пытается включить режим FIPS с помощью SunPKCS11 с NSS в Java - PullRequest
Новая
       41

пытается включить режим FIPS с помощью SunPKCS11 с NSS в Java

3 голосов
/ 26 января 2012

Я работаю над проектом, для которого требуется проверенная криптография FIPS 140-2, и я пытаюсь использовать NSS с интерфейсом токена SunPKCS11, и он работает до тех пор, пока не будет включен режим FIPS в NSS.Я получаю сообщение об ошибке CKR_USER_NOT_LOGGED_IN, в котором просто не знаю, что делать.Любые предложения относительно того, что мне следует делать?

Я новичок в мире безопасности, поэтому этот код собран из примеров в учебниках по Oracle Java, справочной странице SunPKCS11 и предложений по использованию NSS вРежим FIPS в сети.

Вот код, который я использую: 

String ksName = "my.pfx";
char[] spass = {'m', 'y', 'p', 'w' };
String alias = "testalias";
try {
    KeyStore ks = KeyStore.getInstance("PKCS12");
    FileInputStream ksfis = new FileInputStream(ksName); 
    BufferedInputStream ksbufin = new BufferedInputStream(ksfis);
    ks.load(ksbufin, spass);
    PrivateKey priv = (PrivateKey) ks.getKey(alias, spass);

    System.out.println(" Initialize the signing.");
    Signature sig = Signature.getInstance("SHA1withRSA", "SunPKCS11-NSS-FIPS");
    sig.initSign(priv);

    System.out.println(" Open the digital object to sign.");
    FileInputStream fis = new FileInputStream( "digitalRecipes2.txt" );
    BufferedInputStream bufin = new BufferedInputStream(fis);
    byte[] buffer = new byte[1024];
    int len;
    while ((len = bufin.read(buffer)) >= 0) {
        sig.update(buffer, 0, len);
    }
    bufin.close();

    byte[] realSig = sig.sign();

    FileOutputStream sigfos = new FileOutputStream("digitalRecipes2.txt.sig");
    sigfos.write(realSig);
    sigfos.close();

    java.security.cert.Certificate cert = ks.getCertificate(alias);
    byte[] encodedCert = cert.getEncoded();

    FileOutputStream certfos = new FileOutputStream("mykey.cert");
    certfos.write(encodedCert);
    certfos.close();    
} catch (Exception e) {
    System.err.println( "Caught exception " + e.toString() );
    e.printStackTrace();
}

и вот конфигурация, которую я использую для nss. 

name = NSS-FIPS
nssLibraryDirectory = /opt/local/lib/nss
nssSecmodDirectory = /Users/xxxx/work/workspace/learnin/XXXX
nssDbMode = readWrite 
nssModule = fips

КогдаЯ запускаю этот код, получаю следующую трассировку стека. 

Initialize the signing.
Caught exception java.security.InvalidKeyException: Could not create RSA private key
java.security.InvalidKeyException: Could not create RSA private key
    at     sun.security.pkcs11.P11RSAKeyFactory.implTranslatePrivateKey(P11RSAKeyFactory.java:88)
    at sun.security.pkcs11.P11KeyFactory.engineTranslateKey(P11KeyFactory.java:115)
    at sun.security.pkcs11.P11KeyFactory.convertKey(P11KeyFactory.java:48)
    at sun.security.pkcs11.P11Signature.engineInitSign(P11Signature.java:374)
    at java.security.Signature$Delegate.engineInitSign(Signature.java:1095)
    at java.security.Signature.initSign(Signature.java:480)
    at     com.xxxxxxxx.digitalSigning.SignMeUpSunPKCS11NSS.main(SignMeUpSunPKCS11NSS.java:43)
Caused by: sun.security.pkcs11.wrapper.PKCS11Exception: CKR_USER_NOT_LOGGED_IN
    at sun.security.pkcs11.wrapper.PKCS11.C_CreateObject(Native Method)
    at sun.security.pkcs11.P11RSAKeyFactory.generatePrivate(P11RSAKeyFactory.java:238)
    at     sun.security.pkcs11.P11RSAKeyFactory.implTranslatePrivateKey(P11RSAKeyFactory.java:62)
    ... 6 more

, и это ошибка CKR_USER_NOT_LOGGED_IN, с которой я понятия не имею, что делать.

Если я изменю конфигурацию NSS на неиспользуйте режим FIPS, затем программа работает нормально и подписывает файл, дает подпись и дает открытый ключ.

Я создал базы данных NSS, используя следующие команды, находясь в соответствующем каталоге, указанном в файле конфигурации NSS.. 

modutil -create -dbdir .
modutil -fips true -dbdir .
modutil -changepw "NSS FIPS 140-2 Certificate DB" -dbdir .

1 Ответ

0 голосов
/ 07 марта 2012

Сначала необходимо авторизоваться на токене безопасности.Вы можете использовать AuthProvider: 

AuthProvider aprov = Security.getProvider("SunPKCS11-NSS-FIPS");
aprov.login(subject, new MyCallbackHandler());

В соответствии с:

http://docs.oracle.com/javase/6/docs/technotes/guides/security/p11guide.html#Login

...