PKCS#11标准解读-用户、应用、会话

Cryptoki识别两种类型的用户，一种是安全官SO，一种是普通用户。

只有经过授权的普通用户可以访问令牌上的私有对象。有些令牌可能需要在用户执行任意密码运算之前经过授权，不管是否访问私有对象。

SO的作用是初始化令牌和设置普通用户的PIN。在SO设置普通用户的PIN之前，普通用户无法登录。

Cryptoki并不涉及SO和用户团体之间的关系。SO和普通用户可以是同一个人也可以是不同的人。

Cryptoki仅仅假设PIN是下表中字符的子集，不关心PIN如何填充和怎样产生。

二、应用程序调用Cryptoki

1、一个应用程序包含一个单个地址空间和在其中运行的控制线程。

其中一个线程调用C_Initialize完成后，该应用程序就可以调用其他接口函数。所有工作完成后调用C_Finalize结束。

2、Unix系统中子进程与主进程有不同的地址空间，视为分离的应用程序，需要分别调用Cryptoki库。

即使子进程不需要使用Cryptoki，也建议实际调用C_Initialize和C_Finalize。

3、多线程应用程序访问Cryptoki时，需要确定访问特性：

a、确定不会多线程同时访问库，该库不用担心执行任意种类的线程安全的锁定。

b、确定多线程访问库，该库必须使用本机操作系统的同步原语确保线程安全。

c、确定多线程访问库，该库必须提供一套应用程序同步原语确保线程安全。

d、确定多线程访问库，库必须使用本机操作系统同步原语或一组应用程序提供的同步原语确保线程安全。

对于c和d两种情况，Cryptoki提供Mutex对象实现线程安全。