java - 带有 HSM keystore 的 CXF WS-Security

Question

我正在使用 CXF 中的示例项目“ws_security_sign_enc” ，这是一个具有简单 SOAP 服务的客户端/服务器项目。它仅发送问候语(消息已加密并签名)。

对于加密和签名，使用CXF内部安全机制。因此，加密和解密属性使用 Apache Merlin 来获取 keystore 位置、密码等。

现在我想连接 HSM。我已通过 JCE 从 HSM 以 KeyStore 对象的形式加载了 keystore 。

如何实现此 keystore 对象用于我的 WebService 中的加密/解密？我想，我必须为此以编程方式设置 WS Security/WSS4j Crypto。

我不想保留 keystore 并将其路径放回 crypto.properties 中。还有其他可能性吗？

Answer 1

HSM 应支持 PKCS#11。假设您已经configured Sun PKCS#11 provider for your HSM (pkcs11.cfg 包含库路径、插槽索引等)，然后您必须修改 WSS4J crypto .properties 文件以确保:

• org.apache.ws.security.crypto.provider=org.apache.wss4j.common.crypto.MerlinDevice
• org.apache.ws.security.crypto.merlin.keystore.type=PKCS11
• org.apache.ws.security.crypto.merlin.keystore.file 属性已删除。