Предыдущую тему про "RuToken ЭЦП, запись файлов во встроенную память" читал.

"Использование Rutoken для асимметричного шифрования данных и для работы с цифровыми сертификатами из любых smartcard-приложений"

в спецификациях известных токенов приводится максимальная длинна ключа с которой может работать чип.

Способен ли рутокен вообще выполнять операции с открытым ключом на чипе?
Или он используется только для криптозащищенного хранения пар ключей?

PS  документация по  Rutoken ЭЦП говорит про поддержку алгоритма RSA, с ключами до 2048 бит.
Это касается обработки на чипе токена?

В операционных системах GNU/Linux и Apple Mac OS X за поддержку стандарта CCID в pcsc-lite отвечает модуль libccid.

У libccid существует конфигурационный файл в котором описаны идентификаторы тех устройств, которые проверены автором libccid на совместимость.

Если Вы пользуетесь Apple OS X 10.7 Lion или новым и часто обновляемым дистрибутивом GNU/Linux то ничего делать не нужно. Рутокен ЭЦП заработает сам собой.

Пользователям более ранних версий Mac OS X и пользователям стабильных и консервативных дистрибутивов GNU/Linux нужно будет добавить в конфигурационный файл запись о Рутокене ЭЦП.

В Apple Mac OS X он находится в /usr/libexec/SmartCardServices/drivers/ifd-ccid.bundle/Contents/Info.plist

В GNU/Linux обычно в /usr/lib/pcsc/drivers/ifd-bundle/Contents/Info.plist

Это обычный текстовый файл, открыв его в любом текстовом редакторе в него нужно добавить следующие строки

в массиве <key>ifdVendorID</key>
добавить <string>0x0A89</string>

в массиве <key>ifdProductID</key>
добавить <string>0x0030</string>

в массиве <key>ifdFriendlyName</key>
добавить <string>Aktiv Rutoken ECP</string>

Цель – позволить через стандартный интерфейс OpenSSL выполнять по российским криптографическим стандартам на “борту” Рутокен ЭЦП базовые криптографические операции:

• симметричное шифрование и имитовставка по ГОСТ 28147-89

• хэширование по ГОСТ Р 34-11.94

• электронная подпись по ГОСТ Р 34-10.2001

• распределение ключей VKO 34.10-2001

и высокоуровневые криптографические операции и протоколы

• электронная подпись и шифрование PKCS#7, CMS, S/MIME

• заявки на сертификаты PKCS#10

• сертификаты X.509 и списки отзыва

• функциональность PKI

• протокол TLS

• онлайн-проверка статуса сертификата (OCSP)

• временные метки (TSP)

Поддержка российских стандартов в OpenSSL сделана в соответствии с RFC, что обеспечивает совместимость c продуктами различных производителей:

• используются параметры российских алгоритмов в соответствии с RFC 4357 в
  

  • электронной подписи ГОСТ Р 34.10-2001

  • распределении ключей VKO 34.10-2001

  • хэшировании ГОСТ Р 34-11.94

• поддержка защищенных сообщений CMS, PKCS#7, S/MIME с использованием российских алгоритмов  в соответствии с RFC 4490

• функциональность PKI c укладкой открытого ключа ГОСТ Р 34-10.2001 по RFC 4491

• реализован протокол TLS с поддержкой шифрсьютов с российскими алгоритмами в соответствии с draft-chudov-cryptopro-cptls.

На текущий момент времени существует альфа-версия “плагина” к OpenSSL – engine PKCS11_GOST, которая поддерживает работу с OpenSSL версии 1.0.0 и выше.

На форуме будут описываться различные варианты использования OpenSSL c Рутокен ЭЦП через утилиту openssl и приводиться  программные примеры использования OpenSSL c Рутокен ЭЦП.

При использовании связки JCP + Рутокен + openct 0.6.20 в linux, при попытке создания ключа через панель управления JCP, возникает ошибка: java.security.KeyStoreException: Unexpected Error.

Поиском по форуму, нашел тему: http://forum.rutoken.ru/topic/1537/

То есть, получается, пользователей придется откатывать на более раннюю версию openct. Планируется ли новая версия Рутокен для КриптоПро JCP с поддержкой текущей версии openct? Если да, то в какое время она должна появиться?

    CK_OBJECT_CLASS pub_class = CKO_PUBLIC_KEY;
    CK_KEY_TYPE key_type = CKK_GOSTR3410;
    CK_UTF8CHAR pub_label[] = "gost public key";
    CK_BBOOL true = CK_TRUE;
    CK_ATTRIBUTE pkey_attr[] = {
        {CKA_LABEL, &pub_label, sizeof(pub_label)-1},
        {CKA_CLASS, &pub_class, sizeof(pub_class)},
        {CKA_KEY_TYPE, &key_type, sizeof(key_type)},
        {CKA_TOKEN, &true, sizeof(true)},
        {CKA_GOSTR3410_PARAMS, g3410par, sizeof(g3410par)},
        {CKA_GOSTR3411_PARAMS, g3411par, sizeof(g3411par)},
        {CKA_ID, id, sizeof(id)},
    };
    CK_OBJECT_CLASS priv_class = CKO_PRIVATE_KEY;
    CK_UTF8CHAR priv_label[] = "gost private key";
    CK_ATTRIBUTE skey_attr[] = {
        {CKA_LABEL, &priv_label, sizeof(priv_label)-1},
        {CKA_CLASS, &priv_class, sizeof(priv_class)},
        {CKA_KEY_TYPE, &key_type, sizeof(key_type)},
        {CKA_TOKEN, &true, sizeof(true)},
        {CKA_SENSITIVE, &true, sizeof(true)},
        {CKA_SIGN, &true, sizeof(true)},
        {CKA_GOSTR3410_PARAMS, g3410par, sizeof(g3410par)},
        {CKA_GOSTR3411_PARAMS, g3411par, sizeof(g3411par)},
        {CKA_ID, id, sizeof(id)},
    };

Как пытался решать:
1. Пробовал явно загрузить криптопараметры (CKO_DOMAIN_PARAMETERS), как написано в спецификации pkcs11, но C_CreateObject вернула CKR_FUNCTION_NOT_SUPPORTED
2. Подумал было что проблема в идентификаторах CKA_ID - в rutoken_ecp.profile написано, что идентификатор закрытого ключа должен быть {0x01, 0xNN}, а соответствующего ему открытого {0x02, 0xNN}. Однако, при генерации идентификатор закрытого ключа берется из шаблона для открытого и они одинаковы, следовательно, проблема не в идентификаторах.

Вероятно, где-то я что-то делаю не так. В чем может быть проблема?

P.S. Про Рутокен Flash и Рутокен ЭЦП Flash знаю, интересует имено RuToken ЭЦП.

Пример
на RUToken-Flash устанавливаем клиентское место Клиент-Банка (полная установка 5 мегабайт)
с, например, 10-ю предприятиями - нашими клиентами (корпоративный)

Поместятся ли на токене 10 контейнеров для этих 10 организаций?

С уважением
Игорь