نام (NAME)

pkcs11-tool - ابزاری برای مدیریت و استفاده از توکن‌های امنیتی PKCS #11

خلاصه دستور (SYNOPSIS)

pkcs11-tool [گزینه‌ها]

توضیحات (DESCRIPTION)

ابزار pkcs11-tool برای مدیریت اشیاء داده روی کارت‌های هوشمند و توکن‌های امنیتی مشابه PKCS #11 استفاده می‌شود. کاربران می‌توانند PINها، کلیدها و گواهی‌های ذخیره‌شده بر روی توکن را فهرست کرده و بخوانند. احراز هویت با PIN کاربر برای آن دسته از عملیات‌هایی که به آن نیاز دارند انجام می‌شود.

گزینه‌ها (OPTIONS)

--attr-from filename

--change-pin, -c

--unlock-pin

--hash, -h

--hash-algorithm mechanism

--id id, -d id

--init-pin

--init-token

--input-file filename, -i filename

--keypairgen, -k

--keygen

--key-type specification

--usage-sign

--usage-decrypt

--usage-derive

--usage-wrap

--usage-encapsulate

--label name, -a name

--list-mechanisms, -M

--list-objects, -O

--list-slots, -L

--list-token-slots, -T

--list-interfaces

--session-rw,

--login, -l

--login-type

--mechanism mechanism, -m mechanism

--mgf function

--module mod

--moz-cert filename, -z filename

--output-file filename, -o filename

--pin pin, -p pin

--public-key-info

--puk puk

--new-pin pin

--sensitive

--extractable

--undestroyable

--set-id id, -e id

--show-info, -I

--sign, -s

--decrypt,

--encrypt,

--unwrap,

--wrap,

--derive,

--derive-pass-der,

--salt-len bytes

--slot id

--slot-description description

--slot-index index

--object-index index

--use-locking

--test-threads options

--token-label label

--so-pin pin

--test, -t

--test-hotplug

--private

--always-auth

--allowed-mechanisms mechanisms

--test-ec

--test-fork

--type type, -y type

--verbose, -v

--verify,

--read-object, -r

--delete-object, -b

--application-label label

--application-id id

--issuer data

--subject data

--signature-file filename

--signature-format format

--write-object filename, -w filename

--generate-random num

--allow-sw

--iv data

--mac-general-param num

--aad data

--tag-bits-len num

--salt-file filename

--info-file filename

--uri value

--uri-with-slot-id

مثال‌ها (EXAMPLES)

انجام آزمایش پایه‌ای از عملکرد کارت:

pkcs11-tool --test --login

فهرست کردن تمام گواهی‌های موجود بر روی کارت هوشمند:

pkcs11-tool --list-objects --type cert

خواندن گواهی با شناسه CERT_ID در قالب DER از کارت هوشمند و تبدیل آن به PEM از طریق OpenSSL:

pkcs11-tool --read-object --id $CERT_ID --type cert \
					--output-file cert.der
openssl x509 -inform DER -in cert.der -outform PEM > cert.pem

نوشتن یک گواهی بر روی توکن:

pkcs11-tool --login --write-object certificate.der --type cert

تولید جفت‌کلید RSA جدید:

pkcs11-tool --login --keypairgen --key-type RSA:2048

تولید جفت‌کلید RSA جدید با قابلیت استخراج:

pkcs11-tool --login --keypairgen --key-type RSA:2048 --extractable

تولید یک جفت‌کلید منحنی بیضوی با OpenSSL و وارد کردن آن به کارت با شناسه $ID:

openssl genpkey -out EC_private.der -outform DER \
	-algorithm EC -pkeyopt ec_paramgen_curve:P-521
pkcs11-tool --write-object EC_private.der --id "$ID" \
	--type privkey --label "EC private key" -p "$PIN"
openssl pkey -in EC_private.der -out EC_public.der \
	-pubout -inform DER -outform DER
pkcs11-tool --write-object EC_public.der --id "$ID" \
	--type pubkey  --label "EC public key" -p $PIN

فهرست کردن کلیدهای خصوصی:

pkcs11-tool --login --list-objects --type privkey

امضا کردن مقداری داده ذخیره‌شده در فایل data با استفاده از کلید خصوصی با شناسه ID و با استفاده از سازوکار RSA-PKCS:

pkcs11-tool --sign --id $ID --mechanism RSA-PKCS \
	--input-file data --output-file data.sig

همچنین ارسال داده‌ها از طریق لوله‌کشی (pipe) از stdin به جای تعیین فایل ورودی امکان‌پذیر است:

dd if=data bs=128 count=1 \
	| pkcs11-tool --sign --id $ID --mechanism RSA-PKCS \
	> data.sig

اعتبارسنجی داده‌های امضاشده:

pkcs11-tool --id ID --verify -m RSA-PKCS \
	--input-file data --signature-file data.sig

برای رمزگذاری یک فایل با استفاده از کلید AES با شناسه ۸۵ و با استفاده از سازوکار AES-CBC با padding:

pkcs11-tool --login --encrypt --id 85 -m AES-CBC-PAD \
	--iv "00000000000000000000000000000000" \
	-i file.txt -o encrypted_file.data

رمزگشایی فایل رمزگذاری‌شده:

pkcs11-tool --login --decrypt --id 85 -m AES-CBC-PAD \
	--iv "00000000000000000000000000000000" \
	--i encrypted_file.data -o decrypted.txt

استفاده از کلید با شناسه ۷۵ و سازوکار AES-CBC-PAD با بردار مقداردهی اولیه "00000000000000000000000000000000" جهت بسته‌بندی (wrap) کلید با شناسه ۷۶ در فایل خروجی exported_aes.key:

pkcs11-tool --login --wrap --id 75 --mechanism AES-CBC-PAD \
	--iv "00000000000000000000000000000000" \
	--application-id 76 \
	--output-file exported_aes.key

استفاده از کلید با شناسه ۲۲ و سازوکار RSA-PKCS جهت باز کردن (unwrap) کلید از فایل aes_wrapped.key. پس از یک عملیات unwrap موفق، یک کلید AES جدید روی توکن ایجاد می‌شود. شناسه این کلید روی ۹۰ و برچسب آن روی unwrapped-key تنظیم می‌شود. نکته: برای کارت MyEID، اندازه کلید AES باید در مشخصات کلید وجود داشته باشد، یعنی AES:16.

pkcs11-tool --login --unwrap --mechanism RSA-PKCS --id 22 \
	-i aes_wrapped.key --key-type AES: \
	--application-id 90 --application-label unwrapped-key

استفاده از SO-PIN برای مقداردهی اولیه یا بازنشانی مجدد PIN:

pkcs11-tool --login --login-type so --init-pin

نویسندگان (AUTHORS)

pkcs11-tool توسط Olaf Kirch <okir@suse.de> نوشته شده است.