* example ****
mock HSM REST сервер и клиент для теста подписи. В комплекте сервер поднимает REST‑эндпоинты для health, выдачи публичного ключа и подписи, а клиент получает публичный ключ, отправляет SHA‑256 хэш на подпись и локально проверяет возвращённую подпись. [docs.securosys](https://docs.securosys.com/tsb/overview/)

Что внутри

• mock_hsm.py — FastAPI‑сервер с эндпоинтами /v1/health, /v1/public-key и /v1/sign, моделью Bearer‑авторизации и RSA‑подписью тестового дайджеста. Такой шаблон соответствует типовой схеме HSM REST‑интеграций, где клиент вызывает REST‑метод подписи и получает JSON‑ответ с результатом. [nshielddocs.entrust](https://nshielddocs.entrust.com/wsop-docs/v3.2.0/rest-api.html)
• client_test.py — клиент на Python с requests и cryptography, который получает публичный ключ, вызывает REST‑подпись и локально валидирует её. Это повторяет типичный интеграционный smoke‑test для HSM API. [docs.venafi](https://docs.venafi.com/Docs/currentSDK/TopNav/Content/SDK/HSMSDK/cco-SDKh-HSM-Client-SDK-reference.php)

Как запускать

1. Установи зависимости: pip install fastapi uvicorn requests cryptography pydantic.
2. Запусти сервер: uvicorn mock_hsm:app --host 127.0.0.1 --port 8000.
3. Во втором терминале запусти клиент: python3 client_test.py.

Оба файла уже готовы к локальному запуску на Linux; токен в обоих файлах одинаковый — replace_me_with_real_token, так что клиент сразу совместим с mock‑сервером. [linkedin](https://www.linkedin.com/posts/rizkysatrio_github-rsatriosofthsm2-rest-rest-api-activity-7248141405200515072-V2Zc)

Что увидишь

При успешном запуске клиент выведет подтверждение получения публичного ключа, запроса подписи и успешной локальной проверки подписи. Такой тест подтверждает, что REST‑метод подписи, обмен JSON и базовая криптографическая логика работают корректно. [docs.securosys](https://docs.securosys.com/tsb/overview/)

######## mock_hsm.py ############
from fastapi import FastAPI, Header, HTTPException
from pydantic import BaseModel
import base64
from cryptography.hazmat.primitives import hashes, serialization
from cryptography.hazmat.primitives.asymmetric import rsa, padding

app = FastAPI(title="Mock HSM REST API")

private_key = rsa.generate_private_key(public_exponent=65537, key_size=2048)
public_key = private_key.public_key()
API_TOKEN = "replace_me_with_real_token"

class SignRequest(BaseModel):
key_id: str
algorithm: str
hash_b64: str
hash_algorithm: str

@app.get("/v1/health")
def health():
return {"status": "ok"}

@app.get("/v1/public-key")
def get_public_key(authorization: str | None = Header(default=None)):
if authorization != f"Bearer {API_TOKEN}":
raise HTTPException(status_code=401, detail="Unauthorized")
return {
"algorithm": "RSA_PKCS1_SHA256",
"public_key_pem": public_key.public_bytes(
encoding=serialization.Encoding.PEM,
format=serialization.PublicFormat.SubjectPublicKeyInfo,
).decode("ascii"),
}

@app.post("/v1/sign")
def sign(req: SignRequest, authorization: str | None = Header(default=None)):
if authorization != f"Bearer {API_TOKEN}":
raise HTTPException(status_code=401, detail="Unauthorized")

if req.algorithm != "RSA_PKCS1_SHA256":
raise HTTPException(status_code=400, detail="Unsupported algorithm")

if req.hash_algorithm != "SHA256":
raise HTTPException(status_code=400, detail="Unsupported hash algorithm")

try:
digest = base64.b64decode(req.hash_b64)
except Exception as exc:
raise HTTPException(status_code=400, detail=f"Invalid base64 hash: {exc}")

if len(digest) != 32:
raise HTTPException(status_code=400, detail="SHA256 digest must be 32 bytes")

signature = private_key.sign(
digest,
padding.PKCS1v15(),
hashes.SHA256(),
)

return {
"key_id": req.key_id,
"algorithm": req.algorithm,
"hash_algorithm": req.hash_algorithm,
"signature_b64": base64.b64encode(signature).decode("ascii"),
}

############ client_test.py #############
import base64
import hashlib
import json
import requests
from cryptography.hazmat.primitives import hashes, serialization
from cryptography.hazmat.primitives.asymmetric import padding
from cryptography.exceptions import InvalidSignature

BASE_URL = "http://127.0.0.1:8000"
API_TOKEN = "replace_me_with_real_token"
KEY_ID = "test-sign-key-01"
ALGORITHM = "RSA_PKCS1_SHA256"
MESSAGE = b"test payload for HSM REST signing"

HEADERS = {
"Authorization": f"Bearer {API_TOKEN}",
"Content-Type": "application/json",
"Accept": "application/json",
}

def get_public_key_pem():
r = requests.get(f"{BASE_URL}/v1/public-key", headers=HEADERS, timeout=10)
r.raise_for_status()
return r.json()["public_key_pem"].encode("ascii")

def sign_message_digest(message: bytes):
digest = hashlib.sha256(message).digest()
payload = {
"key_id": KEY_ID,
"algorithm": ALGORITHM,
"hash_b64": base64.b64encode(digest).decode("ascii"),
"hash_algorithm": "SHA256",
}
r = requests.post(
f"{BASE_URL}/v1/sign",
headers=HEADERS,
data=json.dumps(payload),
timeout=10,
)
r.raise_for_status()
body = r.json()
return digest, base64.b64decode(body["signature_b64"]), body

def verify_signature(public_key_pem: bytes, digest: bytes, signature: bytes):
public_key = serialization.load_pem_public_key(public_key_pem)
public_key.verify(
signature,
digest,
padding.PKCS1v15(),
hashes.SHA256(),
)

def main():
print("[*] Fetching public key from mock HSM...")
public_key_pem = get_public_key_pem()

print("[*] Requesting signature from mock HSM...")
digest, signature, body = sign_message_digest(MESSAGE)

print("[*] Verifying signature locally...")
try:
verify_signature(public_key_pem, digest, signature)
print("[OK] Signature verification successful")
print(f"Key ID: {body['key_id']}")
print(f"Algorithm: {body['algorithm']}")
print(f"Hash algorithm: {body['hash_algorithm']}")
print(f"Signature length: {len(signature)} bytes")
except InvalidSignature:
print("[FAIL] Signature verification failed")
raise

if __name__ == "__main__":
main()

##############################################
docker-compose.yml и Dockerfile для запуска mock HSM REST сервера в контейнере. Теперь сервер можно поднять через Docker Compose без ручной установки FastAPI и Uvicorn на хосте. [linkedin](https://www.linkedin.com/posts/rizkysatrio_github-rsatriosofthsm2-rest-rest-api-activity-7248141405200515072-V2Zc)

Как использовать

Положи docker-compose.yml, Dockerfile.mock-hsm и mock_hsm.py в один каталог, затем запусти docker compose up --build. После старта сервис будет доступен на http://127.0.0.1:8000, что совпадает с адресом в твоём client_test.py`. [linkedin](https://www.linkedin.com/posts/rizkysatrio_github-rsatriosofthsm2-rest-rest-api-activity-7248141405200515072-V2Zc)