pkcs#11 - 私钥模板不一致

Question

我正在尝试在 SafeNet HSM 中生成一个 RSA key 对。我为私钥和公钥复制了 PKCS11 中指定的示例模板。当我生成 key 对时，一切正常。但是，当我为私钥指定以下属性值时，C_GenerateKeyPair 返回 CKR_TEMPLATE_INCONSISTENT:

1. CKA_DECRYPT = 假。
2. CKA_UNWRAP = true。

我可以想象为什么我得到的模板不一致，但我只想验证它。由于解包操作本质上是解密操作，因此允许 key 解包而不能解密是不一致的。

但是，PKCS11 实现不应该分别处理这两个操作吗？

提前致谢。

Answer 1

你不应该同时设置它们，它们确实是分开的。事实上，在最新版本的 Gemalto SafeNet HSM 中存在一个分区策略，在允许所谓的“多用途 key ”之前必须启用该策略。我认为不一致不在私钥模板内，而是在它与相应的公钥模板之间。您可能必须在公钥模板中将标志设置为相反的值。