Question

我正在尝试使用python中的PKCS11（使用PyKCS11库）在ACOS5-64智能卡和OMNIKEY 3121读卡器上创建AES 256密钥。到目前为止，所有＆＃34;标准＆＃34;操作似乎与非对称加密有关。我已经运行了大量代码示例和pkcs11-tool命令，初始化令牌，设置/更改PIN，创建RSA密钥对等等。因此，驱动程序都是可用的（pcscd，CCID，PKCS11中间件）。

以下代码导致问题：

from PyKCS11 import *
import getpass
libacospkcs = '/usr/lib/libacospkcs11.so'

def createTokenAES256(lbl):
   pkcs11 = PyKCS11Lib()
   pkcs11.load(libacospkcs)
   theOnlySlot = pkcs11.getSlotList()[0]
   session = pkcs11.openSession(theOnlySlot, CKF_SERIAL_SESSION | CKF_RW_SESSION)
   PIN = getpass.getpass('Enter User PIN to login:')
   session.login(PIN)

   t = pkcs11.getTokenInfo(theOnlySlot)
   print t.label
   print t.model
   print t.serialNumber

   template = (
      (CKA_CLASS, CKO_SECRET_KEY),
      (CKA_KEY_TYPE, CKK_AES),
      (CKA_VALUE_LEN, 32),
      (CKA_LABEL, "A"),
      (CKA_PRIVATE, True),
      (CKA_SENSITIVE, True),
      (CKA_ENCRYPT, True),
      (CKA_DECRYPT, True),
      (CKA_TOKEN, True),
      (CKA_WRAP, True),
      (CKA_UNWRAP, True),
      (CKA_EXTRACTABLE, False))
   ckattr = session._template2ckattrlist(template)
   m = LowLevel.CK_MECHANISM()
   m.mechanism = LowLevel.CKM_AES_KEY_GEN

   key = LowLevel.CK_OBJECT_HANDLE()
   returnValue = pkcs11.lib.C_GenerateKey( session.session, m, ckattr, key)

   if returnValue != CKR_OK:
      raise PyKCS11Error(returnValue)

# Now run the method to create the key
createTokenAES256('TestAESKey')

但是，运行时出错：

~/projects/smartcard $ python testpkcs11again.py 
Enter User PIN to login:
Token #A                        
ACOS5-64        
30A740C8704A
Traceback (most recent call last):
  File "testcreateaes.py", line 43, in <module>
    createTokenAES256('TestAESKey')
  File "testcreateaes.py", line 40, in createTokenAES256
    raise PyKCS11Error(returnValue)
PyKCS11.PyKCS11Error: CKR_ATTRIBUTE_VALUE_INVALID (0x00000013)

问题是，如果我将CKA_TOKEN行切换为False，那么＆＃34;工作＆＃34;。当然，通过将其设置为false，它使密钥成为会话对象而不是令牌对象（即，在我注销后，密钥被擦除）。使用带有--list-objects的pkcs11-tool，键不在那里。我可以使用ACSCMU（用于令牌管理的GUI工具），我可以在＆＃34;密钥管理器＆＃34;中创建一个AES密钥。它确实创建了一个持久密钥。但我无法看到ACSCMU正在做些什么来使其持久化（它可能根本不使用PKCS11）。

如果我不得不猜测问题，我猜它与会话有关。如果CKA_TOKEN = True无效，那么令牌似乎实际上不处于RW模式（如第9行中的CKF_RW_SESSION所示）。到目前为止，我还不确定还有什么可以尝试或如何调试它。

Answer 1

经过大量的例子挖掘后，我自己想出来：如果要创建一个持久性（CKA_TOKEN = True）对象，CKA_ID是必需属性。不知道我应该怎么知道（从未在任何文档中看到它），但在我添加之后它确实很有效。

如果您正确设置了驱动程序，则此代码应该有效：

from PyKCS11 import *
import getpass
libacospkcs = '/usr/lib/libacospkcs11.so'

def createTokenAES256(label):
   pkcs11 = PyKCS11Lib()
   pkcs11.load(libacospkcs)
   theOnlySlot = pkcs11.getSlotList()[0]
   session = pkcs11.openSession(theOnlySlot, CKF_SERIAL_SESSION | CKF_RW_SESSION)
   PIN = getpass.getpass('Enter User PIN to login:')
   session.login(PIN)

   print pkcs11.getTokenInfo(theOnlySlot)

   template = (
      (CKA_CLASS, CKO_SECRET_KEY),
      (CKA_KEY_TYPE, CKK_AES),
      (CKA_VALUE_LEN, 32),
      (CKA_LABEL, label),
      (CKA_ID, "1244"),
      (CKA_PRIVATE, True),
      (CKA_SENSITIVE, True),
      (CKA_ENCRYPT, True),
      (CKA_DECRYPT, True),
      (CKA_TOKEN, True),
      (CKA_WRAP, True),
      (CKA_UNWRAP, True),
      (CKA_EXTRACTABLE, False))
   ckattr = session._template2ckattrlist(template)
   m = LowLevel.CK_MECHANISM()
   m.mechanism = LowLevel.CKM_AES_KEY_GEN

   key = LowLevel.CK_OBJECT_HANDLE()
   returnValue = pkcs11.lib.C_GenerateKey( session.session, m, ckattr, key)

   if returnValue != CKR_OK:
      raise PyKCS11Error(returnValue)

# Now execute the above to create AES256 key
createTokenAES256('TestKey')

在此之后，我可以使用pkcs11-tool注销卡片并查看新对象：

$ pkcs11-tool --module=/usr/lib/libacospkcs11.so --list-objects
Using slot 0 with a present token (0x0)
Secret Key Object; unknown key algorithm 31
  label:      TestKey
  ID:         31323434
  Usage:      encrypt, decrypt, wrap, unwrap, derive

Answer 2

IMO您无能为力，但请联系libacospkcs11.so的制作人并要求解释。您很可能会被引导到文档，该文档将指出对称密钥只能作为会话对象创建，并且所有具有此类密钥的操作都在SW中执行（不在卡中） - 这是大多数情况下的常见做法。商用卡和中间件套件。

顺便说一下，您也可以尝试为C_GetMechanismInfo机制（以及您计划使用的其他AES机制）调用CKM_AES_KEY_GEN，并检查响应中是否设置了CKF_HW标志。此标志指示机制是由设备还是在软件中执行。

智能卡PKCS11 AES密钥发生故障

2 个答案: