security - 软件安全模块/工具包替代 HSM 用于开发加密功能

Question

我工作并完成了一个 PKI 项目，该项目使用 HSM 来生成 - 存储 key 和执行加密功能。我使用 PKCS#11 与我们的应用程序交互以进行签名/验证和加密/解密。我们的平台是windows。

现在，我们希望通过用软件安全模块替换 HSM 来提供低成本替代解决方案。我必须在这里指出，我知道不使用 HSM 的缺点。这是安全性与成本之间的权衡。

我发现 Microsoft 提供了下一代 CryptoAPI (CNG)、 key 存储和证书服务。我的高级管理层不倾向于使用开源软件。我还发现 RSA 和 cryptomathic 提供工具包来执行基于软件的解决方案。

有人遇到过任何商业软件安全模块工具包来执行 key 生成、 key 存储和加密功能吗？

编程语言-c/c++

谢谢

拉杰

Answer 1

您可以使用SoftHSM ，这是一个纯软件 PKCS #11 实现。 OpenDNSSEC 项目正在使用它，以便在真正的 HSM 不可用的情况下进行替换，因此它也可能适合您。然而，它是 BSD 许可的，所以我猜你的管理层可能不喜欢它。

如果您正在寻找低成本且商业化的产品(我不确定您是否专门寻找专有的东西，即 CryptoAPI，或者是商业支持的东西，而 CryptoAPI 不是，除非您有与 Microsoft 签订的契约(Contract))，重写您的应用程序以使用 Win32 CryptoAPI 对我来说似乎是唯一可行的选择。根据我的经验，RSA 的工具包并不便宜。