SoftHSM

SoftHSM entstand im Umfeld von OpenDNSSEC, dessen Signatursoftware per PKCS#11 mit einem Hardwaremodul spricht. Nicht jeder, der DNSSEC-Signierung ausprobieren wollte, hatte ein solches herumliegen, also schrieb das Projekt einen Ersatz, der die Schnittstelle auf Basis von OpenSSL oder Botan implementiert. Heute ist Version 2 im Einsatz.

Sein Zweck sind Test und Entwicklung. Code, der gegen SoftHSM geschrieben wurde, wandert durch den Austausch einer Bibliotheksdatei auf ein echtes Modul und läuft klaglos in einer CI-Pipeline ohne jede Hardware. Es fehlt genau das, wofür man ein HSM kauft: Die Schlüssel lassen sich kopieren, und nichts löscht sie, wenn jemand das Gehäuse aufschraubt. Im Produktivbetrieb zahlt man damit für die Schnittstelle und verzichtet auf den Schutz.