如何在不支持AES_KEY_GEN的CardOS 5智能卡上使用AES-CBC？

• 外部生成密钥后导入卡内
  既然卡不支持AES_KEY_GEN机制，你可以在离线安全环境（比如专用密钥管理设备）生成符合要求的128/192/256位AES密钥，再通过PKCS#11接口的C_CreateObject方法（指定密钥类型为CKK_AES，传入外部生成的密钥值）将密钥导入卡的安全存储区。导入时需将密钥的CKA_ENCRYPT和CKA_DECRYPT属性设为CK_TRUE，确保密钥可用于加密解密操作。

• 使用临时会话密钥
  若无需长期存储密钥，可生成临时AES会话密钥，通过安全会话传递至卡内，仅在当前会话周期内用于AES-CBC加密。这类密钥不会写入卡的持久存储，会话结束后自动销毁，适合一次性加密场景，注意传递过程要全程加密，防止密钥泄露。

• 核对密钥导入的权限与属性配置
  部分CardOS 5卡对密钥导入有访问控制要求，比如需要管理员权限或特定安全域授权。你需要确认当前操作的安全通道具备导入AES密钥的权限，同时导入时要正确配置密钥的使用限制（如是否禁止导出、是否仅支持CBC模式等），避免因属性配置错误导致密钥无法正常使用。

内容的提问来源于stack exchange，提问作者DrDaz