ruToken + linux

**olfway** · 2008-02-15 21:02:14

olfway
Посетитель
Неактивен

ruToken + linux

Добрый день, возможно ли записывать ключи на токен под линуксом?

pkcs15-init -p rutoken -vvv --generate-key rsa --auth-id 02 пишет

[pkcs15-init] card-rutoken.c:229:rutoken_check_sw: required access right not granted
[pkcs15-init] card-rutoken.c:547:rutoken_create_file: returning with: Security status not satisfied
Failed to generate key: Security status not satisfied

**Vladimir Ivanov** · 2008-02-20 18:51:44

Vladimir Ivanov
Администратор
Неактивен

Re: ruToken + linux

olfway пишет:

Добрый день, возможно ли записывать ключи на токен под линуксом?
pkcs15-init -p rutoken -vvv --generate-key rsa --auth-id 02 пишет
[pkcs15-init] card-rutoken.c:229:rutoken_check_sw: required access right not granted
[pkcs15-init] card-rutoken.c:547:rutoken_create_file: returning with: Security status not satisfied
Failed to generate key: Security status not satisfied

Rutoken поддерживает генерацию только ГОСТ ключей (pkcs15-init поддерживает только RSA). Для этого необходимо использовать утилиту rutoken-tool
Пример:
rutoken-tool –g –k 1 –pin ‘12345678’

_S · 2008-02-27 12:13:22

_S
Посетитель
Неактивен

Re: ruToken + linux

Vladimir Ivanov пишет:

Rutoken поддерживает генерацию только ГОСТ ключей (pkcs15-init поддерживает только RSA). Для этого необходимо использовать утилиту rutoken-tool
Пример:
rutoken-tool –g –k 1 –pin ‘12345678’

Но можно, используя PKCS#11 (opensc-pkcs11.so), не аппаратно сгенерировать RSA пару:
pkcs11-tool -k --pin "12345678" --key-type rsa:2048

**olfway** · 2008-02-27 18:59:20

olfway
Посетитель
Неактивен

Re: ruToken + linux

Да, действительно, ключ сгенерировать получается

pkcs11-tool --keypairgen --key-type rsa:2048 --login --label "user" --id 1
Please enter User PIN:
Key pair generated:
Private Key Object; RSA
  label:      user
  ID:         01
  Usage:      decrypt, sign, unwrap
Public Key Object; RSA 2048 bits
  label:      user
  ID:         01
  Usage:      encrypt, verify, wrap

Но когда я пытаюсь сгенерировать запрос на сертификат получаю ошибку

openssl req -engine pkcs11 -keyform engine -key 1 -new -text -out newcert.csr -subj "CN=User"
engine "pkcs11" set.
PKCS#11 token PIN:
[opensc-pkcs11] card-rutoken.c:1202:sign_ext: error:80009404:PKCS11 library:PKCS11_rsa_encrypt:Not supported
[opensc-pkcs11] sec.c:53:sc_compute_signature: returning with: Internal error
[opensc-pkcs11] pkcs15-sec.c:273:sc_pkcs15_compute_signature: sc_compute_signature() failed: Internal error
14137:error:8000A005:lib(128):func(10):reason(5):p11_ops.c:97:
14137:error:0D0C3006:lib(13):func(195):reason(6):a_sign.c:276:

т.е. использовать сгенерёный ключ я не могу так как токен не поддерживает rsa?

Пробовал записать существующий сертификат на токен:

pkcs11-tool --write-object usercrt.der --type cert --login --id 1 --label "User VPN"
Please enter User PIN:
error: PKCS11 function C_CreateObject failed: rv = CKR_ATTRIBUTE_VALUE_INVALID (0x13)

В итоге хочется использовать токен для авторизации в OpenVPN, это возможно?

Или единственный вариант собирать openssl/openvpn с поддержкой ГОСТа?

_S · 2008-02-28 13:16:26

_S
Посетитель
Неактивен

Re: ruToken + linux

olfway пишет:

Но когда я пытаюсь сгенерировать запрос на сертификат получаю ошибку
openssl req -engine pkcs11 -keyform engine -key 1 -new -text -out newcert.csr -subj "CN=User"
engine "pkcs11" set.
PKCS#11 token PIN:
[opensc-pkcs11] card-rutoken.c:1202:sign_ext: error:80009404:PKCS11 library:PKCS11_rsa_encrypt:Not supported

Какие у Вас версии OpenSSL, OpenSC (rutoken) и "Engine PKCS#11"?

olfway пишет:

т.е. использовать сгенерёный ключ я не могу так как токен не поддерживает rsa?

Можете, только это будут не аппаратные операции.

olfway пишет:

Пробовал записать существующий сертификат на токен:
pkcs11-tool --write-object usercrt.der --type cert --login --id 1 --label "User VPN"
Please enter User PIN:
error: PKCS11 function C_CreateObject failed: rv = CKR_ATTRIBUTE_VALUE_INVALID (0x13)

Можно посмотреть на usercrt.der или на лог (при "debug = 4;" в etc/opensc.conf)? Rutoken должен поддерживать эту операцию.

olfway пишет:

В итоге хочется использовать токен для авторизации в OpenVPN, это возможно?
Или единственный вариант собирать openssl/openvpn с поддержкой ГОСТа?

Использовать RSA возможно, если совместимы версии OpenVPN и OpenSC.

**olfway** · 2008-02-28 14:01:55

olfway
Посетитель
Неактивен

Re: ruToken + linux

_S пишет:

olfway пишет:
Но когда я пытаюсь сгенерировать запрос на сертификат получаю ошибку
openssl req -engine pkcs11 -keyform engine -key 1 -new -text -out newcert.csr -subj "CN=User"
engine "pkcs11" set.
PKCS#11 token PIN:
[opensc-pkcs11] card-rutoken.c:1202:sign_ext: error:80009404:PKCS11 library:PKCS11_rsa_encrypt:Not supported
Какие у Вас версии OpenSSL, OpenSC (rutoken) и "Engine PKCS#11"?

openssl=0.9.8g
engine_pkcs11=0.1.4
openct=0.6.14 и opensc=0.11.4

_S пишет:

olfway пишет:
Пробовал записать существующий сертификат на токен:
pkcs11-tool --write-object usercrt.der --type cert --login --id 1 --label "User VPN"
Please enter User PIN:
error: PKCS11 function C_CreateObject failed: rv = CKR_ATTRIBUTE_VALUE_INVALID (0x13)
Можно посмотреть на usercrt.der или на лог (при "debug = 4;" в etc/opensc.conf)? Rutoken должен поддерживать эту операцию.

вывод с debug=4

**olfway** · 2008-02-28 17:39:36

olfway
Посетитель
Неактивен

Re: ruToken + linux

**olfway** · 2008-02-28 17:41:05

olfway
Посетитель
Неактивен

Re: ruToken + linux

openssl req -engine pkcs11 -keyform engine -key 1 -new -text -out newcert.csr -subj "/CN=User"
engine "pkcs11" set.
PKCS#11 token PIN:
[opensc-pkcs11] card-rutoken.c:1202:sign_ext: error:80009404:PKCS11 library:PKCS11_rsa_encrypt:Not supported
[opensc-pkcs11] sec.c:53:sc_compute_signature: returning with: Internal error
[opensc-pkcs11] pkcs15-sec.c:273:sc_pkcs15_compute_signature: sc_compute_signature() failed: Internal error
14137:error:8000A005:lib(128):func(10):reason(5):p11_ops.c:97:
14137:error:0D0C3006:lib(13):func(195):reason(6):a_sign.c:276:

у кого-нибудь это работает?

_S · 2008-02-28 19:31:32

_S
Посетитель
Неактивен

Re: ruToken + linux

olfway пишет:

у кого-нибудь это работает?

$pkcs11-tool --keypairgen --key-type rsa:2048 --login --label "user" --id 1
...
OpenSSL> engine dynamic -pre SO_PATH:/usr/local/lib/engines/engine_pkcs11.so -pre ID:pkcs11 -pre LIST_ADD:1 -pre LOAD -pre MODULE_PATH:/usr/local/lib/opensc-pkcs11.so
(dynamic) Dynamic engine loading support
[Success]: SO_PATH:/usr/local/lib/engines/engine_pkcs11.so
[Success]: ID:pkcs11
[Success]: LIST_ADD:1
[Success]: LOAD
[Success]: MODULE_PATH:/usr/local/lib/opensc-pkcs11.so
Loaded: (pkcs11) pkcs11 engine
OpenSSL> req -engine pkcs11 -keyform engine -key 1 -new -text -out newcert.csr -subj "/CN=User"
engine "pkcs11" set.
PKCS#11 token PIN:
OpenSSL> version
OpenSSL 0.9.8g 19 Oct 2007

Для приведенного вами сертификата:

$openssl x509 -in cert1 -outform DER -out cert1.der
$pkcs11-tool --write-object cert1.der --type cert --login --id 1 --label "user"
Please enter User PIN:
Generated certificate:
Certificate Object, type = X.509 cert
  label:      user
  ID:         01

**olfway** · 2008-02-28 20:05:58

olfway
Посетитель
Неактивен

Re: ruToken + linux

opensc/openct с сайта или из дистрибутива?

_S · 2008-02-29 11:10:06

_S
Посетитель
Неактивен

Re: ruToken + linux

olfway пишет:

opensc/openct с сайта или из дистрибутива?

Пакеты собирал, патчи отсюда https://www.rutoken.ru/download/softwar … openct.zip
openct-0.6.14-0.6.14.rutoken-0.1.0.diff.gz
opensc-0.11.4-0.11.4.rutoken-0.2.2.diff.gz

olfway пишет:

Но когда я пытаюсь сгенерировать запрос на сертификат получаю ошибку
openssl req -engine pkcs11 -keyform engine -key 1 -new -text -out newcert.csr -subj "CN=User"
[opensc-pkcs11] card-rutoken.c:1202:sign_ext: error:80009404:PKCS11 library:PKCS11_rsa_encrypt:Not supported

Может при сборке OpenSC использовалась какая-то другая версия OpenSSL?

olfway пишет:

Пробовал записать существующий сертификат на токен
pkcs11-tool --write-object usercrt.der --type cert --login --id 1 --label "User VPN"
error: PKCS11 function C_CreateObject failed: rv = CKR_ATTRIBUTE_VALUE_INVALID (0x13)

Странно по логу, может поможет какая-то косвенно влияющая информация (версия токена, компилятора, параметры сборки, платформа и т. д.)?

_S · 2008-04-02 17:29:11

_S
Посетитель
Неактивен

Re: ruToken + linux

Pavel Shramov пишет:

--- a/src/libopensc/card-rutoken.c
+++ b/src/libopensc/card-rutoken.c
@@ -1192,7 +1192,7 @@ static int sign_ext(sc_card_t *card, const u8 *data, size_t len, u8 *out, size_t
        ret = extract_key(card, &pkey);
        if (ret == SC_SUCCESS)
        {
-               r = RSA_private_encrypt(len, data, out, pkey->pkey.rsa, RSA_PKCS1_PADDING);
+               r = RSA_PKCS1_SSLeay()->rsa_priv_enc(len, data, out, pkey->pkey.rsa, RSA_PKCS1_PADDING);
                if ( r < 0)
                {
                        ret = SC_ERROR_INTERNAL;
@@ -1221,7 +1221,7 @@ static int decipher_ext(sc_card_t *card, const u8 *data, size_t len, u8 *out, si
        ret = extract_key(card, &pkey);
        if (ret == SC_SUCCESS)
        {
-               ret = RSA_private_decrypt(len, data, out, pkey->pkey.rsa, RSA_PKCS1_PADDING);
+               ret = RSA_PKCS1_SSLeay()->rsa_priv_dec(len, data, out, pkey->pkey.rsa, RSA_PKCS1_PADDING);
                if ( ret < 0)
                {
                        ret = SC_ERROR_INTERNAL;

ruToken + linux

Сообщений 12

#1 Тема от olfway 2008-02-15 21:02:14

ruToken + linux

#2 Ответ от Vladimir Ivanov 2008-02-20 18:51:44

Re: ruToken + linux

#3 Ответ от _S 2008-02-27 12:13:22

Re: ruToken + linux

#4 Ответ от olfway 2008-02-27 18:59:20

Re: ruToken + linux

#5 Ответ от _S 2008-02-28 13:16:26

Re: ruToken + linux

#6 Ответ от olfway 2008-02-28 14:01:55

Re: ruToken + linux

#7 Ответ от olfway 2008-02-28 17:39:36

Re: ruToken + linux

#8 Ответ от olfway 2008-02-28 17:41:05

Re: ruToken + linux

#9 Ответ от _S 2008-02-28 19:31:32

Re: ruToken + linux

#10 Ответ от olfway 2008-02-28 20:05:58

Re: ruToken + linux

#11 Ответ от _S 2008-02-29 11:10:06

Re: ruToken + linux

#12 Ответ от _S 2008-04-02 17:29:11 (2008-04-02 17:30:09 отредактировано _S)

Re: ruToken + linux

Сообщений 12