使用bouncycastle加密集中式PKI中的私钥

Question

我正在写一个CMP服务器，我有一个问题。 它用于集中式PKI，其中RA将带有相关证书的私钥发送到服务器，我们必须将其中继到CMP客户端。

问题是我无法找到我们应该如何加密私钥以将其发送到客户端以及他能够解密它。 我们只依靠https的安全性，因为它听起来不对吗？ 我是否遗漏了CRMF RFC中的内容？

我想，解决方案是从客户端生成一个临时密钥对并将其用于加密/解密，但听起来更像是一种黑客，而不是正确的方式。

当客户端是生成密钥对的客户端时很容易做到，但在这种特定情况下，一切都是由我们的OpenTrust RA生成的。

Answer 1

PKCS＃12可用于将私钥从RA分发到各种客户端。 为此，我们使用了硬件USB令牌。 USB令牌上的数据只能由客户端的软件解密（使用预共享密钥）。 如果您不想使用硬件令牌，您唯一的选择是使用预共享密钥（通过某些带外/通道通信方式进行通信）并使用该对称密钥分发私钥并传输它通过HTTPS。 还要确保您的HTTPS配置为至少使用AES-256。