libsofthsm2.so和libckteec.so的基本命令

0. 测试模块是否正常工作

sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --show-info
Cryptoki version 2.30
Manufacturer     SoftHSM
Library          Implementation of PKCS11 (ver 2.2)

1. 列出所有槽(Slots)

sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --list-slots
sudo softhsm2-util --show-slots
sudo softhsm2-util --delete-token --token=${label}

2. 列出支持的机制(Mechanisms)

sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --list-mechanisms
sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --list-mechanisms --slot 0

3. 列出所有对象(Objects)

sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --login --pin 1234 --list-objects
sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --slot 0 --login --pin 1234  --list-objects
sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --list-objects

4. 生成密钥对(Key Pair)

sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --login --pin 1234 --keypairgen --key-type rsa:2048 --id 2 --label "mytoken"
sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --login --pin 1234 --generate-keypair --key-type RSA:2048 --label "mytoken" --slot 0
# 需要Slot Token Pin So-Pin
sudo softhsm2-util --init-token --slot 0 --label "mytoken" --pin 1234 --so-pin 12345
sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --init-token --label "mytoken" --so-pin "12345"
sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --init-pin --slot 0 --so-pin 12345 --pin 1234

5. 导出公钥(Public Key)

sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --login --pin 1234 --id 01 --label "mytoken" --type pubkey --read-object --output-file public_key.der
sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --login --pin 1234 --label "mytoken" --type pubkey --read-object --output-file public_key.der
openssl rsa -inform DER -in public_key.der -pubin -outform PEM -out public_key.pem

6. 导出私钥(Private Key) - 通常不允许

sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --login --pin 1234 --id 01 --label "mytoken" --type privkey --read-object --output-file private_key.pem

7. 签名数据(Sign Data)

sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --login --pin 1234 --id 01 --label "mytoken" --sign --mechanism SHA256-RSA-PKCS --input-file data.txt --output-file signature.bin
sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --login --pin 1234 --label "mytoken" --sign --mechanism SHA256-RSA-PKCS --input-file data.txt --output-file signature.bin
sudo openssl dgst -engine pkcs11 -keyform engine -sign "pkcs11:token=mytoken;object=mytoken;type=private;pin-value=1234" -out signature.bin data.txt

8. 验证签名(Verify Signature)

# sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --login --pin 1234 --id 01 --label "mytoken" --verify --input-file data.txt --signature signature.bin
# pkcs11-tool 目前不支持直接验证签名的操作，可以使用 OpenSSL 配合 PKCS#11 引擎来实现签名验证
1)
openssl dgst -sha256 -binary -out data.sha256 data.txt
openssl pkeyutl -verify -inkey public_key.pem -pubin -in data.sha256 -sigfile signature.bin
2)
openssl dgst -sha256 -verify public_key.pem -signature signature.bin data.txt

9. 加密数据(Encrypt Data)

# pkcs11-tool 目前不支持直接加密的操作，可以使用 OpenSSL 配合 PKCS#11 引擎来实现签名验证
# sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --login --pin 1234 --id 01 --label "mytoken" --encrypt --input-file data.txt --output-file ciphertext.bin
# sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --login --pin 1234 --label "mytoken" --encrypt --input-file plaintext.txt --output-file ciphertext.bin
1) 导出公钥，使用公钥加密
sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --login --pin 1234 --label "mytoken" --type pubkey --read-object --output-file public_key.der
openssl rsa -inform DER -in public_key.der -pubin -outform PEM -out public_key.pem
echo -n "Your plaintext message ! " | openssl pkeyutl -engine pkcs11 -encrypt -pubin -inkey public_key.pem -out ciphertext.bin

10. 解密数据(Decrypt Data)

sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --login --pin 1234 --id 01 --label "mytoken" --decrypt --mechanism RSA-PKCS --input-file ciphertext.bin --output-file decrypted.txt

11.验证

echo -n "Your plaintext message !  " | openssl pkeyutl -engine pkcs11 -encrypt -pubin -inkey public_key.pem -out ciphertext.bin
sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --login --pin 1234 --decrypt --id 1 --mechanism RSA-PKCS --input-file ciphertext.bin
sudo pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so --login --pin 1234 --decrypt --label "mytoken" --mechanism RSA-PKCS --input-file ciphertext.bin