PKCS#11及CSP接口标准_原创文档.pdf

PKCS#11及CSP接口标准

RSA非对称密码算法的三个创始人的姓的第一个字母联合起来就是RSA了，他们三个创建

的公司的名字也就叫做RSA。在RSA有一个著名的公钥算法的实验室，这个实验室颁发的一系

列行业标准就称作为PKCS标准，其中PKCS#11（简称P11）就是针对密码设备的接口指令标

准。目前必威体育精装版的版本应该是2.3了。

P11模型中重要的概念之一是slot，也称为槽。一个slot为一个密码设备对象。某个打开

的slot会话称之为session。Session之间存在不同的验证权限。而同一个slot的不同的session

之间存在操作的互相影响性，同时在某些状况下，权限会发生同步。另外一个重要的概念是对象。

P11中支持几种重要的对象，如公钥、私钥、对称密钥，数据对象等。

PKCS#11创建和支持下列对象：

对象说明

CKO_DATA应用程序定义的对象。对象的数据结构可由应用程序任意

定义，但是数据意义的解释由应用程序负责。

CKO_SECRET_KEY对称加密算法使用的密钥。

CKO_CERTIFICATEX.509

CKO_PUBLIC_KEYRSA

CKO_PRIVATE_KEYRSA

CKO_MECHANISM算法对象

PKCS#11的对象可根据其生命期长短的不同分成两大类：一类是持久存储的类对象，这

类对象被保存在USBKey的安全存储区域当中，直到应用程序主动删除这些对象；另一类是会

话对象，这类对象只存在于运行时建立的特定会话（Session对象）当中，一旦会话结束，这类

对象也跟着被删除。决定对象生命期的模板属性是CKA_TOKEN，这是个布尔值，所有的对象

都有这一属性。当该值为TRUE时，该对象将被保存到Key内的存储空间，否则，该对象保存

在会话空间中，当会话结束后，该对象即销毁。

PKCS#11的对象除了生命期长短有分别之外，在访问权限上也有限制。所有的对象都可根

据访问权限的不同分成两大类：一类是公开对象，这类对象是任何用户都可以访问的；另一类是

私有对象，这一类对象只有身份被验证的用户才有权访问。决定对象的访问限制类型的模板属性

是CKA_PRIVATE。这是个布尔值，所有的对象都有这一属性。应用程序可根据需要决定对象应

为私有对象还是公开对象。

P11标准颁发了70余条指令。其中部分指令简介如下表：

接口类型函数名称描述

C_Initialize初始化Cryptoki

C_Finalize整理各种适合Cryptoki的资源

通用接口函数

C_GetInfo获得关于Cryptoki的通用信息

C_GetFunctionList获得Cryptoki库函数的进入点

C_GetSlotList获得系统中槽的名单

C_GetSlotInfo获得关于特殊槽的信息

C_GetTokenInfo获得关于特殊令牌的信息

C_WaitForSlotEvent等待槽事件(令牌插入，转移等)的发生

槽和令牌管理函数C_GetMechanismList获得由令牌支持的机制的名单

C_GetMechanismInfo获得关于特殊机制的信息

C_I