HSM - cryptoki - 会话 - 超时

Question

我的应用程序通过 PKCS#11 通过 ASP.NET Web 服务访问 HSM。我初始化 cryptoki 库并获取会话句柄。 Web服务持有该句柄以批量模式执行加密/解密/签名/验证。

我面临的问题是 ASP.NET Web 服务在 20 分钟后超时。我认为此行为会卸载 cryptoki 库，并且 Web 服务持有的会话句柄将变得无效。是的，我同意 ASP.NET Web 服务可以重新配置为不超时，这将使 cryptoki 库始终加载。

我的问题是我首先从 HSM 获得的会话句柄会发生什么？它会丢失还是会被闲置？我问这个是因为，我没有通过调用 c_closeSession 正确关闭打开的会话。

Web 服务是通过线程池实现的，

谢谢

Answer 1

使用完 cryptoki 库后，您应该调用 C_Finalize()。一个编写良好的实现可能会阻止您不这样做，但不能保证。您的开放会话可能会在 HSM 上或者驱动程序中保持活动状态。

强烈考虑从您的 调用 C_Finalize() Application_End()。

Answer 2

从理论角度来看，您应该阅读 PKCS#11 规范，从 6.6 节开始，所有内容都写在那里。

从实际角度来看，应用程序在调用 C_Initialize 后就成为 cryptoki 应用程序。会话及其标识符的概念可以由小型包装器库转发到长期运行的 PKCS#11 进程，该进程实际上与 HSM 对话，但也可能不会。如果 cryptoki 应用程序进程终止，所有虚拟资源（会话是什么）也将终止。

问题到底出在哪里？大多数情况下，打开会话可能是一个相当便宜的操作，除非您确定（已经测量）它是瓶颈，如果您无法控制生命周期，请不要优化以及打开和关闭请求的会话cryptoki 进程的。

Answer 3

如果我理解这一点，您需要为该会话创建一个“全局”登录。
此外，您需要为每个本地会话打开/关闭会话。

所以，
- 带有“登录”的全局变量（启动时或您需要时）
- 创建新会话时检查全局登录状态。
- 为每个操作创建单独的会话（关闭“本地”会话而不是全局登录）

通过此操作，您将获得一个全局变量，其中包含记录的会话和使用该全局登录的单独会话。

祝你好运

Answer 4

我也有这个问题，年份是 2020 :S
.Net Framework + Rest Api 这对组合这次遇到了这个问题。
我使用 HSM 进行解密方法。我有一个登录方式的交互频道，我们需要进行性能测试。该服务有一个来自 Pkcs11 的实例

pkcs11 = new Pkcs11(hsmPath, true);
slot = GetUsableSlot(pkcs11);
TokenInfo tokenInfo = slot.GetTokenInfo();
session = slot.OpenSession(true);
session.Login(CKU.CKU_USER, userLoginPin);
secretKey = GenerateKey(session);

，这是 Decrypt 方法。

公共字节[]解密（字节[]加密的TextByteArray）
{

    Mechanism mechanism = new Mechanism(CKM.CKM_AES_ECB);
    byte[] sourceData = encryptedTextByteArray;
    byte[] decryptedData = null;

    using (MemoryStream inputStream = new MemoryStream(sourceData), outputStream = new MemoryStream())
    {
        try
        {                
            session.Decrypt(mechanism, secretKey, inputStream, outputStream, 4096);
        }
        catch (Pkcs11Exception ex)
        {
            throw;
        }
        decryptedData = outputStream.ToArray();
    }
    return decryptedData;
}

当我尝试使用 Postman runner 进行性能测试时，一个线程没有问题。
如果我增加线程数，就会出现这些错误。
第一个错误：CKR_OPERATION_ACTIVE
下一个错误：CKR_DEVICE_MEMORY

我尝试了这些方法。
-对于每个请求关闭会话。并且还为新请求打开了会话。但没有成功。出现了同样的错误。 （当然请求和响应时间增加了）
-对于每个请求都关闭了连接。并且还为新请求打开了新连接。出现了同样的错误。 （当然请求和响应时间增加了）

有人帮助我吗？ :)