Тема от sanyo

  • sanyo
  • Посетитель
  • Неактивен

Rutoken ECP2 3000 Sespake + OpenSSH

Добрый день,

Возможно ли использование протокола ФКН2 в OpenSSH и/или OpenSC, а не только в КриптоПро?

Если нет, то планируется ли?

Если бы подобная поддержка была бы, то имело бы смысл использовать Rutoken ECP2 3000 в качестве удаленного HSM по сети, если например пробросить виртуальный USB по IP?

К примеру, пользователь включал бы Rutoken ECP2 3000 в локальное устройство, по USBIP (http://usbip.sourceforge.net/) пробрасывал бы токен на удаленный Linux хост и далее на нем демон SSHD мог бы вычитывать свой закрытый ключ из Rutoken ECP2 3000 по виртуальному каналу?

Сохранилась бы в таком случае защита от MITM? Или если на удаленном хосте легко поменять библиотеки работы с криптотокеном, то смысла в такой затее нет?

SESPAKE расчитан на работу только в доверенной среде? Но ведь даже современный локальный компьютер не может считаться полностью доверенным с учетом существования различных невидимых буткитов?

Ответ от Алексей Лазарев (2020-07-03 13:11:18 отредактировано Алексей Лазарев)

  • Алексей Лазарев
  • Техническая поддержка
  • Неактивен

Re: Rutoken ECP2 3000 Sespake + OpenSSH

Добрый день.

> Возможно ли использование протокола ФКН2 в OpenSSH и/или OpenSC, а не только в КриптоПро?
Реализация протокола является проприетарной, поэтому этот вопрос лучше задать разработчику - КриптоПро.

Протокол используется для организации защищенного соединения между сертифицированными СКЗИ, прошедшими оценку влияния. В нашем случае - аппаратным Рутокен 3000 и программным - КриптоПро.

> далее на нем демон SSHD мог бы вычитывать свой закрытый ключ из Rutoken ECP2 3000
В схеме с Рутокен 3000 секрет не покидает защищенный носитель, но он должен храниться (вычисляться) в софте.

Сохранилась бы в таком случае защита от MITM? Или если на удаленном хосте легко поменять библиотеки работы с криптотокеном, то смысла в такой затее нет?
Гарантий нет.

Как это работает: https://habr.com/ru/post/282043/

С уважением, Алексей Лазарев, Компания "Актив"