Phần mềm bảo mật Module/bộ công cụ thay thế HSM để phát triển các chức năng mã hóa

Question

Tôi đã làm việc và hoàn thành một dự án PKI đã sử dụng HSM để tạo các khóa lưu trữ và thực hiện các chức năng mã hóa. Tôi đã sử dụng PKCS # 11 để giao tiếp với ứng dụng của chúng tôi để sigining/verify và mã hóa/giải mã. Nền tảng của chúng tôi là cửa sổ.

Bây giờ, chúng tôi đang tìm cách cung cấp giải pháp thay thế chi phí thấp bằng cách thay thế HSM bằng mô-đun bảo mật phần mềm. Tôi phải lưu ý ở đây rằng tôi nhận thức được những hạn chế của việc không sử dụng một HSM. Đó là một thương mại giữa an ninh Vs Chi phí.

Tôi thấy rằng Microsoft cung cấp CryptoAPI thế hệ tiếp theo (CNG), lưu trữ khóa và dịch vụ chứng chỉ. Quản lý cấp cao của tôi không có xu hướng sử dụng phần mềm nguồn mở. Tôi cũng tìm thấy các bộ công cụ cung cấp RSA và cryptomathic để thực hiện các giải pháp dựa trên phần mềm.

Có ai gặp bất kỳ bộ công cụ mô-đun bảo mật phần mềm thương mại nào để thực hiện các chức năng tạo khóa, lưu trữ khóa và mã hóa chính không?

Lập trình ngôn ngữ - c/C++

Cảm ơn

Raj

Answer 1

lựa chọn tốt nhất của bạn nên được để tìm một phần mềm PKCS # 11 thư viện. Nên có một số triển khai trên thị trường - tôi biết rằng công ty tôi làm việc để bán một. Bằng cách đó bạn vẫn có thể chuyển về HSM tương thích với PKCS # 11 và các sửa đổi cần thiết đối với ứng dụng phải ở mức tối thiểu.

Các tùy chọn khác của bạn là CryptoAPI hoặc CNG từ Microsoft hoặc bộ công cụ từ RSA, Cryptomathic hoặc nhà cung cấp khác. Điều đó có lẽ sẽ đòi hỏi nhiều công việc hơn để viết lại ứng dụng - tôi thực sự không thể thấy bất kỳ lợi thế nào cho tùy chọn này, ngoại trừ CryptoAPI và CNG là miễn phí.

Answer 2

Bạn có thể sử dụng SoftHSM, đây là phần mềm PKCS # 11 thuần túy. Nó đang được sử dụng bởi dự án OpenDNSSEC chính xác để được hoán đổi trong trường hợp HSM thực sự không có sẵn, vì vậy nó có thể làm việc cho bạn. Tuy nhiên, đó là BSD được cấp phép, vì vậy tôi đoán quản lý của bạn có thể không thích nó trên cơ sở đó.

Nếu bạn đang tìm kiếm chi phí thấp và chưa thương mại (tôi không chắc liệu bạn có đang tìm kiếm một thứ gì đó độc quyền không, CryptoAPI là gì, hoặc cho một thứ được hỗ trợ về mặt thương mại, mà CryptoAPI thì không, trừ khi bạn có một hợp đồng với Microsoft), viết lại ứng dụng của bạn để sử dụng Win32 CryptoAPI có vẻ là lựa chọn duy nhất khả thi đối với tôi. Bộ công cụ của RSA không hề rẻ, theo kinh nghiệm của tôi.

Answer 3

Hãy xem http://www.openssl.org/related/kits.html cho LSM-PKCS11. Đó có thể là một giải pháp.

Answer 4

Tôi có một khách hàng đã sử dụng phần mềm PKCS # 11 thực hiện đi kèm với NSS của Mozilla làm bản thay thế cho HSM. Chúng trên Linux sử dụng ruby-pkcs11, vì vậy số dặm của bạn có thể thay đổi.