaRbBbTc1v6ZDKILFKKt4eX7LAQfhL/iFlgi6pcyUM8QDrm1QeFgGz11ChM0JuQw1WwkX06lg8iv"
Key myFirstKey added to NetHSM localhost:8443
Informações sobre o ponto final /keyys podem ser encontradas na documentação da API.
Apagar chave#
O NetHSM pode apagar as chaves da Key Store.
Papel requerido*
Esta operação requer uma autenticação com o papel de Administrador.
Argumentos*
Argumento |
Descrição |
---|---|
|
A chave de identificação da chave a apagar |
Exemplo*
$ nitropy nethsm --host $NETHSM_HOST delete-key myFirstKey
Key myFirstKey deleted on NetHSM localhost:8443
Informações sobre o parâmetro /keys/{KeyID} podem ser encontradas na documentação API.
Chaves de Lista#
A NetHSM pode listar todas as chaves disponíveis na Key Store.
A lista pode ser recuperada da seguinte forma.
Papel requerido*
Esta operação requer uma autenticação com o papel Administrador ou Operador.
Opções opcionais*
Opção |
Descrição |
---|---|
|
The Tag to search for |
Exemplo*
$ nitropy nethsm --host $NETHSM_HOST list-keys
Keys on NetHSM localhost:8443:
Key ID Algorithm Mechanisms Operations Tags
----------- --------- ---------------------------------------------- ---------- ----
myFirstKey RSA RSA_Decryption_PKCS1, RSA_Signature_PSS_SHA256 0
Informações sobre o ponto final /keyys podem ser encontradas na documentação da API.
Mostrar detalhes chave#
O NetHSM pode produzir informação mais detalhada sobre uma chave armazenada.
A informação detalhada pode ser recuperada da seguinte forma.
Papel requerido*
Esta operação requer uma autenticação com o papel Administrador ou Operador.
Exemplo*
$ nitropy nethsm --host $NETHSM_HOST get-key myFirstKey
Key myFirstKey on NetHSM localhost:8443:
Type: RSA
Mechanisms: RSA_Decryption_RAW
Operations: 0
Modulus: r62XHPWMDdEf2I1WEpSxGowY/fQF8lMPtv3EUQJE/PLWBvehF8G0QY3AVVZ3etlQWiKreOuGDx4Nr2PFNYAu5f+JP2Jc1lsFNOYF8D82RF41MBySbQR+k+44N/04B0ahTBCxX+ovFH7Sd6SzvxMPa7EKvhaOsLbgyrPlFZxQnhIEqJRCSo5DRRD+CRCPpGXsVXgFbJrNilh21i8OZCct4nC2OS191MeDKmCH4tjrfLMwOKJE8zKlwhdtA1uMY49+JuaC48GUFsLYwbLp1723Uv1PjZjC5jbUhScD0u9I+iNrqznAeka4dWsJ9jgA+h6hblSgCs0I3MWOsMXx/Y5PGQ==
Public exponent: AQAB
Informações sobre o parâmetro /keys/{KeyID} podem ser encontradas na documentação API.
A chave pública de uma chave pode ser recuperada da seguinte forma.
Papel requerido*
Esta operação requer uma autenticação com o papel Administrador ou Operador.
Exemplo*
$ nitropy nethsm --host $NETHSM_HOST get-key myFirstKey --public-key
-----BEGIN PUBLIC KEY-----
MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAr62XHPWMDdEf2I1WEpSx
GowY/fQF8lMPtv3EUQJE/PLWBvehF8G0QY3AVVZ3etlQWiKreOuGDx4Nr2PFNYAu
5f+JP2Jc1lsFNOYF8D82RF41MBySbQR+k+44N/04B0ahTBCxX+ovFH7Sd6SzvxMP
a7EKvhaOsLbgyrPlFZxQnhIEqJRCSo5DRRD+CRCPpGXsVXgFbJrNilh21i8OZCct
4nC2OS191MeDKmCH4tjrfLMwOKJE8zKlwhdtA1uMY49+JuaC48GUFsLYwbLp1723
Uv1PjZjC5jbUhScD0u9I+iNrqznAeka4dWsJ9jgA+h6hblSgCs0I3MWOsMXx/Y5P
GQIDAQAB
-----END PUBLIC KEY-----
Informações sobre o parâmetro /keys/{KeyID}/public.pem podem ser encontradas na documentaçãoAPI.
A chave pública pode ser inspeccionada, por exemplo, com OpenSSL, como se segue.
Papel requerido*
Esta operação requer uma autenticação com o papel Administrador ou Operador.
Exemplo*
nitropy nethsm --host= $NETHSM_HOST get-key myFirstKey --public-key | openssl rsa -pubin -text
Public-Key: (2048 bit)
Modulus:
00:af:ad:97:1c:f5:8c:0d:d1:1f:d8:8d:56:12:94:
b1:1a:8c:18:fd:f4:05:f2:53:0f:b6:fd:c4:51:02:
44:fc:f2:d6:06:f7:a1:17:c1:b4:41:8d:c0:55:56:
77:7a:d9:50:5a:22:ab:78:eb:86:0f:1e:0d:af:63:
c5:35:80:2e:e5:ff:89:3f:62:5c:d6:5b:05:34:e6:
05:f0:3f:36:44:5e:35:30:1c:92:6d:04:7e:93:ee:
38:37:fd:38:07:46:a1:4c:10:b1:5f:ea:2f:14:7e:
d2:77:a4:b3:bf:13:0f:6b:b1:0a:be:16:8e:b0:b6:
e0:ca:b3:e5:15:9c:50:9e:12:04:a8:94:42:4a:8e:
43:45:10:fe:09:10:8f:a4:65:ec:55:78:05:6c:9a:
cd:8a:58:76:d6:2f:0e:64:27:2d:e2:70:b6:39:2d:
7d:d4:c7:83:2a:60:87:e2:d8:eb:7c:b3:30:38:a2:
44:f3:32:a5:c2:17:6d:03:5b:8c:63:8f:7e:26:e6:
82:e3:c1:94:16:c2:d8:c1:b2:e9:d7:bd:b7:52:fd:
4f:8d:98:c2:e6:36:d4:85:27:03:d2:ef:48:fa:23:
6b:ab:39:c0:7a:46:b8:75:6b:09:f6:38:00:fa:1e:
a1:6e:54:a0:0a:cd:08:dc:c5:8e:b0:c5:f1:fd:8e:
4f:19
Exponent: 65537 (0x10001)
writing RSA key
-----BEGIN PUBLIC KEY-----
MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAr62XHPWMDdEf2I1WEpSx
GowY/fQF8lMPtv3EUQJE/PLWBvehF8G0QY3AVVZ3etlQWiKreOuGDx4Nr2PFNYAu
5f+JP2Jc1lsFNOYF8D82RF41MBySbQR+k+44N/04B0ahTBCxX+ovFH7Sd6SzvxMP
a7EKvhaOsLbgyrPlFZxQnhIEqJRCSo5DRRD+CRCPpGXsVXgFbJrNilh21i8OZCct
4nC2OS191MeDKmCH4tjrfLMwOKJE8zKlwhdtA1uMY49+JuaC48GUFsLYwbLp1723
Uv1PjZjC5jbUhScD0u9I+iNrqznAeka4dWsJ9jgA+h6hblSgCs0I3MWOsMXx/Y5P
GQIDAQAB
-----END PUBLIC KEY-----
Informações sobre o parâmetro /keys/{KeyID}/public.pem podem ser encontradas na documentaçãoAPI.
Principais Certificados#
É possível definir e consultar certificados para as chaves armazenadas num NetHSM.
Os tipos MIME suportados são os seguintes.
application/x-pem-file``
application/x-x509-ca-cert``
application/pgp-keys``
O certificado pode ser definido da seguinte forma.
Papel requerido*
Esta operação requer uma autenticação com o papel de Administrador.
Opções requeridas*
Opção |
Descrição |
---|---|
|
A identificação da chave para definir o certificado para |
Opções opcionais*
Opção |
Descrição |
---|---|
|
O tipo MIME do certificado. Os tipos MIME disponíveis estão listados acima. |
Argumentos*
Argumento |
Descrição |
---|---|
|
Ficheiro do certificado |
Exemplo*
$ nitropy nethsm --host $NETHSM_HOST set-certificate --key-id myFirstKey --mime-type application/x-pem-file /tmp/cert.pem
Updated the certificate for key myFirstKey on NetHSM localhost:8443
Informações sobre o ponto final /keys/{KeyID}/cert podem ser encontradas na API documentation.
O certificado pode ser recuperado da seguinte forma.
Papel requerido*
Esta operação requer uma autenticação com o papel Administrador ou Operador.
Opções requeridas*
Opção |
Descrição |
---|---|
|
A identificação da chave para obter o certificado para |
Exemplo*
$ nitropy nethsm --host $NETHSM_HOST get-certificate --key-id myFirstKey
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
Informações sobre o ponto final /keys/{KeyID}/cert podem ser encontradas na API documentation.
Pedidos de Assinatura de Certificados Chave#
A NetHSM apoia a geração de CSR (Certificate Signing Signing Requests) para as chaves armazenadas.
Papel requerido*
Esta operação requer uma autenticação com o papel de Administrador.
Opções requeridas*
Opção |
Descrição |
---|---|
|
A identificação da chave para gerar a RSE para |
|
O nome do país |
|
O nome do estado ou província |
|
O nome da localidade |
|
O nome da organização |
|
O nome da unidade organizacional |
|
O nome comum |
|
O endereço de correio electrónico |
Exemplo*
$ nitropy nethsm --host $NETHSM_HOST csr --key-id myFirstKey --country="DE" --state-or-province="Berlin" --locality="Berlin" --organization="Nitrokey" --organizational-unit="" --common-name=nitrokey.com --email-address="info@nitrokey.com"
-----BEGIN CERTIFICATE REQUEST-----
MIHxMIGkAgEAMHExbzAJBgNVBAYTAkRFMA0GA1UEBwwGQmVybGluMA0GA1UECAwG
QmVybGluMA8GA1UECgwITml0cm9rZXkwEwYDVQQDDAxuaXRyb2tleS5jb20wHgYJ
KoZIhvcNAQkBFhFpbmZvQG5pdHJva2V5LmNvbTAqMAUGAytlcAMhADJMNAifke6s
u7CYqHGDy3xGtXVOUNbTJG6Gn4oki+j3oAAwBQYDK2VwA0EAQilRK2Mf6kfJ4ByI
WCn9A+8IHsnE7iFcuFZpmaKfcJwZiaQppHvPg/Z0zqldzviPQ1cjKR7hSZG+8GHH
gWjEDg==
-----END CERTIFICATE REQUEST-----
Informações sobre o parâmetro /keys/{KeyID}/csr.pem podem ser encontradas na documentaçãoAPI.
Operações Chave#
Encrypt#
The NetHSM can encrypt data for symmetric keys, stored in the Key Store. In contrast encrypting data with asymmetric keys can not be done on the NetHSM, because of the concept in public-key cryptography to make the public key available to everybody. For asymmetric keys the NetHSM provides the public key, which can be used for encryption with an external tool. Please refer to the Show Key Details to learn more about how to retrieve the public key of a key in the Key Store.
Data can be encrypted for a symmetric key as follows.
$ nitropy nethsm --host $NETHSM_HOST encrypt -k myFirstKey -d "TmV0SFNNIHJ1bGV6enp6enp6enp6enp6enp6enp6IQo=" -m AES_CBC -iv "aYlwUI4A9zL9tts4dMAq+A=="
Encrypted: Uk+9pgucdxTnbyIb/6+BDJef+HfRWhw+Eg3RcCvyHaU=
Initialization vector: aYlwUI4A9zL9tts4dMAq+A==
Information about the /keys/{KeyID}/encrypt endpoint can be found in the API documentation.
This prints the encrypted and base64 encoded message NetHSM rulezzzzzzzzzzzzzzzzzzz!
, and the initialization vector.
Data can be encrypted for asymmetric keys with OpenSSL as follows.
$ echo 'NetHSM rulez!' | openssl pkeyutl -encrypt -pubin -inkey public.pem | base64 > data.crypt
This writes the encrypted and base64 encoded message NetHSM rulez!
into the file data.crypt
, using the public key from public.pem
.
Decifrar#
O NetHSM pode decifrar dados para uma chave privada armazenada na Key Store no NetHSM. Este exemplo utiliza a mensagem encriptada do capítulo anterior Encrypt.
Os modos de desencriptação suportados são os seguintes.
TAG``
PKCS1`
FILENAME``
--network`
OAEP_SHA224``
OAEP_SHA224``
OAEP_SHA224``
OAEP_SHA224``
USER_ID`
Os dados podem ser decifrados da seguinte forma.
Papel requerido*
Esta operação requer uma autenticação com o papel de Operador.
Opções requeridas*
Opção |
Descrição |
---|---|
|
A identificação da chave para decifrar a largura dos dados |
|
Os dados encriptados na codificação Base64 |
|
O modo de decifrar. Os modos disponíveis estão listados acima. |
Exemplo*
$ nitropy nethsm -h $NETHSM_HOST decrypt -k myFirstKey -d "$(cat data.crypt)" -m PKCS1 | base64 -d
NetHSM rulez!
Informações sobre o parâmetro /keys/{KeyID}/decrypt podem ser encontradas na `documentaçãoAPI <https://nethsmdemo.nitrokey.com/api_docs/index.html#/default/POST_keys-KeyID-decrypt>>x id=»180»></x>__.
Assine#
O NetHSM pode assinar dados para uma chave privada armazenada na Key Store no NetHSM. Para assinaturas com uma chave RSA e ECDSA, deve ser calculado primeiro um digito.
Para calcular uma digestão, os dados são necessários primeiro. É criada uma mensagem como se segue.
$ echo 'NetHSM rulez!' > data
O resumo é calculado com OpenSSL como se segue.
$ openssl dgst -sha256 -binary data | base64 > data.digest
Os modos de assinatura suportados são os seguintes.
PKCS1`
USER_ID`
FILENAME``
Curve25519``
Curve25519``
Curve25519``
Curve25519``
PKCS1`
PKCS1`
A partir da digestão pode ser criada uma assinatura como se segue.
Papel requerido*
Esta operação requer uma autenticação com o papel de Operador.
Opções requeridas*
Opção |
Descrição |
---|---|
|
A identificação da chave para assinar a largura dos dados |
|
Os dados a assinar codificados usando Base64 |
|
O modo sinal |
Exemplo*
$ nitropy nethsm -h $NETHSM_HOST sign -k myFirstKey -m PKCS1 -d "$(cat data.digest)" | base64 -d > data.sig
Informações sobre o parâmetro /keys/{KeyID}/sign podem ser encontradas na API documentation.
A assinatura criada pode ser verificada com OpenSSL como se segue.
$ openssl dgst -sha256 -verify public.pem -signature data.sig -sigopt rsa_padding_mode:pss -sigopt rsa_pss_saltlen:-1 data
Verified OK
Aleatório#
O NetHSM pode fornecer bytes aleatórios como uma corda Base64.
Papel requerido*
Esta operação requer uma autenticação com o papel de Operador.
Argumentos*
Argumento |
Descrição |
---|---|
|
Bytes a recuperar |
Exemplo*
nitropy nethsm --host $NETHSM_HOST random 4
94A2rg==
Informações sobre o ponto final /random podem ser encontradas na documentaçãoAPI.