libsofthsm2.so和libckteec.so的基本命令

测试模块是否正常工作

bash 复制代码

sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --show-info
Cryptoki version 2.30
Manufacturer     SoftHSM
Library          Implementation of PKCS11 (ver 2.2)

列出所有槽(Slots)

bash 复制代码

sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --list-slots
sudo softhsm2-util --show-slots
sudo softhsm2-util --delete-token --token=${label}

列出支持的机制(Mechanisms)

bash 复制代码

sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --list-mechanisms
sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --list-mechanisms --slot 0

列出所有对象(Objects)

bash 复制代码

sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --login --pin 1234 --list-objects
sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --slot 0 --login --pin 1234  --list-objects
sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --list-objects

生成密钥对(Key Pair)

bash 复制代码

sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --login --pin 1234 --keypairgen --key-type rsa:2048 --id 2 --label "mytoken"
sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --login --pin 1234 --generate-keypair --key-type RSA:2048 --label "mytoken" --slot 0
# 需要Slot Token Pin So-Pin
sudo softhsm2-util --init-token --slot 0 --label "mytoken" --pin 1234 --so-pin 12345
sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --init-token --label "mytoken" --so-pin "12345"
sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --init-pin --slot 0 --so-pin 12345 --pin 1234

导出公钥(Public Key)

bash 复制代码

sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --login --pin 1234 --id 01 --label "mytoken" --type pubkey --read-object --output-file public_key.der
sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --login --pin 1234 --label "mytoken" --type pubkey --read-object --output-file public_key.der
openssl rsa -inform DER -in public_key.der -pubin -outform PEM -out public_key.pem

导出私钥(Private Key) - 通常不允许

bash 复制代码

sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --login --pin 1234 --id 01 --label "mytoken" --type privkey --read-object --output-file private_key.pem

签名数据(Sign Data)

bash 复制代码

sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --login --pin 1234 --id 01 --label "mytoken" --sign --mechanism SHA256-RSA-PKCS --input-file data.txt --output-file signature.bin
sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --login --pin 1234 --label "mytoken" --sign --mechanism SHA256-RSA-PKCS --input-file data.txt --output-file signature.bin
sudo openssl dgst -engine pkcs11 -keyform engine -sign "pkcs11:token=mytoken;object=mytoken;type=private;pin-value=1234" -out signature.bin data.txt

验证签名(Verify Signature)

bash 复制代码

# sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --login --pin 1234 --id 01 --label "mytoken" --verify --input-file data.txt --signature signature.bin
# pkcs11-tool 目前不支持直接验证签名的操作，可以使用 OpenSSL 配合 PKCS#11 引擎来实现签名验证
1)
openssl dgst -sha256 -binary -out data.sha256 data.txt
openssl pkeyutl -verify -inkey public_key.pem -pubin -in data.sha256 -sigfile signature.bin
2)
openssl dgst -sha256 -verify public_key.pem -signature signature.bin data.txt

加密数据(Encrypt Data)

bash 复制代码

# pkcs11-tool 目前不支持直接加密的操作，可以使用 OpenSSL 配合 PKCS#11 引擎来实现签名验证
# sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --login --pin 1234 --id 01 --label "mytoken" --encrypt --input-file data.txt --output-file ciphertext.bin
# sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --login --pin 1234 --label "mytoken" --encrypt --input-file plaintext.txt --output-file ciphertext.bin
1) 导出公钥，使用公钥加密
sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --login --pin 1234 --label "mytoken" --type pubkey --read-object --output-file public_key.der
openssl rsa -inform DER -in public_key.der -pubin -outform PEM -out public_key.pem
echo -n "Your plaintext message ! " | openssl pkeyutl -engine pkcs11 -encrypt -pubin -inkey public_key.pem -out ciphertext.bin

解密数据(Decrypt Data)

bash 复制代码

sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --login --pin 1234 --id 01 --label "mytoken" --decrypt --mechanism RSA-PKCS --input-file ciphertext.bin --output-file decrypted.txt

11.验证

bash 复制代码

echo -n "Your plaintext message !  " | openssl pkeyutl -engine pkcs11 -encrypt -pubin -inkey public_key.pem -out ciphertext.bin
sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --login --pin 1234 --decrypt --id 1 --mechanism RSA-PKCS --input-file ciphertext.bin
sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --login --pin 1234 --decrypt --label "mytoken" --mechanism RSA-PKCS --input-file ciphertext.bin