CKR_USER_NOT_LOGGED_IN при генерации пары ключей с использованием провайдера sunPKCS11

При попытке сгенерировать пару ключей rsa с провайдером sun PKCS11 метод generateKeyPair() выдает ProviderException: sun.security.pkcs11.wrapper.PKCS11Exception: CKR_USER_NOT_LOGGED_IN

Мой код выглядит так:

Provider prov = ... // initialize provider

KeyStore ks = KeyStore.getInstance("PKCS11", prov);
ks.load(null, "pass".toCharArray());

KeyPairGenerator keyGen = KeyPairGenerator.getInstance("RSA", prov);
keyGen.initialize(2048);
KeyPair kp = keyGen.generateKeyPair();    // exception thrown here

Я пробовал использовать AuthProvider сразу после инициализации провайдера вот так:

AuthProvider aprov = (AuthProvider) prov;
aprov.login(null, callbacks -> {
    log.error("@@@ Inside callbacks {}", callbacks.length);
});
aprov.setCallbackHandler(callbacks -> {
    log.error("@@@ Inside setCallBackHandler {}", callbacks.length);
});

Но я не вижу никаких выходных данных, а это означает, что лямбда-выражения не выполняются.

Конечная цель - создать пару ключей RSA и сохранить ее в хранилище ключей (HSM) через PKCS11.

Я пробовал openjdk 8 и oracle jdk 8. Также при перечислении псевдонимов из хранилища ключей я получаю пустой список, но я знаю, что есть одна запись. Добавление -Djava.security.debug=sunpkcs11 ничего не изменило.


pkcs#11 hsm sunpkcs11
person Drifter    schedule 04.12.2018    source источник

Ответы (1)


arrow_upward
1
arrow_downward

В моем случае проблема заключалась в неправильном номере слота в конфигурации провайдера. Выбранный слот был помечен как «ускоритель», который не поддерживает создание «частных объектов» - из документации HSM.

После переключения на другой слот генерация ключей и хранение в хранилище ключей работают.

person Drifter    schedule 05.12.2018