代码之家 › 专栏 › 技术社区 › Raj

软件安全模块/工具包替代HSM开发加密功能

hsm cryptography encryption security

7

Raj · 技术社区 · 15 年前

我工作并完成了一个pki项目,该项目使用一个hsm来生成-存储密钥和执行加密功能。我使用pkcs 11与我们的应用程序接口,用于签名/验证和加密/解密。我们的平台是窗户。

现在,我们希望通过用软件安全模块替换HSM来提供一种低成本的替代解决方案。我必须注意,我知道不使用HSM的缺点。这是安全与成本之间的权衡。

我发现微软提供下一代CryptoAPI(CNG)、密钥存储和证书服务。我的高级管理层不喜欢使用开源软件。我还发现RSA和Cryptomathic提供工具包来执行基于软件的解决方案。

是否有人遇到过执行密钥生成、密钥存储和加密功能的任何商业软件安全模块工具包?

程序设计语言——C/C++

谢谢

拉吉

4 回复 | 直到 15 年前

1

2

Rasmus Faber 14 年前

您最好的选择应该是找到软件PKCS 11库。市场上应该有几个实现——我知道我为之工作的公司出售一个。这样,您仍然可以切换回符合PKCS 11的HSM,并且对应用程序的必要修改应该是最小的。

您的其他选项是Microsoft的CryptoAPI或CNG,或者RSA、Cryptomathic或其他供应商的工具包。这可能需要更多的工作来重写应用程序——除了CryptoAPI和CNG是免费的之外,我真的看不到这个选项的任何优势。

2

8

Jack Lloyd 15 年前

你可以使用 SoftHSM 这是一个纯粹的软件PKC 11实现。OpenDNSSEC项目正使用它来精确地交换,以防真正的HSM不可用,因此它也可能适用于您。但是,它是BSD许可的,所以我想您的管理层可能不喜欢它。

如果您正在寻找低成本且商业化的产品(我不确定您是专门寻找专有产品、CryptoAPI是什么,还是商业化支持的产品、CryptoAPI不是什么,除非您与Microsoft签订了合同),那么重写您的应用程序以使用Win32 CryptoAPI似乎是我唯一可行的选择。以我的经验,RSA的工具包并不便宜。

3

2

Sander Temme 13 年前

我有一个客户使用Mozilla NSS附带的软件PKCS 11实现作为HSM的替代品。他们在使用Ruby-PKCS11的Linux上,所以您的里程可能会有所不同。

4

1

Clizio Merli 15 年前

看一看 http://www.openssl.org/related/kits.html 用于LSM-PKCS11。这可能是一个解决方案。