什么是 OpenSSL Engine

OpenSSL Engine 是 OpenSSL 3.0 架构中的一个扩展机制，允许将加密操作委托给外部设备或软件实现，而非使用 OpenSSL 内置的密码学算法实现。

Engine 的核心作用

  • 硬件安全模块 (HSM)：将私钥存储在专用硬件设备中
  • PKCS#11 设备：支持智能卡、USB Token 等
  • TPM 安全芯片：利用主板上的可信平台模块
  • 云 KMS 集成：AWS CloudHSM、Azure Key Vault 等
  • 硬件加速：利用 GPU 或专用加速卡

架构示意

 1
 2
 3
 4
 5
 6
 7
 8
 9
10

应用程序
    ↓
OpenSSL libssl/libcrypto
    ↓
Engine 接口层
    ↓
┌─────────┬─────────┬─────────┬────────────┐
│  builtin│  pkcs11 │  tpm2   │  cloudhsm  │
│ (软件实现)│ (PKCS#11)│ (TPM)   │  (云服务)   │
└─────────┴─────────┴─────────┴────────────┘

查看可用 Engine

列出所有 Engine

1

openssl engine -t

输出示例：

1
2
3
4
5
6

(dynamic) Dynamic engine loading support
     [ unavailable ]
(gost) GOST engine
     [ unavailable ]
(pkcs11) pkcs11 engine
     [ unavailable ]
  • [ ] 表示 Engine 可加载但当前未加载
  • [ available ] 表示 Engine 可用
  • [ unavailable ] 表示 Engine 不可用（缺少依赖）

查看 Engine 详细信息

1

openssl engine -vvv pkcs11

安装 PKCS#11 Engine

PKCS#11 是最常用的 Engine 接口，用于访问智能卡、USB Token 等设备。

Debian/Ubuntu

1

apt install libengine-pkcs11-openssl

RHEL/CentOS

1

yum install openssl-engine-pkcs11

验证安装

1

openssl engine -t pkcs11

核心使用场景

1. 使用 HSM 生成密钥对

通过 Engine 指定使用 HSM 生成 RSA 密钥对：

1
2

openssl genrsa -engine pkcs11 -keyform engine \
  -out private.key 2048

注意：实际命令因 HSM 厂商而异，以上为通用格式。

2. 使用 HSM 私钥签名

1
2
3

openssl rsautl -sign -engine pkcs11 -keyform engine \
  -inkey "pkcs11:token=MyToken;object=MyKey;type=private" \
  -in data.txt -out signature.bin

URI 格式说明：

  • token：设备/令牌名称
  • object：密钥对象标识
  • type：密钥类型（private/public）

3. 使用 Engine 进行 TLS 握手

在 Nginx 中配置使用 HSM：

1
2
3
4
5
6
7
8

server {
    listen 443 ssl;
    
    ssl_certificate_key engine:pkcs11:token=myhsm;
    ssl_certificate cert.pem;
    
    # 其他配置...
}

OpenSSL 配置文件中的 Engine

在 /etc/ssl/openssl.cnf 中配置默认 Engine：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10

[openssl_init]
engines = engine_section

[engine_section]
pkcs11 = pkcs11_section

[pkcs11_section]
dynamic_path = /usr/lib/x86_64-linux-gnu/engines-3/libpkcs11.so
module = /usr/lib/x86_64-linux-gnu/pkcs11/opensc-pkcs11.so
init = 0

配置说明

参数 说明
dynamic_path Engine 共享库路径
module PKCS#11 模块路径（设备驱动）
init 是否在加载时初始化（0/1）

常用 Engine 类型

1. pkcs11 - PKCS#11 设备

支持智能卡、USB Token、网络 HSM：

1
2
3
4
5
6
7
8

# 查看 PKCS11 模块
openssl engine -t pkcs11

# 使用 PKCS#11 URI 指定密钥
openssl req -new -engine pkcs11 \
  -keyform engine \
  -key "pkcs11:token=MyToken;object=SigningKey;type=private" \
  -out request.csr

2. tpm2 - TPM 2.0 芯片

使用主板上的 TPM 芯片：

1
2
3
4
5
6

# 安装 TPM2 Engine
apt install libengine-tpm2-openssl

# 使用 TPM 密钥签名
openssl rsautl -sign -engine tpm2 -keyform engine \
  -inkey handle:0x81000001 -in data.txt -out sig.bin

3. gost - GOST 算法

俄罗斯加密标准：

1

openssl genrsa -engine gost - gost

4. cloudhsm - 云 HSM

AWS CloudHSM、Azure Key Vault 等：

1
2

# AWS CloudHSM 示例
openssl engine -t cloudhsm

实际配置示例

使用 SoftHSM2 模拟测试

SoftHSM2 是软件实现的 HSM，可用于测试：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17

# 安装
apt install softhsm2

# 初始化 Token
softhsm2-util --init-token --slot 0 --label "MyToken"

# 生成密钥
pkcs11-tool --module /usr/lib/softhsm/softhsm2.so \
  --token-label "MyToken" \
  --keypairgen --key-type RSA:2048 \
  --label "TestKey"

# 使用 OpenSSL 访问
openssl req -new -engine pkcs11 \
  -keyform engine \
  -key "pkcs11:token=MyToken;object=TestKey;type=private" \
  -subj "/CN=Test" -out test.csr

Nginx + HSM 配置

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18

server {
    listen 443 ssl http2;
    server_name example.com;

    ssl_certificate /path/to/cert.pem;
    ssl_certificate_key "engine:pkcs11:token=MyHSM;object=ServerKey";

    # 强制 TLS 1.2+
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;

    # HSM 连接配置
    ssl_engine pkcs11;

    location / {
        proxy_pass http://backend;
    }
}

安全性优势

为什么使用 HSM

  1. 私钥不可导出：密钥仅存在于 HSM 内部
  2. 物理防护：防篡改、防窃取
  3. 合规要求：PCI-DSS、FIPS 140-2 等
  4. 密钥隔离：多应用共享密钥而不泄露

注意事项

  • HSM 性能有限，注意签名操作的并发控制
  • 网络 HSM 延迟较高，考虑连接池
  • 密钥备份和恢复策略
  • 访问控制和审计日志

故障排查

常见问题

  1. Engine 加载失败
1
2
3
4
5

# 检查依赖库
ldd /usr/lib/x86_64-linux-gnu/engines-3/libpkcs11.so

# 查看详细错误
openssl engine -tt pkcs11
  1. PKCS#11 模块未找到
1
2
3
4
5

# 查找模块
find /usr -name "*.so" | grep pkcs11

# 配置路径
export PKCS11_MODULE_PATH=/path/to/module.so
  1. Token 未初始化
1
2

# 查看 Slot 列表
pkcs11-tool --module /path/to/libopensc.so --list-slots

小结

OpenSSL Engine 机制为集成外部加密设备提供了标准接口，使得：

  • 私钥可以安全存储在 HSM 中
  • 支持 PKCS#11 标准的各类设备
  • 云 KMS 服务可无缝集成
  • 满足高安全合规场景

在实际部署中，需要根据业务需求选择合适的 HSM 方案，并做好密钥管理策略。

参考来源