Exportação

Opção do menu principal: 5 - Export

Exporta chaves e objetos para fora do HSM. Para exportar um objeto é necessário que ele tenha o atributo de exportação habilitado. A exportação pode ser feita para um arquivo na estação ou servidor onda roda o programa de console remota ou ainda para a tela, conforme a opção.

Através da interfaces do console podem ser exportados os seguintes tipos de objetos:

1.	Chaves simétricas: chaves tipo DES, 3DES ou AES.

2.	Chaves assimétricas: chave tipo RSA.

3.	Outros objetos:

Chaves Simétricas

As chaves simétricas podem ser exportadas com os seguintes métodos:

Protegidas por uma chave de cifragem de chave (Key Encryption Key - KEK) DES ou 3DES. O método adotado para cálculo do KCV (Key Check Value), assim como o padrão de uso da KEK está descrito no documento VISA Payment Technology Standards Manual, october 2007; Este método pode ser usado para chaves DES e 3DES. Há duas opções para o método de KEKing :

a.	Raw: a chave usada na operação de KEKing é a própria KEK informada (que normalmente é uma ZCMK, Zone Control Master Key), sem derivação;

VISA 1: a chave usada na operação de KEKing é derivada da KEK informada (que normalmente é uma ZCMK) usando o método Variant-1 (um XOR da KEK com 0800000000000000). Este método geralmente é usado no ambiente do Serviço Dynamic Key Exchange (DKE) da VISA. Para detalhes consulte o documento VISA Payment Technology Standards Manual, october 2007.

Protegidas por uma chave de cifragem de chave (Key Encryption Key - KEK) RSA. O método de envelopamento utilizado é o padrão PKCS#1 versão 2.1, com esquema de cifragem RSAES-OAEP. As chaves simétricas exportáveis no HSM devem ser exportadas cifradas com uma chave pública. O destinatário deverá possuir a chave privada equivalente e abrir o envelope digital seguindo as regras do esquema de cifragem.

Usando o método de três componentes, com KCV (Key Check Value) de cada parte e também um KCV final; este método normalmente é usado para exportação de ZPK (Zone PIN Key) para input em sistemas de autorização de transferência eletrônica de fundos (por exemplo a Visanet), onde cada componente é entregue a um custodiante, e somente com a reunião das três partes componentes é possível reconstruir a chave; o conhecimento de dois componentes do ponto de vista criptográfico não traz qualquer informação sobre a chave. Os componentes são gerados com operações XOR e partes randômicas, que são depois consumidas e descartadas no momento de reconstrução da chave. O KCV é um valor de seis dígitos hexadecimais obtido com a criptografia de um bloco de zeros com determinada chave; os primeiros seis dígitos do criptograma resultante são o KCV daquela chave, conforme padrão ANSI X9.24. O processo de geração dos componentes e cálculo do KCV está conforme o documento VISA Payment Technology Standards Manual, october 2007.

4.	Em texto claro (para um arquivo binário ou dump em tela com o material da chave); este método é recomendado apenas para ambientes altamente controlados e protegidos por outras medidas de segurança, pois o material da chave estará totalmente exposto.

Chaves Assimétricas

As chaves assimétricas podem ser exportadas através dos métodos:

Padrão PKCS#8; nesta opção a chave privada RSA pode ser exportada em texto claro ou protegida por envelope digital. Para detalhes sobre os padrões, consulte os documentos Public-Key Cryptography Standards (PKCS) da RSA Labs. No modo FIPS as chaves RSA exportáveis só podem ser exportadas via o padrão PKCS#8 com uso de envelope digital, derivando uma chave AES 256 a partir de uma senha de exatos 16 (dezesseis) caracteres, sendo a derivação feita conforme o padrão PKCS#5 versão 2.0.

Padrão PKCS#1; a chave pública e/ou privada RSA é exportada em texto claro com a representação DER. No caso de exportação de chave privada o formato do arquivo de saída será uma concatenação dos formatos ASN.1 de chave pública e chave privada definidos no padrão PKCS#1 v1.5, nas seções 7.1 e 7.2, com DER enconding. Na exportação da chave pública o arquivo de saída conterá a representação da seção 7.2.

Exportação das chaves pública e privada concatenadas:

RSAPublicKey ::= SEQUENCE {
modulus INTEGER, -- n
publicExponent INTEGER -- e }

RSAPrivateKey ::= SEQUENCE {
version Version,
modulus INTEGER, -- n
publicExponent INTEGER, -- e
privateExponent INTEGER, -- d
prime1 INTEGER, -- p
prime2 INTEGER, -- q
exponent1 INTEGER, -- d mod (p-1)
exponent2 INTEGER, -- d mod (q-1)
coefficient INTEGER -- (inverse of q) mod p }

Exportação da chave pública:

RSAPublicKey ::= SEQUENCE {
modulus INTEGER, -- n
publicExponent INTEGER -- e }

Outros Objetos

Em outros objetos podem ser importados os seguintes tipos de objetos:

1.	File: objetos genéricos no HSM.

2.	SoftToken: software gerado para autenticação OTP, um midlet Java padrão J2ME. A configuração mínima do ambiente Java no dispositivo para receber e rodar o aplicativo é MIDP 1.0 e CLDC 1.0. Consulte o tópico HOTP no Manual de Desenvolvedor para maiores detalhes.

Requisição de certificados: arquivos CSR (Certificate Signing Request) gerados a partir da assinatura com uma chave privada, para ser enviado a uma Autoridade Certificadora, que fará e emissão do certificado correspondente. O padrão pode ser o PKCS#10 ou EMV (usado especificamente para solicitação de certificados junto às administradores de cartões VISA e Mastercard).

No caso de emissão de requisição de certificado para EMV, os dois padrões adotados são:

1.	VISA: conforme o documento Visa Smart Debit/Credit Certification Authority Technical Requirements, version 2.1, december 2005, Amended april 2006.

2.	Mastercard: conforme o documento Public Key Infrastructure (PKI) — Certification Authority Interface Specification, january 2005.

Nas operações de importação e exportação a indicação (local) refere-se sempre a um nome de arquivo na estação ou servidor onde roda o programa console e a indicação (HSM) refere-se a um nome de objeto dentro do namespace do HSM.

Desde que o usuário autenticado tenha permissão de ler objetos em outro(s) namespace(s), a operação pode ser executada indicando o nome do namespace e o nome do objeto com a regra de formação:

namespace/objeto

Importante: quando operando em modo FIPS estão disponíveis para exportação de chave simétrica (3DES e AES) o método com KEK RSA e para exportação de chave assimétrica (RSA) o método PKCS#8 com derivação de chave de cifragem AES 256 por senha de 16 caracteres.

Menu Export

Pocket - Remote Management Console v. 1.92.0.8 2007 (c) Dinamo Networks

HSM 10.0.62.44 e - Engine 1.6.0.37 (DXP) - SN TCA0000000 - ID master

Keys/Objects - Export

1 - Symmetric Keys

2 - Asymmetric Keys

3 - Others

0 - Main Menu

Option:

Exportação chaves simétricas em componentes

Pocket - Remote Management Console v. 1.92.0.8 2007 (c) Dinamo Networks

HSM 10.0.62.44 e - Engine 1.6.0.37 (DXP) - SN TCA0000000 - ID master

Keys/Objects - Export - Symmetric Keys - Zone PIN Key(three components)

Name : MasterKey_01

Exportable : Yes

Key material Part 1:

08 AD 58 DA 76 91 5D AD EA F2 1C FD 9B 94 46 2A E9 34 E0 32 67 2F FD 2F

Key Check Value:

9E A8 30

Press ENTER key to continue...

Exportação chaves assimétricas em padrão PKCS#8

Pocket - Remote Management Console v. 1.93.0.0 2007 (c) Dinamo Networks

HSM 10.0.62.44 e - Engine 1.6.0.37 (DXP) - SN TCA0000000 - ID master

Keys/Objects - Export - Asymmetric Keys - PKCS#8

RSA Key name : AC_Key_Root_01

Password (ENTER for clear text export): ****************

Confirm password: ****************

Output File Path (local): AC_Key_Root_01.p8

File exported successfully.

Press ENTER key to continue...

Geração de arquivo CSR em padrão PKCS#10

Pocket - Remote Management Console v. 1.93.0.0 2007 (c) Dinamo Networks

HSM 10.0.62.44 e - Engine 1.6.0.37 (DXP) - SN TCA0000000 - ID master

Keys/Objects - Export - Others - Certificate Request - PKCS#10 CSR

RSA Key name : Intermediate_AC_Key_03

DN (ENTER for default, /CN=<user_id>_<key_id>):

Output File Path (local) (ENTER to dump on screen) :

-----BEGIN CERTIFICATE REQUEST-----

MIICtjCCAZ4CAQAwIDEeMBwGA1UEAxQVbWFzdGVyX0FDX0tleV9Sb290XzAxMIIB

IjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA6MJVYXPCP9xK89bIM9ArYcYR

uQ7oICx3q7OJttOhJZCNnIxvZnHQDq6nowQCM7m66jV7WXj8vvS25dL8X+qeB7cB

oMhVF+dYRxkvk3Vju2PIbukpgNxXsErNi7ub4RybmjPs52sLKDdK8iF6NU5SbAjM

cm9mGn8JH/fjogBdH5r3EjCfrpA7xyMxVoGVl+IA6VSTEFq9P/jZ9Lnweqfn+5ks

Khj5iIbbYh832sJLuT/B0ACVUJZT1yRW+jLW7y8w2gYvObDhYmnL1vSAT2e3T5Y2

TjOS31nrK1pIFEPvxYhosi7+M98VzHk9OsePqUeEVcY4kkDazKVuZbeH4pdrJwID

AQABoFEwGQYLKwYBBAGCmhMBAQExChMIMS42LjAuMzcwNAYJKoZIhvcNAQkOMScw

JTAOBgNVHQ8BAf8EBAMCBPAwEwYDVR0lBAwwCgYIKwYBBQUHAwIwDQYJKoZIhvcN

AQEFBQADggEBAG2ElKjgEp3jaxqe7DT0W9LxP4OI1545sxLiIBWukQA0t1PoM831

AEDTsbX2J2CZs3N4MzdV/0GiX4T2+mKreyYq5FxcBvSbV4KwZ1jfz9kjiN7Js4M5

eugCK0AFv8K47vlxDAxholwPnf6KVcIGQpIhpfc/pLYoV2ITA+UCr4b5Z394n+AM

THpLgc7dRxtTFHFSw1D0wTLV2g8ienYyGQCJwBXh1ta0g7JzlCSOD5pRytKCSZV0

eLn+GXHFlHwPn1/GQG9D/EYLAJUDN/5bBSlT61a6bv0wWmQF0BmJKQ99W2sqmRfc

k8dMKJf8BP6SZJMcbnr21EyDUeTQcflH0Zo=

-----END CERTIFICATE REQUEST-----

File exported successfully.

Press ENTER key to continue...

Exportação de Arquivo

Pocket - Remote Management Console v. 1.81.0.20 2007 (c) Dinamo Networks

HSM 10.0.62.16 e - Engine (UL) 1.1.2.9 - SN TCA0115876 - ID master

Keys/Objects - Export - File

File name (HSM) : myfile_bin

File path (local) : c:\myfile.bin

File exported successfully.

Press ENTER key to continue...