使用自定义openssl引擎防止私钥暴露

Question

是否可以让引擎生成密钥对，让应用程序“使用”私钥（例如签名）而不实际暴露密钥？例如。 openssl会返回某种引用，但不会返回密钥本身。 此外，应该有一种方法来存储密钥对（以及任何相关的证书链）并在以后检索它们。我们考虑将所有内容存储在pkcs12结构中。

你能否给我一些指示如何在C中做到这一点？

Answer 1

这可以通过使用OpenSSL支持的硬件安全模块（http://en.wikipedia.org/wiki/Hardware_Security_Module）实现。

我过去曾成功将nCipher HSM与OpenSSL一起使用，但他们不是唯一受支持的供应商。