01
课程导论：硬件密钥与TLS双向认证概述
应用场景全景、课程目标与前置知识体系，快速建立学习路径。
概述场景
02
密码学基础回顾
对称/非对称加密、哈希函数、数字签名、密钥交换协议核心梳理。
密码学密钥交换
03
公钥基础设施 (PKI)
CA机构、X.509数字证书、证书链、CRL/OCSP吊销机制详解。
PKI证书链
04
TLS协议基础
握手协议、记录协议、密码套件，TLS 1.2与1.3对比分析。
TLS握手
05
TLS单向认证
服务器证书验证、客户端验证身份、握手流程逐步拆解。
单向认证服务器
06
TLS双向认证 (mTLS)
客户端证书要求、双向握手流程、与单向认证的差异对比。
mTLS双向
07
硬件安全模块 (HSM) 基础
HSM定义、功能、USB Key/PCIe/云HSM类型，FIPS 140-2/3标准。
HSMFIPS
08
硬件密钥载体
智能卡、USB Key、TPM、eSE、安全元件特性与选型对比。
载体TPM
09
PKCS#11 标准
Cryptoki接口、会话管理、对象管理、加密/签名函数详解。
PKCS11Cryptoki
10
PKCS#12 与硬件绑定
PFX/P12文件格式、私钥导出限制、硬件绑定原理与安全策略。
PKCS12绑定
11
OpenSSL 与硬件引擎
Engine机制、pkcs11-engine、动态加载配置与集成实践。
OpenSSLEngine
12
使用OpenSSL生成硬件密钥
在HSM/Token中生成RSA/ECC密钥对，密钥属性设置与安全存储。
密钥生成HSM
13
从硬件导出证书签名请求 (CSR)
硬件内生成CSR、私钥不出设备原理，保障密钥安全。
CSR私钥保护
14
硬件证书签发流程
内部CA搭建、使用硬件密钥签发客户端/服务器证书全流程。
CA签发
15
Nginx 配置 mTLS
客户端证书验证、CA证书链、硬件密钥代理 (nginx+pkcs11) 配置。
NginxmTLS
16
Apache HTTPD 配置 mTLS
SSLVerifyClient require、SSLCACertificateFile、硬件密钥支持。
ApacheSSLVerify
17
Java 应用与硬件密钥
KeyStore类型(PKCS11/PKCS12)、JCA/JCE Provider、SunPKCS11配置。
JavaPKCS11
18
Python 与硬件密钥
python-pkcs11库、PyKCS11、cryptography库与硬件Token交互。
PythonToken
19
Go 语言与硬件密钥
crypto.PrivateKey接口、pkcs11库、使用硬件签名实践。
Go签名
20
Windows 平台 mTLS
CAPI/CNG、证书存储、IIS配置mTLS、智能卡登录集成。
WindowsCAPI
21
移动端 mTLS
Android KeyStore、iOS Keychain、App Transport Security双向认证。
移动端KeyStore
22
浏览器与客户端证书
客户端证书自动选择、JavaScript访问证书、WebCrypto API。
浏览器WebCrypto
23
mTLS 性能优化
会话复用、OCSP Stapling、硬件加速、连接池管理策略。
性能OCSP
24
高可用与负载均衡
mTLS在LB后的处理、SSL卸载、TLS终止与透传方案。
负载均衡SSL卸载
25
密钥生命周期管理
密钥生成、分发、轮换、归档、销毁、审计日志全流程。
生命周期审计
26
安全审计与合规
PCI DSS、GDPR、等保2.0对密钥管理的要求与日志记录。
合规等保
27
常见攻击与防御
中间人攻击、重放攻击、侧信道攻击、私钥泄露应急响应。
攻击防御
28
故障排查与调试
OpenSSL s_client调试、Wireshark抓包分析、常见错误码解析。
调试Wireshark
29
实战项目一：企业内部API网关mTLS认证系统
设计与实现企业级API网关双向认证，集成硬件密钥。
实战API网关
30
实战项目二：基于USB Key的远程办公VPN双向认证
USB Key硬件绑定、VPN双向认证方案设计与部署。
实战VPN