PKCS#11 HSM密码记忆：如何实现Windows首次输PIN后后续调用自动留存

你需要在获取证书私钥时显式启用PIN缓存配置，同时调整签名参数避免重复触发HSM的PIN输入弹窗，修改后的代码和说明如下：

• 首先确认你使用的HSM对应的Windows CSP/KSP驱动已开启PIN缓存支持（主流商用HSM驱动默认都支持会话级PIN缓存，仅需代码侧配合开启权限）
• 调整后的完整代码：

// 从证书存储获取证书
cert = Cert.GetCertificateFromStore();

// 显式获取支持PIN缓存的私钥实例，优先用CNG适配新HSM驱动
RSA rsa = null;
if (cert.GetRSAPrivateKey() is RSACng rsaCng)
{
    // 开启PIN缓存标志，允许同进程/同会话下复用输入过的PIN
    rsaCng.Key.SetProperty(new CngProperty("PIN Cache", BitConverter.GetBytes(1), CngPropertyOptions.None));
    rsa = rsaCng;
}
else if (cert.GetRSAPrivateKey() is RSACryptoServiceProvider rsaCsp)
{
    // 适配老版本CSP驱动的PIN缓存设置
    CspParameters cspParams = rsaCsp.CspKeyContainerInfo.CspParameters;
    cspParams.Flags |= CspProviderFlags.UseExistingKey;
    rsa = new RSACryptoServiceProvider(cspParams);
}

byte[] text = System.Text.Encoding.ASCII.GetBytes("Assinged");
ContentInfo content = new ContentInfo(text);
SignedCms signedCms = new SignedCms(content, false);
CmsSigner signer = new CmsSigner(SubjectIdentifierType.IssuerAndSerialNumber, cert);
signer.DigestAlgorithm = new Oid(CryptoConfig.MapNameToOID("SHA256"));
signer.SignedAttributes.Add(new Pkcs9SigningTime());

// 首次执行会弹出PIN输入框，后续同进程内调用自动复用PIN
signedCms.ComputeSignature(signer);

• 额外注意事项：
  • 部分HSM驱动支持在管理工具中设置PIN缓存的有效时长，可根据业务需要调整是进程级有效还是用户会话级有效
  • 公共终端/多用户共享环境不建议开启PIN持久化缓存，避免PIN泄露风险
  • 如果还是出现重复弹PIN的情况，检查HSM驱动配置中是否禁用了PIN缓存功能，开启后即可生效

内容的提问来源于stack exchange，提问作者Elvis Reis