尼特罗基存储常见问题#

由于Nitrokey Storage 2本质上是一个包括非易失性(加密)存储的Nitrokey Pro 2,所以:doc:`Nitrokey Pro 2 FAQ <./pro/faq>`也部分适用。

**问:**支持哪些操作系统?

Windows、Linux和macOS。

**问:**我可以用硝基钥匙做什么?

请参阅`frontpage`_以了解支持的用例概述。

**问:**默认的PIN码是什么?
  • 用户密码:”123456”。

  • 管理员密码: “12345678”。

  • 固件密码:”12345678”。

我们强烈建议在使用Nitrokey之前,将这些PIN码/密码改为用户选择的值。

**问:**存储容量有多大?

Nitrokey存储系统可以存储和加密8、32或64GB的数据(取决于特定型号)。

**问:**为什么我不能访问新的Nitrokey存储器上的加密存储?

在一个新的Nitrokey存储设备上,在访问加密卷之前,请确保你首先在Nitrokey应用程序中”销毁加密的数据”。

**问:**密码的最大长度是多少?

Nitrokey使用PIN码而不是密码。主要区别在于,硬件将尝试的次数限制为三次,而密码则不存在限制。正因为如此,一个简短的PIN码仍然是安全的,没有必要选择一个长而复杂的PIN码。

Nitrokey Storage的PIN码可长达20位,可由数字、字符和特殊字符组成。注意:当使用GnuPG或OpenSC时,可以使用32个字符的PIN码,但不被Nitrokey App支持。

**问:**用户密码是什么?

用户PIN码至少有6位数,用于进入Nitrokey的保护范围。这是你在日常使用中经常用到的密码,例如解密信息、解锁加密的存储空间(仅限NK存储)等。

用户密码可以有多达20位数字和其他字符(如字母和特殊字符)。但是,由于用户的PIN码在尝试了三次错误的PIN码后就会被阻止,所以只有6位数的PIN码就足够安全了。默认的PIN码是123456。

**问:**管理密码是用来做什么的?

管理密码至少有8位数,用于改变硝基钥匙的内容/设置。也就是说,在初始化Nitrokey后,你可能不会经常需要这个PIN码(例如,如果你想在Nitrokey Pro或Nitrokey Storage的密码箱中添加另一个密码)。

管理密码最多可以有20位数字和其他字符(如字母和特殊字符)。但是,由于只要有三次错误的PIN尝试,管理PIN就会被阻止,所以只有8位数的PIN就足够安全了。默认的PIN码是12345678。

**问:**为什么在nitrokey-app和GnuPG之间切换时,我的Nitrokey存储会挂起?

GnuPG和nitrokey-app有时会互相牵制。这是一个已知的问题,它可以通过将硝基钥匙重新插入USB插槽来解决。

**问:**固件的PIN码是什么?

固件密码应符合一般的密码建议(例如,使用字母、数字和特殊字符或使用足够长的密码)。更新Nitrokey存储器的固件时需要固件密码。请参阅更新过程的进一步说明。

固件密码永远不会被封锁。攻击者可以尝试猜测密码,而且会有无限次的尝试。因此,你必须选择一个强大的密码。默认的密码是12345678。

**问:**我可以存储多少个钥匙?

Nitrokey存储器可以存储三个RSA密钥对。所有的钥匙都使用相同的身份,但用于不同的目的:认证、加密和签名。

**问:**加密和签名的速度如何?

对50kiB的数据进行加密。

  • 256位AES,每条命令2048字节 -> 每秒880字节

  • 128位AES,每条命令2048字节 -> 每秒893字节

  • 256位AES,每个命令240字节 -> 每秒910字节

  • 128位AES,每条命令240字节 -> 每秒930字节

**问:**支持哪些算法和最大密钥长度?

见下表。

开始

专业+存储

专业2+存储2

Nitrokey 3

HSM

HSM 2

rsa1024

rsa2048

rsa3072

rsa4096

曲线25519

NIST-P 192

NIST-P 256

NIST-P 384-521

脑池192

脑库 256-320

脑库 384-521

secp192

secp256

secp521

**问:**尼特罗基存储器是否包含安全芯片或只是一个普通的微控制器?

Nitrokey存储器包含一个防篡改的智能卡。

**问:**Nitrokey存储系统是否经过通用标准或FIPS认证?

Cure53 对硬件、固件和 Nitrokey 应用程序进行了`独立安全审计。该安全控制器的硬件已通过通用标准认证(Report;见`here`_,单击 “集成电路、智能卡和智能卡相关设备与系统”,搜索 “恩智浦智能卡控制器 P5CD081V1A 和主要配置 P5CD081V1A”)。并搜索 “恩智浦智能卡控制器 P5CD081V1A 及其主要配置 P5CC081V1A、P5CN081V1A、P5CD041V1A、P5CD021V1A 和 P5CD016V1A,每个配置都有 IC 专用软件”)。

**问:**如何在我的应用中使用Nitrokey存储的真随机数发生器(TRNG)?

这两种设备都与OpenPGP卡兼容,因此,scdrand`_应该可以工作。`这个脚本`_可能有用。用户comio `创建了一个systemd文件`_来使用scdrand,从而更普遍地使用TRNG。他还为Gentoo创建了一个`ebuild

**问:**随机数字发生器有多好?

Nitrokey Pro和Nitrokey Storage使用真随机数发生器(TRNG)来生成设备上的密钥。TRNG产生的熵被用于整个密钥长度。因此,TRNG符合`BSI TR-03116`_的规定。

TRNG提供约40 kbit/s。

**问:**我如何使用加密的移动存储?

在使用加密的移动存储之前,你需要安装和初始化Nitrokey存储并下载最新的Nitrokey应用程序。

  • 启动Nitrokey应用程序。

  • 按其托盘图标,在菜单中选择”解锁加密卷”。

  • 在出现的弹出窗口中输入你的用户密码。

  • 如果这是第一次,您可能需要在加密的卷上创建一个分区。Windows会打开一个适当的窗口并要求你这样做。在Linux和Mac上,您可能需要打开一个分区管理器并手动创建一个分区。您可以根据您的需要创建任意多的分区。如果你想从不同的操作系统访问该分区,我们建议使用FAT(32)。

  • 现在你可以像使用其他普通USB驱动器一样使用加密的卷。但是,存储在上面的所有数据都将在Nitrokey硬件中自动加密。

  • 要删除或锁定加密的卷,你应该先卸载/弹出它。

  • 之后,你可以断开Nitrokey的连接,或从Nitrokey应用程序菜单中选择”锁定加密卷”。

Nitrokey Storage也能够创建隐藏卷。请看一下隐藏卷的相应说明。

**问:**如何使用隐藏卷?

隐藏卷允许在加密卷中隐藏数据。这些数据受到额外密码的保护。没有密码,数据的存在就不能被证明。默认情况下,隐藏卷不会被设置,因此它们的存在可以被合理地否认。这个概念类似于VeraCrypt/TrueCrypt的隐藏卷,但在Nitrokey Storage中,隐藏卷的整个功能是在硬件中实现的。

你最多可以配置四个隐藏卷。一旦解锁,隐藏卷的行为与普通存储一样,你可以创建各种分区、文件系统,并按你的意愿存储文件。

如果您决定配置隐藏卷,您就不能再使用加密的存储。因为隐藏卷位于加密存储的自由空间上,有可能会覆盖隐藏卷中的数据。你可以说,即使是加密存储也不知道有一个隐藏卷。一般的结构如下图所示。因此,在创建了隐藏卷之后,请不要在加密存储中写入任何东西(虽然你必须先解锁它)。

隐藏卷就像一个容器中的容器,即加密卷。