拥有移动应用程序的最终用户通过HSM设备进行身份验证的方式有哪些？

Question

我正在探索HSM设备，以检查其在区块链平台上的可行性。我还没有找到一个很好的资源来说明不拥有HSM但他的密钥的最终用户如何将其存储在其上，使用移动应用程序可以向HSM进行身份验证以从其私钥获取签名。

可能的解决方案可以是PIN /密码。但是我觉得这仍然是不安全的。尽管HSM仅给出签名，但是任何能够访问用户PIN /密码的人都可以获取签名。

我想知道当前正在使用哪些身份验证方法来访问HSM，以及在上述情况下可以使用哪些方法。

我想知道的另一件事是：移动设备如何与HSM通信？ HSM是否支持HTTPS用于移动设备与之交互？

假想的答案也很好：）

Answer 1

HSM供应商提供各种登录工具。如果是Gemalto（现在是Thales）HSM，则有一个Java api：JCProv，可使用它来登录hsm。使用此类API，您可以通过创建会话登录令牌（hsm），并使用插槽号和密码登录。