硝基钥匙HSM常见问题#
- **问:**密码的最大长度是多少?
Nitrokey使用PIN码而不是密码。主要区别在于,硬件将尝试的次数限制为三次,而密码则不存在限制。正因为如此,一个简短的PIN码仍然是安全的,没有必要选择一个长而复杂的PIN码。
Nitrokey的PIN码最多可以有16位,可以由数字、字符和特殊字符组成。注意:当使用GnuPG或OpenSC时,可以使用32个字符的PIN码,但不被Nitrokey应用程序支持。
- **问:**用户密码是什么?
密码至少有6位数,用于访问Nitrokey的内容。这是你在日常使用中会经常用到的密码。
密码最多可以有16位数字和其他字符(如字母和特殊字符)。但是,只要有三次错误的PIN尝试,PIN就会被阻止,所以只有6位数的PIN就足够安全了。
- **问:**SO PIN是什么意思?
SO PIN仅在Nitrokey HSM中使用,它类似于具有特殊属性的主密码。请仔细阅读本说明以了解Nitrokey HSM的SO PIN。
SO PIN的长度必须正好是16位数。
- **问:**可以存储多少个数据对象(DF、EF)?
总共76KB的EEPROM,可用于
最多。150个ECC-521钥匙或
最大。300个ECC/AES-256密钥或
最大。19个RSA-4096密钥或
最大。38 x RSA-2048 密钥
- **问:**我可以存储多少个钥匙?
Nitrokey HSM可以存储20个RSA-2048和31个ECC-256的密钥对。
- **问:**加密和签名的速度如何?
卡片上的密钥生成。RSA 2048:每分钟2个
卡片上的密钥生成。ECC 256:每分钟10个。
用卡外哈希创建签名。RSA 2048;每分钟100个
用卡外哈希创建签名。ECDSA 256:每分钟360个
用卡上的SHA-256和1kb数据创建签名。RSA 2048;每分钟68个
用卡上的SHA-256和1kb数据创建签名。ECDSA 256:每分钟125个
- **问:**如何区分Nitrokey HSM 1和Nitrokey HSM 2?
使用``opensc-tool –list-algorithms``并与下表进行比较。也请看`这个主题`_,以了解情况表和更多细节。
开始 |
专业+存储 |
专业2+存储2 |
Nitrokey 3 |
HSM |
HSM 2 |
|
rsa1024 |
✓ |
✓ |
✓ |
✓ |
||
rsa2048 |
✓ |
✓ |
✓ |
✓ |
✓ |
✓ |
rsa3072 |
✓ |
✓ |
✓ |
✓ |
||
rsa4096 |
✓ |
✓ |
✓ |
✓ |
||
曲线25519 |
✓ |
✓ |
||||
NIST-P 192 |
✓ |
|||||
NIST-P 256 |
✓ |
✓ |
✓ |
✓ |
||
NIST-P 384-521 |
✓ |
✓ |
||||
脑池192 |
✓ |
✓ |
||||
脑库 256-320 |
✓ |
✓ |
✓ |
|||
脑库 384-521 |
✓ |
✓ |
||||
secp192 |
✓ |
✓ |
||||
secp256 |
✓ |
✓ |
✓ |
|||
secp521 |
✓ |
- **问:**我怎样才能在我的应用中使用Nitrokey HSM的真随机数发生器(TRNG)?
通过使用OpenSC作为PKCS#11驱动,Nitrokey HSM可以与`Botan`_和`TokenTools`_一起使用。
OpenSSL不能直接使用Nitrokey HSM的RNG,因为engine-pkcs11不包含OpenSSL对C_GenerateRandom的映射。
- **问:**随机数字发生器有多好?
Nitrokey HSM使用JCOP 2.4.1r3的真随机数发生器,其质量为DRNG.2(根据德国联邦信息安全局BSI的`AIS 31`_)。
- **问:**我可以使用哪个API?
OpenSC:OpenSC框架有全面的说明。还有nitrotool作为OpenSC的一个更舒适的前端。
嵌入式系统。对于内存占用最小的系统,sc-hsm-embedded项目提供了一个只读不写的PKCS#11模块。 这个PKCS#11模块对于不需要在用户工作场所生成密钥的部署非常有用。PKCS#11模块还支持德国市场上的主要电子签名卡。
OpenSCDP。SmartCard-HSM与开放式智能卡开发平台OpenSCDP完全集成。详情见公共支持脚本。要导入现有的密钥,你可以使用其SCSH或NitroKeyWrapper。
- **问:**Nitrokey HSM 2是否经过通用标准或FIPS认证?
安全控制器(恩智浦 JCOP 3 P60)已通过通用标准 EAL 5+ 认证,达到操作系统级别(`Certificate<https://commoncriteriaportal.org/files/epfiles/NSCIB-certificate%2021-98209.pdf>`__,`Certification Report<https://commoncriteriaportal.org/files/epfiles/Certification%20Report%20NSCIB-CC-98209-CR5%20-%20version%203.0%20(2022-10-14).pdf>%20NSCIB-CC-98209-CR5%20-%20version%203.0%20(2022-10-14).pdf>`__,`Security Target<https://commoncriteriaportal.org/files/epfiles/NSCIB-CC-98209_5-STLite.pdf>`__,`Java Card System Protection Profile Open Configuration, Version 3.0<https://commoncriteriaportal.org/files/ppfiles/ANSSI-CC-profil_PP-2010-03en.pdf>`__ )。
- **问:**如何将现有密钥导入Nitrokey HSM?
首先,`设置`_你的Nitrokey HSM以使用钥匙备份和恢复。然后使用智能卡外壳进行导入。如果你的钥匙存储在Java钥匙库中,你可以使用`NitroKeyWrapper`_代替。
- **问:**我如何用Nitrokey HSM来保护我的云基础设施/Kubernetes?
在Nitrokey HSM上为Hashicorp Vault/Bank-Vault提供安全钥匙的方法可以在`banzaicloud.com`_找到。
- **问:**我可以用加密货币使用Nitrokey HSM吗?
J.v.d.Bosch写了一个简单的、免费的python `程序`_来保护HSM中比特币钱包的私钥。`Tezos`_已被`报道`_与Nitrokey HSM一起工作。