Utilizza keypair RSA per la crittografia e la decrittografia PGP

Quello che fa PGP è descritto nello standard OpenPGP . In OpenPGP, i "portachiavi" sono una terminologia per "chiavi pubbliche e / o private codificate nel formato descritto da OpenPGP".

Tra i tipi di chiavi per cui OpenPGP descrive un formato di key ring sono le chiavi RSA. Non vi è alcun problema fondamentale che impedisca a un'implementazione di OpenPGP di utilizzare una chiave privata RSA memorizzata in un HSM. In pratica, però, l'implementazione gratuita di OpenPGP, chiamata GnuPG , non supporta intrinsecamente questo - ma il gnupg-pkcs11 progetto può aiutare: consente l'integrazione di un dispositivo crittografico che offre un driver PKCS # 11 (praticamente tutto l'HSM lo fa) nel mondo GnuPG.

Importare una "chiave PGP" esistente (cioè una chiave privata RSA attualmente memorizzata come file nel formato OpenPGP) in un HSM non è necessariamente una buona idea: un HSM è un dispositivo costoso che mira a non permettere mai che una chiave privata esista sempre al di fuori dell'hardware resistente alle manomissioni dell'HSM. Se la chiave viene importata, allora esiste / è esistita da qualche parte nel mondo esterno, il che rende l'uso dell'HSM molto meno giustificato.

Non conosco PGP, ma GPG può usare le Smartcard (e talvolta anche i più interessanti, i token USB PKCS # 11) per proteggere la chiave privata:

link

Se si prende la seccatura per usare un HSM, si dovrebbe prendere in considerazione l'utilizzo di uno con un tastierino dedicato. Altrimenti la protezione è di pochissimo uso.

Potresti anche portarlo all'attenzione del tuo dipartimento di sicurezza IT: link

Hanno un documento in ACS CCS 2010 che spiega il problema.

Non puoi usare nulla in PGP con altre chiavi PGP. Alcune funzioni funzioneranno anche con certificati e chiavi S / MIME ma non tutte (ad esempio, la chiave di decrittografia aggiuntiva non funzionerà). Spero che tu non l'abbia comprato senza saperlo.

Puoi comunque impostare l'algoritmo RSA in PGP per la generazione di chiavi e in PGP Universal come impostazione dei criteri:

Alcune lezioni apprese che implementano la crittografia e-mail PGP in un'organizzazione

Se stai usando i certificati RSA, allora dovresti usare cms (evoluto da PCCS # 7 e s / mime) questo è supportato da openssl. link

Per firmare e crittografare un file:

openssl cms –encrypt –text –in compressed-file.txt –out encrypted-file.txt public-key.pem

Successivamente firmiamo il contenuto del file:

openssl cms –sign –text –in encrypted-file.zip –signer certificate.pem –inkey certtificate.key –out signed-file.txt

Per verificare e decrittografare:

openssl cms –verify –in file –signer certificate.pem 

Se la verifica ha esito positivo, i contenuti del file possono essere decodificati.

openssl cms –decrypt –in file –inkey private-key.pem –out decrypted-file

Non è possibile importare chiavi per HSM AFAIK. Si tratta di dispositivi progettati per eseguire la generazione / archiviazione / utilizzo crittografico di dati critici crittografici. Essere in grado di importare una chiave privata nell'HSM annullerà lo scopo dell'HSM stesso.

Penso che esista una procedura di backup. Ma non ho mai avuto una scheda HSM tra le mani (vorrei avere: P) Non è possibile esportare le informazioni non crittografate anche dall'HSM.

Ma hai ragione, incorporano chiavi RSA da 2048 lunghe (raccomandazione NIST dal 2010).

La maggior parte delle informazioni disponibili su Wikipedia