在Python中使用PKCS＃11提供SSL连接

Question

我必须在基于Linux的固件上为嵌入式系统组件实现基于Python的web服务器：

class WebServer(http.server.HTTPServer)
...
...

要启用ssl连接，在服务器中创建ssl上下文

^{pr2}$

注意：cert是证书的文件路径，keyfile是私钥的路径。在

根据请求，将调用get_request方法：

def get_request(self):
    request = self.socket.accept()
    if self.ssl_context:
        req_socket, addr = request
        connstream = self.ssl_context.wrap_socket(req_socket, server_side=True)
        return connstream, addr
    else:
        return request

wrap_socket方法用于将原始套接字包装到ssl套接字中，后者将被返回。这就是提供ssl连接的全部内容。在

现在的问题是：

解决方案是第一次实现，并不安全。我们必须使用给定的硬件安全模块（HSM）来创建和存储证书和私钥。任何私钥都是完全隐藏的，永远不会离开模块。所有的加密原语必须直接在模块内执行。提供给PK软件供应商的动态库是一个中间库。在

在python下如何使用模块而不是原来的ssl来设置ssl上下文？我已经知道，ssl是基于openSSL的，对于openSSL，有一个PKCS#11引擎（libarry opensc-pkcs11.so）。供应商提供的中间件提供了PKCS#11api。在

不幸的是，我没有计划如何将PKCS#11引擎集成到python的ssl/openSSL中，以及如何将所有东西结合在一起。甚至可以透明地使用PKCS#11而不是本机实现吗？如果可以，如何从python激活它？此外，我要如何传递参数“certfile”和“keyfile”，因为这两个参数不再是纯文件了？事实上，我不能直接访问私钥；只有对HSM中用于操作它的对象的基于URL的引用。在

PyKCS11可以代替ssl吗？在

我只需要知道解决这个问题的基本途径。我可以自己找到所有的细节。在