Форум Рутокен — Выбор рутокена (Linux)

Re: Выбор рутокена (Linux)

null@example.com (Droid) — Tue, 20 Dec 2016 15:36:49 +0000

Здравствуйте!
Я был удивлён тому, что gpg --card-status вообще детектировал рутокен как устройство для чтения смарт-карт. Это вселило немного надежды..., но ваш ответ понятен :( Спасибо за информацию!

Re: Выбор рутокена (Linux)

null@example.com (Vladimir Ivanov) — Tue, 20 Dec 2016 13:28:28 +0000

Droid пишет:

Vladimir Ivanov пишет:
enzain пишет:
Так а чего никто не сказал человеку что для опенпгп не подойдет рутокен?...
Не видит он рутокена и не может на нем сертификаты свои хранить к сожалению... Для опенпгп вообще определенные карты нужны...
Для GPG действительно пока нельзя использовать Рутокен ЭЦП. Пока никто не озадачился написанием соотв. модуля поддержки.
Скажите, а изменилась ли тут ситуация к лучшему с момента этого ответа? Сейчас gpg видит токен как устройство для чтения смарт-карт
$ gpg --card-status 
gpg: detected reader `Aktiv Rutoken ECP 00 00'
...
и предлагает вставить карту...
При этом gpg2 почему-то выводит уже:
$ gpg2 --card-status 
gpg: Карта OpenPGP недоступна: Не поддерживается

Здравствуйте!
Удивительного тут ничего нет, поскольку gpg ожидает карту, которая соответствует
спецификации OpenPGP card (https://g10code.com/p-card.html).
Рутокен ЭЦП этой спецификации не соответствует - мы не ставили целью ее поддерживать.
На написание каких-либо модулей поддержки Рутокен в gpg пока добровольцев не нашлось, увы.
Переговоров на эту тему с нами тоже никто не вёл.
С "коммерческим pgp" картина иная, там все работает "из коробки".

Re: Выбор рутокена (Linux)

null@example.com (Droid) — Tue, 20 Dec 2016 12:59:07 +0000

Vladimir Ivanov пишет:

enzain пишет:
Так а чего никто не сказал человеку что для опенпгп не подойдет рутокен?...
Не видит он рутокена и не может на нем сертификаты свои хранить к сожалению... Для опенпгп вообще определенные карты нужны...
Для GPG действительно пока нельзя использовать Рутокен ЭЦП. Пока никто не озадачился написанием соотв. модуля поддержки.

Скажите, а изменилась ли тут ситуация к лучшему с момента этого ответа? Сейчас gpg видит токен как устройство для чтения смарт-карт

$ gpg --card-status 
gpg: detected reader `Aktiv Rutoken ECP 00 00'
...

и предлагает вставить карту...

При этом gpg2 почему-то выводит уже:

$ gpg2 --card-status 
gpg: Карта OpenPGP недоступна: Не поддерживается

Re: Выбор рутокена (Linux)

null@example.com (Vladimir Ivanov) — Tue, 10 May 2016 11:01:09 +0000

enzain пишет:

Так а чего никто не сказал человеку что для опенпгп не подойдет рутокен?...
Не видит он рутокена и не может на нем сертификаты свои хранить к сожалению... Для опенпгп вообще определенные карты нужны...

Для GPG действительно пока нельзя использовать Рутокен ЭЦП. Пока никто не озадачился написанием соотв. модуля поддержки.

Re: Выбор рутокена (Linux)

null@example.com (enzain) — Mon, 09 May 2016 20:33:05 +0000

Так а чего никто не сказал человеку что для опенпгп не подойдет рутокен?...
Не видит он рутокена и не может на нем сертификаты свои хранить к сожалению... Для опенпгп вообще определенные карты нужны...

Re: Выбор рутокена (Linux)

null@example.com (beelze) — Wed, 13 Aug 2014 08:18:17 +0000

Благодарю за подробные разъяснения.

Re: Выбор рутокена (Linux)

null@example.com (Vladimir Ivanov) — Wed, 13 Aug 2014 07:13:18 +0000

beelze пишет:

То бишь, единственным существенным отличием ЭЦП от lite (если рутокен будет использоваться исключительно через opensource решения) является только наличие криптопроцессора и непосредственно вытекающего из этого факта функционала?

Можно конечно и так сказать, но это отличие делает токены этих двух моделей устройствами совершенно разных классов с очень сильно различающейся функциональностью и возможностями применения.

Re: Выбор рутокена (Linux)

null@example.com (beelze) — Tue, 12 Aug 2014 18:17:31 +0000

То бишь, единственным существенным отличием ЭЦП от lite (если рутокен будет использоваться исключительно через opensource решения) является только наличие криптопроцессора и непосредственно вытекающего из этого факта функционала?

Re: Выбор рутокена (Linux)

null@example.com (Vladimir Ivanov) — Tue, 12 Aug 2014 16:39:46 +0000

beelze пишет:

Благодарю за ответ, однако хотелось бы уяснить следующие нюансы:
– насколько я мог понять из сравнения линеек S, Lite и ЭЦП, поддержка CCID в S отсутствует, но есть в Lite и ЭЦП
– есть ли разница м/у Lite и ЭЦП в разрезе указанных мной opensource приложений (в разделе «характеристики» в части «файловой системы» для ЭЦП указан более широкий функционал, но я полагаю, что он обеспечивается не аппаратно/архитектурно, а проприетарным ПО?)
– то же самое про Lite и ЭЦП в части аутентификации пользователя (возможно, я и ошибаюсь, но в pcsc-lite и opensc нет локальных PIN и комбинированных методов аутентификации?)
Прошу разъяснить по возможности подробно, заранее спасибо.

По сути, Рутокен Lite является сильно урезанной версией Рутокен ЭЦП, из которого изъяты выполняемые "на борту" криптографические преобразования данных. Рутокен Lite может использоваться исеключительно в качестве ключевого носителя для программно-реализованной криптографии. Рутокен ЭЦП выполняет криптографические преобразования (в частности RSA, включая генерацию ключей) "на борту".

Re: Выбор рутокена (Linux)

null@example.com (beelze) — Tue, 12 Aug 2014 15:54:33 +0000

Благодарю за ответ, однако хотелось бы уяснить следующие нюансы:
– насколько я мог понять из сравнения линеек S, Lite и ЭЦП, поддержка CCID в S отсутствует, но есть в Lite и ЭЦП
– есть ли разница м/у Lite и ЭЦП в разрезе указанных мной opensource приложений (в разделе «характеристики» в части «файловой системы» для ЭЦП указан более широкий функционал, но я полагаю, что он обеспечивается не аппаратно/архитектурно, а проприетарным ПО?)
– то же самое про Lite и ЭЦП в части аутентификации пользователя (возможно, я и ошибаюсь, но в pcsc-lite и opensc нет локальных PIN и комбинированных методов аутентификации?)

Прошу разъяснить по возможности подробно, заранее спасибо.

Re: Выбор рутокена (Linux)

null@example.com (Vladimir Ivanov) — Tue, 12 Aug 2014 09:26:34 +0000

Здравствуйте!

В таком случае лучшее, что можно порекомендовать из наших продуктов - это Рутокен ЭЦП.

Re: Выбор рутокена (Linux)

null@example.com (beelze) — Mon, 11 Aug 2014 16:22:09 +0000

Общая задача – переход от хранения ключей/сертификатов в ФС на использование рутокена. На начальном этапе хотелось бы реализовать минимум – это «браузерные» сертификаты, ключи OpenPGP/GnuPG (Thunderbird/Enigmail, Psi) и openssh. В дальнейшем планируется openldap, использование рутокена с pam и некоторая интеграция с WM.

На данный момент я использую etoken pro 72k java, однако именно эта модель не поддерживается opensc, поэтому ее применение весьма и весьма ограничено (невозможно использование с gnupg), а такие вещи, как генерация пары RSA ключей для openssh через сертификат x509, излишне трудоемко.

Насчет pkcs#15 – я не скажу, что уверен на 100%, однако я часто натыкался на примеры с участием pkcs15-tool, поэтому хотелось бы иметь и поддержку этого формата.

Re: Выбор рутокена (Linux)

null@example.com (Антон Тихиенко) — Mon, 11 Aug 2014 11:23:45 +0000

Здравствуйте, beelze.

Опишите, пожалуйста, подробно общую задачу, которую вы собираетесь реализовать с использованием USB-токенов.
Также укажите для чего именно планируется "работа в PKCS#15 и с через PKCS#11"?

Выбор рутокена (Linux)

null@example.com (beelze) — Sat, 09 Aug 2014 10:47:19 +0000

Здравствуйте. Необходима помощь в выборе правильного рутокена. Планируется использование исключительно под Linux, для хранения веб/почта/openvpn/openldap-сертификатов и ключей openssh/gnupg. Желательны нативная поддержка opensc и беспроблемная работа в PKCS#15 и с через PKCS#11.