¿Cómo puede una aplicación obtener la clave privada de una tarjeta inteligente para firmar algunos datos?
Supongo que los datos están firmados por un código que se ejecuta en el sistema operativo principal (Windows / Linux) y no en el dispositivo de tarjeta inteligente. ¿Estoy en lo correcto?
Además, algunas tarjetas inteligentes implican PIN en el proceso. ¿El PIN agrega valor?
Las tarjetas inteligentes que se utilizan para la criptografía generan y usan la clave asimétrica en el dispositivo. Por lo general, emplean mecanismos para tratar de evitar la extracción de la clave privada. Esto incluye borrar el material clave cuando un PIN se ha ingresado mal muchas veces. Ha habido mucha investigación sobre el uso de ataques criptográficos de canal lateral para extraer información mediante la observación de la tarjeta inteligente durante las operaciones de criptografía.
En cuanto a cómo las aplicaciones interactúan con la tarjeta inteligente, todos los sistemas con los que he trabajado en el pasado han usado una combinación de OpenSC y la interfaz PKCS # 11 que proporciona. PKCS # 11 es el estándar para interactuar con dispositivos de hardware criptográficos como tarjetas inteligentes y HSM.
Su premisa es incorrecta: la tecla nunca deja la tarjeta inteligente.
La tarjeta inteligente normalmente expone más funciones de alto nivel como Encrypt / Decrypt / Sign. Usted pasa un texto simple / cyphertext como parámetro, y el software de hardware / interno de la tarjeta inteligente realiza la operación solicitada.
A modo de ejemplo, eche un vistazo a la interfaz PKCS # 11.
Lea otras preguntas en las etiquetas smartcard