PKCS # 11 как хранилище для ключей

Question

В прошлом я использовал смарт-карту для хранения случайно сгенерированного ключевого файла, который использовался TrueCrypt для открытия его тома. TrueCrypt использовал PKCS # 11 для чтения смарт-карты и доступа к ключевому файлу.

Теперь я хотел бы сделать что-то подобное, с EncFS. Я хотел сохранить конфигурацию xml в смарт-карте. EncFS xml config имеет 1KB, поэтому он подходит, я даже могу хранить несколько разных конфигурационных файлов в одной смарт-карте.

Но EncFS не поддерживает PKCS # 11, если только я смог его найти. Итак, моя идея заключалась бы в том, чтобы использовать SmartCard в качестве очень маленького и безопасного накопителя. Его содержимое только для чтения будет смонтировано как обычная буква диска Windows, и EncFS будет читать его файлы.

Любая идея, как достичь этого?

Answer 1

Это очень интересная задача. Устройства PKCS # 11 обычно могут содержать общие BLOB-файлы, хотя размер этих блоков очень ограничен (обычно несколько сотен байтов). BLOB имеют короткие текстовые метки, поэтому вы можете обрабатывать их как файлы.

Я знаю, что эта задача может быть выполнена полностью в пользовательском режиме с нашими продуктами (SecureBlackbox для доступа к PKCS # 11 и файловой системе обратного вызова для создания виртуального диска), и, возможно, вы также будете использовать альтернативные варианты. Я не думаю, что вы сможете получить доступ к PKCS # 11 из чистого драйвера режима ядра, потому что большинство драйверов PKCS # 11 - это пользовательские DLL-файлы.

Единственная проблема с этим подходом заключается в том, что обычные устройства PKCS # 11 (смарт-карты, токены USB) очень медленные, и им также требуется, чтобы вы заходили до предоставления какой-либо информации.

Другой возможной проблемой является то, когда именно этот файл необходим для EncFS. Если это нужно прочитать после входа в систему, все в порядке. Но если файл должен быть прочитан во время загрузки системы, тогда задача станет намного сложнее (если возможно вообще - это зависит от того, какой именно этап загрузки системы файл читается EncFS).