← Cloudflare SSL/TLS / ssl / keyless-ssl / hardware-security-modules

SoftHSMv2

1. Instalace a konfigurace SoftHSMv2

Nejprve nainstalujeme SoftHSMv2 a nakonfigurujeme ho tak, aby ukládal tokeny do výchozího umístění /var/lib/softhsm/tokens. Také musíme dát softhsm oprávnění skupiny k tomuto adresáři, protože takto keyless uživatel bude k tomuto adresáři přistupovat.

sudo apt-get install -y softhsm2 opensc

#...

cat <<EOF | sudo tee /etc/softhsm/softhsm2.conf
directories.tokendir = /var/lib/softhsm/tokens
objectstore.backend = file
log.level = DEBUG
slots.removable = false
EOF

sudo mkdir /var/lib/softhsm/tokens
sudo chown root:softhsm $_
sudo chmod 0770 /var/lib/softhsm/tokens
sudo usermod -G softhsm keyless
sudo usermod -G softhsm $(whoami)

echo 'export SOFTHSM2_CONF=/etc/softhsm/softhsm2.conf' | tee -a ~/.profile
source ~/.profile

2. Vytvoření tokenu a soukromých klíčů a vygenerování CSR

Dále vytvoříme token ve slotu 0 s názvem test-token a zabezpečte ho kódem PIN o délce 1234. Do tohoto slotu budeme ukládat klíče RSA pro naše SSL certifikáty pro keyless-softhsm.example.com.

sudo -u keyless softhsm2-util --init-token --slot 0 --label test-token --pin 1234 --so-pin 4321

The token has been initialized.

Pomocí nástroje cfssl vygenerujeme privátní klíče a žádosti o podepsání certifikátu (CSR) ↗, z nichž druhý se odešle certifikační autoritě (CA) k podpisu.

cat <<EOF | tee csr.json
{
    "hosts": [
        "keyless-softhsm.example.com"
    ],
    "CN": "keyless-softhsm.example.com",
    "key": {
        "algo": "rsa",
        "size": 2048
    },
    "names": [{
        "C": "US",
        "L": "San Francisco",
        "O": "TLS Fun",
        "OU": "Technical Operations",
        "ST": "California"
    }]
}
EOF

cfssl genkey csr.json | cfssljson -bare certificate

2018/08/12 00:52:22 [INFO] generate received request
2018/08/12 00:52:22 [INFO] received CSR
2018/08/12 00:52:22 [INFO] generating key: rsa-2048
2018/08/12 00:52:22 [INFO] encoded CSR

3. Převeďte a importujte klíč

Jakmile je klíč vygenerován, je čas ho načíst do slotu, který jsme vytvořili. Nejprve ho ale musíme převést z formátu PKCS#1 do PKCS#8. Během importu zadáme token a PIN ze zavedení tokenu a ke klíči přiřadíme jedinečné hexadecimální ID a popisek.

openssl pkcs8 -topk8 -inform PEM -outform PEM -nocrypt -in certificate-key.pem -out certificate-key.p8
sudo chown keyless certificate-key.p8

sudo -u keyless softhsm2-util --pin 1234 --import ./certificate-key.p8 --token test-token --id a000 --label rsa-privkey

Found slot 915669571 with matching token label.
The key pair has been imported.

Po importu vás žádáme pkcs11-tool a potvrďte, že byly objekty úspěšně uloženy do tokenu.

sudo -u keyless pkcs11-tool --module /usr/lib/softhsm/libsofthsm2.so -l -p 1234 --token test-token --list-objects

Public Key Object; RSA 2048 bits
  label:      rsa-privkey
  ID:         a000
  Usage:      verify
Private Key Object; RSA
  label:      rsa-privkey
  ID:         a000
  Usage:      sign

4. Upravte konfigurační soubor gokeyless a restartujte službu

Jakmile máte klíče připravené, je čas sestavit konfigurační soubor, který key server načte při spuštění. id odkazuje na hexadecimální ID, které jste zadali do softhsm2-util příkaz import; použili jsme a000 takže je zakódováno jako %a0%00. module-path se bude mírně lišit podle použité distribuce Linuxu. V Debianu by měla být /usr/lib/softhsm/libsofthsm2.so.

Otevřete /etc/keyless/gokeyless.yaml a bezprostředně poté

private_key_stores:
  - dir: /etc/keyless/keys

přidat

- uri: pkcs11:token=test-token;id=%a0%00?module-path=/usr/lib/softhsm/libsofthsm2.so&pin-value=1234&max-sessions=1

Uložte konfigurační soubor, restartujte gokeyless, a ověřte, že se úspěšně spustil.

sudo systemctl restart gokeyless.service
sudo systemctl status gokeyless.service -l