在開發或測試電子簽章時，pkcs11-tool 是與自然人憑證（或任何智慧卡）溝通的關鍵工具。
它屬於 OpenSC 套件的一部分，可直接呼叫 PKCS#11 介面 與卡片交互，用來：

• 讀取憑證
• 匯出公鑰或簽章用憑證
• 測試加密／簽章功能

本文將介紹如何在 Windows 與 macOS 安裝、確認路徑，並以 HiCOS 驅動 實際操作讀取與匯出憑證。

一、什麼是 pkcs11-tool

pkcs11-tool 是 OpenSC 提供的命令列工具，用於測試和操作符合 PKCS#11 規範的模組（例如 HiCOS、TWCA、GPKI 等）。
主要功能包括：

二、在 Windows 安裝 pkcs11-tool

透過 choco 安裝 opensc

choco install opensc -y

pkcs11-tool 預設路徑為 C:\Program Files (x86)\OpenSC Project\OpenSC\tools\pkcs11-tool.exe

若要在任何資料夾使用，請將以下路徑加入系統 PATH：

C:\Program Files\OpenSC Project\OpenSC\tools\

三、在 macOS 安裝 pkcs11-tool

透過 brew 安裝 opensc

brew install opensc

pkcs11-tool 預設路徑為 /opt/homebrew/bin/pkcs11-tool，可以直接執行pkcs11-tool

四、HiCOS 驅動程式模組路徑

HiCOS 自然人憑證安裝後，會附帶 PKCS#11 模組（讓應用程式能呼叫卡片功能）。

Windows 為 HiCOSPKCS11.dll，macOS 為libHicos_p11v1.dylib，這個檔案作為驅動程式。該函式庫符合 PKCS11 規範，並轉換為 APDU 指令。

🧾 五、讀取卡片資訊與憑證

🔹 查詢可用插槽

以下卡片查詢目前的讀卡機資訊，driver_path放上面驅動程式模組的路徑。

pkcs11-tool --module <driver_path> -L

這會顯示：

Available slots:
Slot 0 (0x0): InfoThink USB reader
  token label        : HiCOS PKI Smart Card
  token manufacturer : Chunghwa TeleCom Co., Ltd.
  token model        : T7S0564412XXXXX
  token flags        : login required, rng, token initialized, PIN initialized
  hardware version   : 1.0
  firmware version   : 1.0
  serial num         : TP072405131XXXXX
  pin min/max        : 6/8
  uri                : pkcs11:model=T7S0564412XXXXX;manufacturer=Chunghwa%20TeleCom%20Co.%2c%20Ltd.;serial=TP072405131XXXXX;token=HiCOS%20PKI%20Smart%20Card

接下來就來解析其中內容

Slot（插槽）

Available slots:
Slot 0 (0x0): InfoThink USB reader

這表示你的系統偵測到 1 個智慧卡讀卡機：

• Slot 0 (0x0) → 第一個插槽
• InfoThink USB reader → 讀卡機的品牌名稱（這台是市面上常見的 InfoThink 智慧卡機）

代表卡機驅動已安裝正確，PKCS#11 模組能夠透過 PC/SC 通訊層與它互動。

Token（卡片）基本資訊

這裡描述的是插在該讀卡機裡的「Token」＝ 智慧卡本身。

token label        : HiCOS PKI Smart Card
token manufacturer : Chunghwa TeleCom Co., Ltd.
token model        : T7S0564412XXXXX
serial num         : TP072405131XXXXX

逐行說明👇

安全與功能旗標（token flags）

token flags        : login required, rng, token initialized, PIN initialized

這行是最關鍵的安全屬性描述，拆解如下：

✅ 代表這張卡可以被安全使用，也就是說你可以進行簽章、加密等操作。

卡片版本資訊

hardware version   : 1.0
firmware version   : 1.0

• 晶片的硬體與韌體版本。
• 主要用於識別卡片代數。

PIN 規則

pin min/max        : 6/8

這是登入卡片所需 PIN 碼的長度限制：

• 最少 6 碼
• 最多 8 碼

符合 HiCOS 自然人憑證的標準 PIN 長度規範。

PKCS#11 URI

uri: pkcs11:model=T7S0564412XXXXX;manufacturer=Chunghwa%20TeleCom%20Co.%2c%20Ltd.;serial=TP072405131XXXXX;token=HiCOS%20PKI%20Smart%20Card

這是一個 PKCS#11 URI（統一資源識別碼），可以讓程式直接指向這張特定卡片。

🧠 小結整理