将 pkcs11 密钥重新定位到 nCipher HSM 中的 jcecsp

Question

使用 PKCS11 api，我能够生成对称密钥 (DES3)，但现在我需要将这些密钥重新定位到 jcecsp，以用于仅使用 nCipher JCE 提供程序访问 HSM 的应用程序。我意识到jcecsp 不在--retarget 命令的可识别应用列表中。

所以我的问题是：有没有办法将jcecsp 添加为generatekey --retarget 命令的支持应用程序？或者这在 nShield HSM 中根本不可能？

我得到了这个错误输出：

$ generatekey --retarget jcecsp
ERROR: sorry, application jcecsp is not currently usable

Answer 1

jcecsp 有点奇怪，因为操作需要通过 Java 的 KeyStore API。您可以使用 Java keytool 的 -importkeystore 选项，将 SunPKCS11 作为源，将 nCipher.sworld 作为目标。如果这有效，您将有效地重新定位密钥。 Java 层通过密钥库文件工作，确保在 JCE 尝试访问密钥时可以再次找到该密钥。

您将有很多选择... SunPKCS11 文档在这里 https://docs.oracle.com/javase/8/docs/technotes/guides/security/p11guide.html 并查看 Thales 文档以了解有关 nCipherKM 方面的内容。