Förutom säkerhetskopieringskraven verkar Gemalto IDPrime MD passa dina krav. Några försiktighetsåtgärder:

• Den toppar vid 2048 bitar för RSA; för ECC stöder den endast tre standard NIST-kurvor (P-256, P-384 och P-521), inte anpassade kurvor.
• Från erfarenhet, på APDU-nivå, är signaturoperationen verkligen ett kommando att göra en modulär exponentiering med den privata nyckeln; alltså är hårdvaran kompatibel med alla typer av RSA (PKCS # 1 v1.5, PSS ...) men hashing och padding görs på värddatorn.
• MD 830 är FIPS 140- 2 nivå 3, MD 840 är EAL 5+. Det verkar inte finnas någon modell som är certifierad för båda sidor av Atlanten.
• Korten finns som standardstorlekar av plast, nominellt kompatibla med alla standardläsare; men du kan också få dem under "IDBridge" -formatet, som är en USB-kortläsare med ett kort i, i liten storlek.
• Enskilda kort kan köpas från cryptoshop men det är lite oklart exakt vad du får; det finns IDPrime MD och IDPrime .NET-kort som använder samma förpackning, och de senare stöder inte ECC (endast RSA). På den ljusa sidan kommer individuellt pris att vara cirka 20 €.
• Korten ska vara omprogrammerbara med anpassade applikationer (i en delmängd av .NET) men jag har aldrig provat det och jag vet inte om det kräver extra licenser eller sådant. Jag tror att certifieringarna inte omfattar kort som har omprogrammerats.

När det gäller säkerhetskopior är jag redo att hävda att du inte vill ha säkerhetskopior för signaturnycklar. Faktum är att närvaron av en säkerhetskopia för en signaturnyckel bara kan sänka det legala värdet av en signatur (men då väcker det frågan om varför du skulle vilja signera någonting; en signatur du genererar är ett lagligt vapen som pekar tillbaka på dig själv) .

För krypteringsnycklar är säkerhetskopior nödvändiga för att undvika dataförlust, och då finns det ingen riktigt bra lösning med dessa kort, om du vill att privata nycklar ska aldrig existera utanför den certifierade hårdvaran. För personlig användning, även för paranoid, kan du ordna en nyckelgenereringsceremoni där du genererar nycklarna på en offline-dator, startad över en CDROM och utan hårddisk; datorn skulle sedan trycka på nyckeln i fyra eller fem smartkort, vilket skulle vara så många säkerhetskopior.

Eftersom jag känner att vissa människor inte är nöjda med Thomas rekommendation av Gemalto IDPrime Cards, ville jag ge ett annat alternativ här:

Smartcard-HSM

• Den erbjuder 1024-2048-bitars RSA eller upp till 320-bitars ECC med alla NIST- och Brainpool-kurvorna förinstallerade och kan till och med stödja anpassade kurvor (även om jag ' har ingen källa för detta just nu)
• Den stöder ECDSA- och RSA-signaturer och möjliggör SHA-1 baserat på korthashing (ECDSA) och för SHA1 / -256 / -384 / -512-baserad RSA pre-hashing ("PKCS", kan vara PKCS # 1 v1.5)
• Operativsystemet är CC EAL5 + certifierat, chipplattformen är bara EAL2 +, TOE finns här
• Det skickas som en standardformfaktor för kort (kontakt, kontaktlöst och dubbelt gränssnitt), som micro SD med säkert element och 1 GB normalt minne och som USB-token
• enda återförsäljare för tillfället är kort-o-matic, enskilda kort kommer att vara cirka 20 € stycket, tokens kommer att vara cirka 80 € och m malm
• Drivrutinssupport är tillgängligt via OpenSC, stödjer Windows CAPI och PKCS # 11, enhetsdrivrutinen (för Windows) levereras extra och kräver inaktivera drivrutinssignaturkontroller för installationen, men OpenSC PKCS # 11-biblioteket har dock sina begränsningar, till exempel kan bara en applikation få åtkomst till token samtidigt
• Om du har initialiserat kortet med en specifik nyckel (kallad enhetsnyckel-krypteringsnyckel (DKEK)) så kommer att kunna göra nyckelbackups off-card, annars inte

TL; DR: Det kan vara lite dyrt och lite obekvämt från tid till annan, och något begränsad i säkerhetsnivå, men om säkerhetskopior, hjärnpool och / eller hög CC-certifiering är det du letar efter kan det här vara rätt val.