私钥模板不一致

Question

我正在尝试在SafeNet HSM中生成RSA密钥对。我复制了PKCS11中为私钥和公钥指定的示例模板。当我生成密钥对时，一切正常。但是，当我为私钥指定以下属性值时，C_GenerateKeyPair返回CKR_TEMPLATE_INCONSISTENT：

1. CKA_DECRYPT = false。
2. CKA_UNWRAP = true。

我可以想象为什么我得到模板不一致但我只是想验证它。由于解包操作本质上是解密操作，因此在密钥无法解密时允许密钥解包是不一致的。

但是，不应该通过PKCS11实现单独处理这两个操作吗？

提前致谢。

Answer 1

您不必同时设置它们，因为它们确实是分开的。实际上，金雅拓SafeNet HSM的最新版本中存在一种分区策略，必须在甚至允许所谓的“多用途密钥”之前启用该分区策略。我认为不一致不是在私钥模板内，而是在它和相应的公钥模板之间。您可能必须在公共密钥模板中将标志设置为相反的值。