使用 Thales Luna HSM 中存在的證書建立 SSL/TLS 連接

Question

我正在嘗試設置啟用了 HTTPS 的 Netty 服務器。 為了建立 SSL/TLS 連接，我需要從 Saf.net Luna Network HSM 獲取證書並將該證書傳遞給 Netty 的 SSL 上下文。

我在 Luna HSM 中生成了一個密鑰對，然后使用生成的密鑰對生成了一個自簽名證書。 所以現在我的自簽名證書存在於 HSM 中，我需要使用該證書通過初始化 SSL 上下文來建立 TLS 連接。 根據 HSM 的 usgae，我們不應該在 HSM 框外提取我們的證書和私鑰詳細信息。

那么我如何使用 Luna Network HSM 中存在的證書建立 TLS 連接。

我試圖通過使用證書的別名從 HSM 框中獲取證書，然后使用它來初始化 SSL 上下文，但沒有成功。

我的期望是通過使用直接從 HSM 生成的證書來建立 TLS 連接來初始化 SSL 上下文，而無需提取 HSM 框之外的任何信息。

謝謝

Answer 1

所以HSM工作在2way握手建立互信，所以HSM over HTTPS需要如下配置：

從客戶端：客戶端將在其自己的信任庫中存儲 HSM 主機的自簽名證書。

在客戶端之上將有自己的密鑰對，假設 RSA 2048 存儲在密鑰庫中

從 HSM 端： HSM 將在其信任庫中從客戶端收到自簽名證書（rsa 密鑰對的公鑰）。

以類似的方式它自己的密鑰存儲對與客戶端通信

最終結果：每一方都相互信任（因為他們將證書加載到信任庫中）和密鑰對以加密格式共享消息。

入門文章： https://dzone.com/articles/implementing-one-way-and-two-way-ssl-mutual-authen