必须使用HSM而非文件权限或Vault，因HSM实现私钥不出芯片、运算在内完成、具备物理隔离与国密认证；Nginx通过PKCS#11引擎调用HSM，支持SM2双证书分离与SSL卸载。
直接把私钥文件放在 Nginx 服务器上，不符合金融级安全要求。核心原则是：私钥不能落地、不能出硬件、不能被软件读取。HSM 不是“加个插件”，而是重构密钥生命周期的起点。
为什么必须用 HSM 而不是文件权限或 Vault？
文件权限（如 600）只能防误操作，挡不住已入侵系统的攻击者；HashiCorp Vault 可管密钥分发，但若最终仍写入磁盘或内存，就存在提取风险。HSM 提供的是物理级隔离：
- 私钥在 HSM 内部生成，从不离开芯片，连操作系统内核都不可见
- 所有签名/解密运算在 HSM 内完成，Nginx 只接收结果（如 TLS 握手中的数字签名值）
- 具备自毁机制、防侧信道攻击、真随机数发生器（TRNG），通过国密二级以上认证
- 审计日志精确到每次调用时间、IP、操作类型，满足等保三级和《密码法》留痕要求
Nginx 与 HSM 的集成方式（以 PKCS#11 为例）
主流 HSM（如江南天安、阿里云密码机、Thales Luna）均支持标准 PKCS#11 接口。Nginx 不直接对接硬件，而是通过 OpenSSL 引擎桥接：
- 编译 Nginx 时启用 --with-http_ssl_module 并指定使用支持 PKCS#11 的 OpenSSL（如 GMSSL 或 OpenSSL 3.0+ 加载国密 Provider）
- 配置中不写 ssl_certificate_key /path/to/key.pem，而是：
ssl_certificate_key "engine:pkcs11";
ssl_engine pkcs11; - 通过 pkcs11:URI 定位密钥（例如："pkcs11:token=BankToken;id=%01;object=sm2_sign_key"），由 OpenSSL 引擎自动调用 HSM
- 签名证书（sign.crt）和加密证书（encrypt.crt）需分别加载，且 encrypt.key 必须由 HSM 托管用于 SM2 密钥协商
国密场景下的特殊适配要点
金融网关启用 SM2/SM3/SM4 时，HSM 不仅保护私钥，还承担协议层卸载任务：
- SSL 卸载（SSL Offloading）：TLS 握手中的 SM2 签名、SM4 加解密全部由 HSM 执行，Nginx CPU 负载下降 40% 以上
- 双证书分离：HSM 中需分别创建两个密钥对象——一个用于身份认证（sign key），一个仅用于密钥交换（encrypt key），不可混用
- 证书链加载：Nginx 的 ssl_certificate 仍指向 PEM 格式证书链（含 sign.crt + encrypt.crt），但私钥引用完全脱离文件系统
- 双向认证（mTLS）支持：客户端证书校验由 Nginx 完成，而服务端 SM2 私钥签名全程在 HSM 内闭环，保障根信任不外泄
生产环境部署关键检查项
上线前必须验证以下五点，缺一不可：
- HSM 设备已通过国家密码管理局《商用密码产品认证证书》（查证编号是否在官网公示名单）
- Nginx 启动日志中出现 "using engine 'pkcs11'"，且无私钥路径加载提示
- 执行 openssl s_client -connect example.com:443 -tls1_3，确认握手成功且 Server Certificate 携带 SM2 公钥信息
- 在 HSM 管理后台查看审计日志，确认有来自 Nginx 所在 IP 的 CKM_ECDSA_SIGN 或 CKM_SM2_ENCRYPT 记录
- 模拟攻击：登录 Nginx 服务器后执行 find / -name "*.key" 2>/dev/null，应无任何匹配结果
