使用 Pkcs11Interop 创建签名，无需令牌密码

Question

我将 Pkcs11Interop 与 U 盘上的证书结合使用来签署 pdf 文档。

执行以下步骤来签署文档：

• 加载 pkcs11 库 (LoadPkcs11Library)
• 获取所选智能卡/USB 令牌的插槽
• 在插槽上打开会话（需要插槽引脚）
• 在会话上执行登录
• 搜索私钥句柄
• 对文档进行签名（需要 PIN）

对应代码：

  private byte[] GetSignatureFromHashViaPkcs11(byte[] hash, string pin)
        {
            Pkcs11InteropFactories factories = new Pkcs11InteropFactories();
            using (IPkcs11Library pkcs11Library = factories.Pkcs11LibraryFactory.LoadPkcs11Library(factories, PKCS11LibPath, AppType.SingleThreaded))
            {
                ISlot slot = LoadSlot(pkcs11Library, CertificateToUse.BelongsToSmartCardSlot.TokenSerial);
                using (ISession session = slot.OpenSession(SessionType.ReadOnly))
                {
                    session.Login(CKU.CKU_USER, pin);

                    //Search the private key based on the pulblic key CKA_ID
                    IObjectHandle keyHandle = null;
                    var searchTemplate = new List<IObjectAttribute>()
                    {
                        //CKO_PRIVATE_KEY in order to get handle for the private key
                        session.Factories.ObjectAttributeFactory.Create(CKA.CKA_CLASS, CKO.CKO_PRIVATE_KEY),
                        //CKA_ID searching for the private key which matches the public key
                        session.Factories.ObjectAttributeFactory.Create(CKA.CKA_ID, CertificateToUse.PublicKeyCKAID.GetValueAsByteArray()),
                    };

                    //filter the search result. Since we search for a private key, only one is returned for each certificate
                    var search = session.FindAllObjects(searchTemplate);
                    keyHandle = search.FirstOrDefault();

                    if (keyHandle == null || (keyHandle.ObjectId == CK.CK_INVALID_HANDLE))
                    {
                        throw new Exception("Unable to read SmartCard KeyHandle. Make sure the correct PKCS11 Library is used");
                    }

                    try
                    {
                        //Create the signature (using the pin)
                        var pinAsByteArray = UTF8Encoding.UTF8.GetBytes(pin);
                        using (IMechanism mechanism = session.Factories.MechanismFactory.Create(CKM.CKM_SHA256_RSA_PKCS))
                            return session.Sign(mechanism, keyHandle, pinAsByteArray, hash);
                    }
                    catch (Exception ex)
                    {
                        throw new Exception("Error creating the signature", ex);
                    }
                }
            }
        }

如果插槽 PIN 和私钥 PIN 相同，则此解决方案有效。 如果这些引脚不同，则上述代码将不起作用，因为只使用了一个引脚。

如果我在代码中手动管理插槽引脚和私钥引脚，则一切正常。

但似乎应该可以创建签名，而无需之前执行 OpenSession。 我的客户有一个旧工具，只需要私钥密码即可签署文档（这意味着在技术上可以在没有插槽密码的情况下进行签名）。

我的问题是我目前需要进行会话。使用插槽引脚登录才能获取私钥句柄。

问题：是否有另一种方法可以使用 Pkcs11Interop 签署文档，而无需先进行 session.Login。或者是否有另一种方法可以获取私钥句柄而无需先进行 session.Login？

Answer 1

如果客户不愿意信任您的插槽 pin，也许您可​​以构建一个中间适配器服务，该服务反过来可以执行签名并将此功能发布为具有某种身份验证的 api，您可以将有效负载传递到其中，它将签名并返回它。

然后，客户端可以自由地管理中间组件并使用插槽引脚对其进行初始化。