Cómo exportar claves

Para exportar claves secretas —es decir, claves simétricas y claves privadas asimétricas— desde el HSM, primero debes crear una clave encapsulada. Puede exportar claves públicas directamente sin una clave de encapsulamiento.

Solo el propietario de la clave puede exportarla. Los usuarios con los que se comparte la clave pueden utilizarla en operaciones criptográficas, pero no pueden exportarla. Cuando ejecute este ejemplo, asegúrese de que exporta una clave que haya creado.

importante

El exSymKeycomando escribe una copia en texto plano (sin cifrar) de la clave secreta en un archivo. El proceso de exportación requiere una clave de encapsulación, pero la clave que hay en el archivo no es una clave encapsulada. Para exportar una copia encapsulada (cifrada) de una clave, utilice el comando wrapKey.

Cómo exportar claves secretas

Complete los pasos siguientes para exportar una clave secreta.

Para exportar una clave secreta

1. Utilice el genSymKeycomando para crear una clave de empaquetado. El siguiente comando crea una clave de encapsulamiento AES de 128 bits que solo es válida durante la sesión actual.

   Command: genSymKey -t 31 -s 16 -sess -l export-wrapping-key
   Cfm3GenerateSymmetricKey returned: 0x00 : HSM Return: SUCCESS
   
   Symmetric Key Created.  Key Handle: 524304
   
   Cluster Error Status
   Node id 2 and err state 0x00000000 : HSM Return: SUCCESS

2. Utilice uno de los siguientes comandos, en función del tipo de clave secreta que va a exportar.

   • Para exportar una clave simétrica, utilice el exSymKeycomando. El siguiente ejemplo exporta una clave AES a un archivo denominado aes256.key.exp. Para ver todas las opciones disponibles, utilice el comando exSymKey -h.

     Command: exSymKey -k 524295 -out aes256.key.exp -w 524304
     Cfm3WrapKey returned: 0x00 : HSM Return: SUCCESS
     
     Cfm3UnWrapHostKey returned: 0x00 : HSM Return: SUCCESS
     
     
     Wrapped Symmetric Key written to file "aes256.key.exp"

     nota

     La salida del comando indica que se ha escrito una "Wrapped Symmetric Key" (clave simétrica encapsulada) en el archivo de salida. Sin embargo, el archivo de salida contiene una clave sin cifrar (sin encapsular). Para exportar una clave encapsulada (cifrada) a un archivo, utilice el comando wrapKey.

   • Para exportar una clave privada, utilice el comando exportPrivateKey. El siguiente comando exporta una clave privada a un archivo denominado rsa2048.key.exp. Para ver todas las opciones disponibles, utilice el comando exportPrivateKey -h.

     Command: exportPrivateKey -k 524296 -out rsa2048.key.exp -w 524304
     Cfm3WrapKey returned: 0x00 : HSM Return: SUCCESS
     
     Cfm3UnWrapHostKey returned: 0x00 : HSM Return: SUCCESS
     
     PEM formatted private key is written to rsa2048.key.exp

Cómo exportar claves públicas

Utilice el comando exportPubKey para exportar una clave pública. Para ver todas las opciones disponibles, utilice el comando exportPubKey -h.

El siguiente ejemplo exporta una clave pública RSA a un archivo denominado rsa2048.pub.exp.

Command: exportPubKey -k 524294 -out rsa2048.pub.exp
PEM formatted public key is written to rsa2048.pub.key

Cfm3ExportPubKey returned: 0x00 : HSM Return: SUCCESS