Os keypairs são armazenados com segurança no HSM. Mas durante um processo de inscrição por cartão inteligente, a chave privada não deve ser injetada no cartão inteligente?

Question

Eu entendo que em uma PKI que utiliza o HSM, os pares de chaves são armazenados com segurança no HSM. Aplicativos que exigem recursos de criptografia / descriptografia se comunicarão com o HSM por meio de APIs.

No entanto, supondo que eu queira criar um cartão inteligente para um usuário como um Agente de Registro, como o HSM deve obter a chave privada do usuário e injetá-lo no cartão inteligente?

    

Answer 1

Quando um Agente de Inscrição cria um novo certificado de cartão inteligente, um novo par de chaves é criado e atribuído a esse usuário no Active Directory. Observe que a chave do Agente de Inscrição não está escrita em nenhum lugar - o HSM ajuda a criar um novo par de chaves (criptograficamente aleatório). O novo par é enviado do HSM e gravado no cartão inteligente.

Se o usuário inscrito pelo Agente de Inscrição já tiver uma chave, ele receberá uma nova que funcionará igualmente bem na autenticação baseada em certificado. O HSM não precisa conhecer nenhuma chave privada existente para criar uma nova.

Outras leituras: Inscrição de certificados usando cartões inteligentes , Inscreva-se para obter certificados em nome de outros usuários , Usando o módulo de segurança de hardware nCipher