中国建设银行预约网站,无极官网下载,网站架构模板,网站建设哪家企业好密码设备
mToken GM3000 国密身份认证锁是龙脉科技自主研发设计支持国密算法、完全遵照国家密码管理局颁布的《智能IC卡及智能密码钥匙密码应用接口规范》要求设计的USB Key#xff0c;采用国产高性能智能卡芯片#xff0c;内置SSF33、SM1、SM2、SM3、SM4等国产算法#xf…密码设备
mToken GM3000 国密身份认证锁是龙脉科技自主研发设计支持国密算法、完全遵照国家密码管理局颁布的《智能IC卡及智能密码钥匙密码应用接口规范》要求设计的USB Key采用国产高性能智能卡芯片内置SSF33、SM1、SM2、SM3、SM4等国产算法支持高速数据国密算法加解密提供CSP以及PKCS11和国密接口完全符合国家密码管理局关于“密钥不落地”的技术规范要求是电子政务、电子军务、CA厂商首选的USB Key产品。
适用范围主要是用作基于公钥体系PKI的数字证书和私钥的安全载体。
使用目的学习使用key导入数字证书等功能
SKF密码设备
SKF密码设备使用的是SKF接口SKF接口是国密标准中智能密码钥匙的C语言应用开发接口标准目前很多国内密码密码设备厂商都为其产品提供了SKF接口的开发包。开发者可以通过统一的SKF接口开发密码应用访问来自不同设备供应商的USB-Key、TF卡、智能卡等不同形态的密码设备而无需和某一个设备供应商的专属设备或专属接口绑定。
GmSSL项目从2.0版本开始以Engine的方式增加了对SKF设备的完善支持。GmSSL通过在libcrypto密码库中引入SKF框架实现了对不同厂商SKF设备的支持。通过将SKF接口封装为SKF Engine使得上层应用和SSL库可以直接通过EVP接口动态调用不同SKF设备。
GmSSL通过ENGINE机制支持密码硬件。鉴于《智能IC卡及智能密码钥匙密码应用接口规范》标准中公布了访问国密硬件的C语言API (下面简称SKF API)GmSSL通过ENGINE机制访问支持国密SKF API的国产密码硬件。一个SKF API设备中可以包含一个或多个应用(Application)每个应用可以包含一个获多个容器(Container)每个容器中可以存放两对分别用于加密和签名的密钥对以及两个相应的证书或证书链。每一个容器只能为ECC或RSA一种类型一个容器中不能混用ECC密钥和RSA密钥。
SKF密码设备管理
通过gmssl命令行工具的skf命令可以访问和管理SKF设备通过gmssl的pkey、pkeyutl和req等命令及SKF引擎可以密码计算、公钥导出、证书生成等功能。我按照文章http://gmssl.org/docs/skf.html所介绍的方法对mToken GM3000在Linux下进行管理需要在Linux下先安装mToken GM3000的驱动程序。
dpkg -i LM-mPluginV4-V4.0.0.0.amd64.deb 命令用来安装插件
插件安装成功后要想进行设备管理需要获得由厂商提供的针对该类型设备的动态库这个动态库通常随厂商的开发SDK提供在Linux操作系统中以so为扩展名在skf命令中通过参数-lib指定厂商的SKF动态库。刚开始我并没有找到厂商提供的动态库在网页中的命令如下
$ ln -s /path/to/vendors/skf/libSKF.so ./libskf.so $ gmssl skf -lib ./libskf.so -vendor wisec -listdevs Device 0 : /media/guanzhi/99E1-9854 其中-lib参数用来指定厂商的SKF动态库在提供的中间件文件夹中mToken-GM3000中的skf\api\linux\x86最后找到了该动态库名为libgm3000.1.0.so。所以对该动态库进行重命名用./libskf.so命名。
查看skf的相关命令gmssl skf -help
后来发现可以使用skf命令查看设备信息等功能
gmssl skf -lib ./libskf.so -vendor wisec -listdevs gmssl skf -lib ./libskf.so -dev $设备名称 -devinfo 进行应用管理的时候包含创建应用、枚举应用、删除应用。首先我们可以通过-listapps指令枚举指定设备中的应用普通用户在拿到设备时可能已经有预先设备好的应用。
gmssl skf -lib ./libskf.so -dev $DEV -authkey $AUTHKEY -listapps 在文档中看到设备认证的流程
gmssl skf -lib ./libskf.so -dev $DEV -authkey $AUTHKEY -listapps 使用命令查看设备的应用时出现错误
秘钥容器管理 SKF设备中以密钥容器的方式管理私钥一个应用中可以建立多个密钥容器每个密钥容器中可以装载同类型的2对公私钥对其中一个为签名密钥对一个为加解密或密钥交换密钥对。签名密钥对只能在SKF设备内部生成而无法由外部导入而加解密或密钥交换密钥只能从外部导入而无法在设备内部生成。在完成密钥生成或导入后密钥对中只有公钥可以导出私钥是无法导出的。密钥容器还支持证书的存储一个密钥容器中可以存储两个证书或两条证书链分别对应两个密钥对。
证书生成 用户秘钥及证书生成过程如下
mkdir demoCA cd demoCA mkdir certs crl newcerts private touch index.txt od -vAn -N4 -tx1 /dev/urandom |tr -d ’ ’ serial echo “good” testPage.txt gmssl sm2 -genkey -out private/cakeyGM.pem
生成SM2自签证书作为根CA
gmssl req -new -x509 -key private/cakeyGM.pem -out cacertGM.crt
生成用户SM2密钥对
cd … gmssl sm2 -genkey -out wzz.com.key
生成证书请求
gmssl req -new -key wzz.com.key -out wzz.com.csr
利用CA进行签名
sudo gmssl ca -in wzz.com.csr -out wzz.com.crt -cert demoCA/cacertGM.crt -keyfile demoCA/private/cakeyGM.pem
验签
gmssl verify -verbose -x509_strict -CAfile demoCA/cacertGM.crt wzz.com.crt
生成PKCS12格式的证书文件
cd demoCA sudo gmssl pkcs12 -export -in cacertGM.crt -inkey private/cakeyGM.pem -out wzzRootCA.p12
导入证书 登录管理工具
导入证书选择刚刚在Linux下生成的证书
可以导入PCKS12格式的证书
最后可以实现安装证书
