Windows KSP и PKCS#11 с помощью PKI Proxy

This document explains the usage of PKI Proxy with HSM 2. PKI Proxy enables the usage of HSM 2 through the native Microsoft Windows APIs. For this purpose, PKI Proxy includes a KSP (Key Storage Provider) that enables its use via the CNG (Cryptography API: Next Generation) interface. Additionally it provides PKCS#11 access to the HSM 2, but this should only be used if your setup requires it for example if you need the additional authentication features of PKI Proxy, or if you need to access it from a remote machine running an application that only supports PKCS#11. In all other cases use the PKCS#11 driver from the OpenSC project directly.

The deployment of HSM 2 with PKI Proxy looks like this.

Connection between HSM 2 and PKI Proxy Server, Client and exposed client interfaces.

The HSM 2 is connected via its USB interface to the PKI Proxy server. PKI Proxy uses the OpenSC PKCS#11 driver to connect to the HSM 2 and access its keys and certificates. Clients to the PKI Proxy use the REST API of the PKI Proxy server to access the keys and certificates. Applications on the client can either use the native Windows API or a PKCS#11 driver. PKI Proxy server and client can be executed on the same computer.

Возможные варианты использования этой установки:

  • Code signing

  • Document signing

Совет

Также обратитесь к официальной документации PKI Proxy для получения дополнительной информации.

Пререквизиты

  • HSM 2

    • Initialized

    • Provisioned with keys and certificates

  • Windows machine

    • OpenSC PKCS#11 driver installed (only required on the PKI Proxy Server).

PKI Proxy - сервер

The PKI Proxy server shares the keys and certificates from a HSM 2 for different users.

Установка

  1. Download the PKI Proxy 2024 installer from the /n software website.

  2. Откройте программу установки и следуйте указаниям мастера установки.

  3. Откройте PKI Proxy из меню Пуск. Если вы установили его в местоположение по умолчанию, вы также можете запустить его следующей командой из диалогового окна Run или PowerShell.

    C:\Program Files\PKI Proxy 2024\PKIProxy.exe

    Примечание

    PKI Proxy будет сворачиваться в системный трей, даже если главное окно закрыто.

Service Configuration

Ниже приведены инструкции по настройке PKI Proxy.

  1. Open the PKI Proxy main window.

  2. Change to the Settings tab.

  3. Make sure the checkbox Enable TLS is checked and an appropriate certificate is used.

  4. Change to the Users tab.

  5. Создайте нового пользователя, нажав на кнопку New…. Выберите тип аутентификации, который поддерживается всеми клиентами.

  6. В строке меню главного окна нажмите кнопку Start, чтобы запустить службу PKI Proxy.

Publish Certificates from the HSM 2

In the following we configure which certificates from the HSM 2 are made available through PKI Proxy.

  1. Убедитесь, что главное окно PKI Proxy открыто.

  2. Change to the Certificates tab.

  3. Нажмите на кнопку New…. Откроется окно Сертификат акций.

  4. Нажмите на кнопку Выбрать сертификат или ключ… в рамке Сертификат окна. Откроется окно Select a Private Key.

  5. Перейдите на вкладку Ключ безопасности.

  6. Click the Browse… button and select the OpenSC PKCS#11 driver library file. The text field PKCS#11 Library now shows the path to the library file.

  7. From the dropdown menu Security Key (PKCS#11) choose the slot which contains the certificate. The listed slots depend on your configuration of the HSM 2.

  8. В поле « » (PIN-код) введите PIN-код для вашего HSM 2.

  9. Click the Open button.

  10. The text list below Certificates now shows a list of the available certificates and generic keys on the HSM 2. Select the certificate or generic key you want to share with PKI Proxy.

  11. Нажмите на кнопку OK, чтобы подтвердить выбор. В результате вы вернетесь в окно Сертификат акций. Теперь в окне будут отображаться сведения о выбранном сертификате.

  12. Нажмите на кнопку Добавить… в рамке Доступ и разрешения окна. Откроется окно Выбор пользователя.

  13. Выберите существующего пользователя из выпадающего меню или создайте нового, выбрав Create New User…. Нажмите на кнопку OK, чтобы подтвердить выбор. Если вы решили создать нового пользователя, после этого появится окно New User.

  14. Вернитесь в окно Share Certificate и убедитесь, что разрешены только необходимые операции для сертификата или общего ключа. Это можно изменить с помощью флажков в нижней части рамки Access and Permissions.

  15. Нажмите на кнопку OK, чтобы опубликовать сертификат. Это вернет вас в главное окно PKI Proxy.

  16. В текстовом списке ниже Certificate Management теперь отображается опубликованный сертификат.

Прокси-сервер PKI - клиент

Клиентские инструменты PKI Proxy предоставляют различные способы доступа к общим ключам и сертификатам с сервера PKI Proxy.

Совет

Сервер PKI Proxy содержит клиентские инструменты. Таким образом, машина, на которой работает сервер, также может быть клиентом для себя.

Установка

  1. Загрузите PKI Proxy 2024 - Client Tools с веб-сайта /n software.

  2. Откройте программу установки и следуйте указаниям мастера установки.

KSP (Key Storage Provider)

PKI Proxy предоставляет KSP для взаимодействия с сервером PKI Proxy. KSP позволяет использовать собственные API Windows в приложениях через интерфейс CNG (Cryptography API: Next Generation). За дополнительной информацией обращайтесь к документации PKI Proxy.

PKCS#11

PKI Proxy предоставляет модуль PKCS#11 для взаимодействия с сервером PKI Proxy. За дополнительной информацией обращайтесь к документации PKI Proxy.