
<html>


<head>


<meta http-equiv="Content-Type" content="text/html; charset=utf-8">


<meta name="Generator" content="Microsoft Exchange Server">


<!-- converted from rtf -->


<style><!-- .EmailQuote { margin-left: 1pt; padding-left: 4pt; border-left: #800000 2px solid; } --></style>


</head>


<body>


<font face="Arial" size="2">


<div>-----BEGIN PGP SIGNED MESSAGE-----</div>


<div>Hash: SHA256</div>


<div> </div>


<div>Hi</div>


<div> </div>


<div>I remember a discussion we had in Utrecht regarding the wrapping functions in PKCS#11. If a key is marked as extractable, you can export the key encrypted and then import it into another HSM. You must first have a shared symmetric key in each HSM.</div>


<div> </div>


<div>We currently have the extractable attribute set to false.</div>


<div><a href="http://trac.opendnssec.org/browser/trunk/OpenDNSSEC/libhsm/src/libhsm.c#L1907">http://trac.opendnssec.org/browser/trunk/OpenDNSSEC/libhsm/src/libhsm.c#L1907</a></div>


<div> </div>


<div>We should still have the keys marked as sensitive, so that the key material cannot be revealed in plain text. But my question is whether we should have the key extractable or not?</div>


<div> </div>


<div>Just want to discuss this topic, so that we do not lock the user down. Or is it better to protect against a potential threat of leaking keys?</div>


<div> </div>


<div>// Rickard</div>


<div> </div>


<div>-----BEGIN PGP SIGNATURE-----</div>


<div>Version: 9.8.3 (Build 4028)</div>


<div>Charset: utf-8</div>


<div> </div>


<div>wsBVAwUBSwuZGuCjgaNTdVjaAQjbigf/UyfK5CREMaadbbUKapbQD9EaDZUXW/Vi</div>


<div>rcmxxCxSs22T3/pQK2SlXVilJOFrf3moBGsJcgdEnlUYCq4s+91ys0Y86hHOb0dX</div>


<div>hri3mx/vT1ONcJP9P0HwnxjCvgqxDnLTEQPtERg8cxWzD1w2vCmMuc8Lztt2/8HS</div>


<div>5mhv+BPDP+TjBFvH0W8qNVDiwZEq0/3tn37VGAbhSEpYZtMdKCchfwNgwPRUFOoy</div>


<div>PryLzGL4C4AL4hmlhewJsdunpehszZM6cRYkiwwTB6rXuPnhknMO4QPsTcLW6B6Q</div>


<div>HT4DTpV1zUDvcR3UnsdV7T20qN0R25fvQ13XJZOxMSkBdXt2S0p1Kg==</div>


<div>=2j7/</div>


<div>-----END PGP SIGNATURE-----</div>


<div> </div>


<div> </div>


</font>


</body>


</html>