如何检查DSC数字签名令牌是否具备签名和加密功能

前期准备 #

• 提前安装对应DSC令牌的官方驱动，确认设备已正常插入电脑、系统识别到硬件密钥存储
• 准备好令牌的正确PIN码，多次输错会导致令牌锁定，无法继续核验

方法1：证书属性快速核验（1分钟即可完成） #

适用于绝大多数正规发行的DSC，证书属性会直接标注硬件支持的功能

• Windows环境按下Win+R，输入certmgr.msc回车打开本地证书管理器；Linux/macOS可直接打开系统自带的密钥链访问工具
• 定位到「个人」-「证书」存储目录，找到对应DSC的数字证书，双击打开属性页
• 切换到「详细信息」标签，找到「密钥用法」字段，查看属性值：
  • 仅显示数字签名、不可否认性：令牌仅支持签名功能
  • 同时显示数字签名、密钥加密、数据加密：令牌同时支持签名+加密功能
• 可补充查看「增强型密钥用法」字段，存在「文档加密」「安全电子邮件」等加密类用途的，即可确认是双功能令牌

方法2：实际操作核验（准确率100%） #

如果担心证书标注和硬件实际能力不匹配，可以通过真实操作验证

签名功能验证 #

• 新建空白TXT测试文档，右键选择「数字签名」选项（部分系统需提前安装官方签名工具才会显示该选项）
• 选择对应DSC证书，输入PIN码完成签名，生成的签名文件可正常通过公钥校验即代表签名功能正常

加密功能验证 #

• 提前将DSC的公钥证书导入另一台测试设备的信任证书存储
• 用测试设备的公钥加密任意测试文件，将加密后的文件传输到本机
• 插入DSC令牌后打开加密文件，输入PIN码可正常解密读取内容，即代表加密功能正常

注意：仅支持签名功能的DSC没有加密私钥，调用加密运算时会直接返回失败，不会出现误判

内容的提问来源于stack exchange，提问作者Hazel Manners