使用智能卡进行电子邮件加密和SSH

Question

假设我有一个小型的组织，每个用户都有最近的Macbook Pro，可以在Amazon上购买一台25美元的智能卡阅读器，我想使用个人智能卡上私钥的键盘来进行电子邮件加密和SSH身份验证。

看来大多数读者都是面向国防部CAC或联邦PIV基础设施的。我不需要集成这些东西-我想拥有根CA，或者只是手动将每个人的公钥放在某种目录中。

什么是不同类型的商业智能卡，我需要坚持(或避免)什么东西在小规模上使用开源软件可靠地工作？似乎许多供应商有不同的实现，而且不清楚它们在基于企业级Windows的软件之外(如果全部是互操作的话)有多可互操作。

基本上，我希望做一些类似于Yubikey Neo所做的事情，但是使用通用卡(最好有多个供应商)和阅读器。我知道具体的产品推荐都是离题的，只是想找一个简单的单词来查找/搜索，找出可以用于这个目的的卡片。

我遇到过的术语：

• ISO7816似乎是一个标准的电气接口，但我不确定这是否意味着所有符合I 7816标准的卡和阅读器在软件级别上都是可互操作的。
• CCID似乎是一个标准的协议覆盖在USB上，用于与读卡器通信。
• PKCS#11和PCKS#15似乎是较高级别的公钥密码原语，即雷鸟可以使用智能卡。

我可以只使用任何ISO7816卡和读卡器与CCID和ISO7816兼容，或者还有更多的吗？

Answer 1

我对Yubikey Neo的功能非常感兴趣，因为它有很多开放/通用模式(我已经购买了两种模式)，包括提供一个CCID接口，在卡片上提供OpenPGP支持应用程序，以及提供开放源码和规范U2F支持。

我认为你最终要寻找的是CCID +一张带有适当小程序的卡片。OpenPGP卡可能就足够了。

Answer 2

答案似乎是:使用JavaCard。虽然每个智能卡制造商都拥有专有的密码管理软件，但您可以使用GlobalPlatform将与OpenSC兼容的小程序加载到任何空白的JavaCard上，并获得白盒PKCS#11功能。

现在买几个JavaCards。

Answer 3

我正在试验智能卡，我已经成功地制作了一个小的PKI并使用了OpenSC支持卡 (在我的例子中它是OpenPGP卡，但是PGP方面并不重要，所以任何PKI卡都行)。使用OpenSC可以确保您的卡在所有主要平台上兼容，因为它们为Windows、Mac和Linux提供了中间件，并提供了PKCS11模块，这些模块可以与火狐和大多数其他应用程序(如SSH )一起使用。为了获得更好的Windows兼容性(例如，Internet不能使用OpenSC )，最好使用OpenSC支持的卡片，并为其提供自己的驱动程序，这样使用CAPI (Internet、Outlook甚至登录)的应用程序也可以使用它们。

首先，建立一个证书颁发机构。这套教程提供干净可读的OpenSSL配置文件--几天/几周的实验--运行安全的PKI并不容易，您必须采取很多预防措施。在小型企业的生产中，我建议使用PKI智能卡来存储CA的私钥-- OpenSC提供了一个PKCS11模块，OpenSSL可以利用这一点。将该卡存储在其他有价值资产旁边的一个安全的地方，只有在需要颁发新证书时才取出来，如果可能的话，可以在其他人在场的情况下使用，这样您就有了审计跟踪，并避免流氓员工滥用CA卡。如果您确实遵循这个链接，我建议您查看高级/专家教程--虽然“简单”的教程看起来很诱人，但缺少CRLs和OCSP这样的关键部分，如果您需要撤销证书(卡丢失/被盗、解雇员工等)，您肯定需要这些链接。

一旦您设置了CA，初始化卡，更改PIN和生成密钥(查看OpenSC的文档)，然后生成一个CSR (使用OpenSSL与OpenSC PKCS11模块一起使用，因为OpenSC本身不提供此工具)，并使用您的CA签名。最后，把得到的证书放在卡片上，你就可以走了。

不过，请记住，对于电子邮件加密，如果您确实使用智能卡，您的员工将无法在移动设备或任何没有读卡器的设备上解密他们的邮件(除非您在卡外生成私钥，然后允许他们在电话中导入该密钥，但这将否定卡的主要优势，因为现在可以使用恶意软件悄悄窃取密钥)。