Ответ от Николай Фатеев

  • Николай Фатеев
  • Посетитель
  • Неактивен

Re: Аутентификация на www

Andrey Y. Ostanovsky пишет:

Вы можете прямо ответить на поставленный вопрос?

rutoken не является надежным хранилищем и его содержимое может быть легко размножено?

Под "легко" я подразумеваю: с ведома владельца токена, зная пин-код и используя штатное программное обеспечение.

Andrey Y. Ostanovsky пишет:

"Владелец ключей и сертификатов" (организация, выпустившая их) как раз желает, чтобы _пользователь_токена_ не мог достать ключи из токена и у него не было такой возможности ни в каком случае. Иначе ваш токен практически ничем (кроме объема) от современной флэшки не отличается.

Андрей, боюсь, что Вы не до конца понимаете, как устроена PKI. ВЛАДЕЛЬЦЕМ ключей и сертификатов является ПОЛЬЗОВАТЕЛЬ, УЦ лишь заверяет подпись ПОЛЬЗОВАТЕЛЯ. Соответственно, сообразно желанию ВЛАДЕЛЬЦА (пользователя) на этапе генерации ключевой пары, закрытый ключ может помечаться как экспортируемый, либо нет. Если он помечен как экспортируемый, то ВЛАДЕЛЕЦ (тот кто генерировал ключевую пару, а так же знает pin-код) может СВОЙ контейнер средствами используемого криптопровайдера перенести на другой носитель (хотя бы для того, например, чтобы сделать резервную копию).
Если же ЗК не был помечен как экспортируемый, то перенести контейнер на другой носитель не сможет даже пользователь, знающий pin-код.
В итоге "организация, выпустившая сертификат" тут совсем не при чем! Уровень безопасности (т.е. экспортируемость ЗК) определяет ВЛАДЕЛЕЦ. При желании он может обеспечить такой уровень защищенности для свой ЭЦП, который соответствет по крайней мере нашему, российскому закону об ЭЦП.

Ответ от vas

  • vas
  • Посетитель
  • Неактивен

Re: Аутентификация на www

Vladimir Ivanov пишет:
vas пишет:

2,3. ЭЦП нашей организации, выдавалась одним из московских УЦ для отправки документов в налоговую. Теперь хочется воспользоваться этой же ЭЦП для отправки документов в Федеральную службу гос. статистики.

Для того, чтобы посмотреть сертификат, надо бы знать на каком криптопровайдере он выписывался. Если удостоверяющий центр использует КриптоПро - соответственно необходима установка данного криптопровайдера. Если не секрет, в каком УЦ Вы получали сертификат?

В Гарант-Телеком.

А разве на токене лежат не просто стандартный X.509 сертификат и ключ к нему?

Ответ от Николай Фатеев

  • Николай Фатеев
  • Посетитель
  • Неактивен

Re: Аутентификация на www

vas пишет:

В Гарант-Телеком.
А разве на токене лежат не просто стандартный X.509 сертификат и ключ к нему?

Насколько нам известно, ПО Гаранта работает через КриптоПро CSP. В этом случае на токене лежит контейнер в собственном формате Крипто-Про. В этом случае необходимо зарегистрировать сертификат в локальном хранилище путем вызова его через консоль КриптоПро (Пуск/Панель управления), вкладка Сервис, кнопка  Просмотреть сертификаты в контейнере. Когда откроется сертификат, нажать кноку Установить.
После этого к сертификату можно будет обращаться из любого приложения, которое работает с Локальным Хранилищем Сертификатов.

Ответ от Andrey Y. Ostanovsky

  • Andrey Y. Ostanovsky
  • Посетитель
  • Неактивен

Re: Аутентификация на www

Николай Фатеев пишет:

Соответственно, сообразно желанию ВЛАДЕЛЬЦА (пользователя) на этапе генерации ключевой пары, закрытый ключ может помечаться как экспортируемый, либо нет.

А как это выглядит в терминах openssl?

Ответ от Николай Фатеев

  • Николай Фатеев
  • Посетитель
  • Неактивен

Re: Аутентификация на www

Andrey Y. Ostanovsky пишет:
Николай Фатеев пишет:

Соответственно, сообразно желанию ВЛАДЕЛЬЦА (пользователя) на этапе генерации ключевой пары, закрытый ключ может помечаться как экспортируемый, либо нет.

А как это выглядит в терминах openssl?

Полагаю, выглядит точно также. Что такого особенного в OpenSSL?

Ответ от Andrey Y. Ostanovsky

  • Andrey Y. Ostanovsky
  • Посетитель
  • Неактивен

Re: Аутентификация на www

Николай Фатеев пишет:
Andrey Y. Ostanovsky пишет:
Николай Фатеев пишет:

Соответственно, сообразно желанию ВЛАДЕЛЬЦА (пользователя) на этапе генерации ключевой пары, закрытый ключ может помечаться как экспортируемый, либо нет.

А как это выглядит в терминах openssl?

Полагаю, выглядит точно также. Что такого особенного в OpenSSL?

Ничего, кроме того, что там нет слов про "неизвлекаемость"

$ openssl genrsa --help
usage: genrsa [args] [numbits]
 -des            encrypt the generated key with DES in cbc mode
 -des3           encrypt the generated key with DES in ede cbc mode (168 bit key)
 -aes128, -aes192, -aes256
                 encrypt PEM output with cbc aes
 -out file       output the key to 'file
 -passout arg    output file pass phrase source
 -f4             use F4 (0x10001) for the E value
 -3              use 3 for the E value
 -engine e       use engine e, possibly a hardware device.
 -rand file:file:...
                 load the file (or the files in the directory) into
                 the random number generator

Ответ от S_ (2008-05-08 13:11:43 отредактировано S_)

  • S_
  • Посетитель
  • Неактивен

Re: Аутентификация на www

Andrey Y. Ostanovsky пишет:
Николай Фатеев пишет:
Andrey Y. Ostanovsky пишет:

А как это выглядит в терминах openssl?

Полагаю, выглядит точно также. Что такого особенного в OpenSSL?

Ничего, кроме того, что там нет слов про "неизвлекаемость"

$ openssl genrsa --help
...
 -engine e       use engine e, possibly a hardware device.

"Неизвлекаемость" обеспечивает (либо нет) уже конкретный engine.

Ответ от Vladimir Ivanov

  • Vladimir Ivanov
  • Администратор
  • Неактивен

Re: Аутентификация на www

Andrey Y. Ostanovsky пишет:

Ничего, кроме того, что там нет слов про "неизвлекаемость"

Естественно, там таких слов нет. Ключевая пара там генерируется в файл, а не на токен. Поэтому и само понятие тут неприменимо.

Ответ от Andrey Y. Ostanovsky

  • Andrey Y. Ostanovsky
  • Посетитель
  • Неактивен

Re: Аутентификация на www

S_ пишет:

"Неизвлекаемость" обеспечивает (либо нет) уже конкретный engine.

Иными словами - любая смарт-карта (токен) физически могут отдавать секретные ключи, и проблема извлечения информации лежит только на уровне написания  необходимого софта/драйверов? Или это свойство только rutoken-а?

Ответ от Николай Фатеев

  • Николай Фатеев
  • Посетитель
  • Неактивен

Re: Аутентификация на www

Andrey Y. Ostanovsky пишет:

Иными словами - любая смарт-карта (токен) физически могут отдавать секретные ключи, и проблема извлечения информации лежит только на уровне написания  необходимого софта/драйверов? Или это свойство только rutoken-а?

Любая смарт-карта (токен) имеют аппаратную реализацию одного или нескольких криптографических алгоритмов. Для этого(этих) алгоритма они умеют генерировать неизвлекаемые ключи, которые могут быть использованы только непосредственно микропроцессором смарткарты (токена). Для ключей (ключевых пар) остальных криптоалгоритмов такая смарт-карта (токен) является всего лишь хранилищем, т.е. ключи могут быть получены путем написания  необходимого ПО и, разумеется, при условии знания pin-кода.
В текущей версии Rutoken аппаратно реализован лишь симметричный ГОСТ. Летом мы выпускаем токен, в котором будут аппаратно реализованы RSA  и ассиметричный ГОСТ.

Ответ от Andrey Y. Ostanovsky

  • Andrey Y. Ostanovsky
  • Посетитель
  • Неактивен

Re: Аутентификация на www

Николай Фатеев пишет:

Летом мы выпускаем токен, в котором будут аппаратно реализованы RSA  и ассиметричный ГОСТ.

Т.е. можно будет генерировать certificate request для openssl с неизвлекаемыми ключами непосредственно на базе токена?

Ответ от Николай Фатеев

  • Николай Фатеев
  • Посетитель
  • Неактивен

Re: Аутентификация на www

Andrey Y. Ostanovsky пишет:

Т.е. можно будет генерировать certificate request для openssl с неизвлекаемыми ключами непосредственно на базе токена?

Именно так.

Ответ от vas

  • vas
  • Посетитель
  • Неактивен

Re: Аутентификация на www

Николай Фатеев пишет:
vas пишет:

В Гарант-Телеком.
А разве на токене лежат не просто стандартный X.509 сертификат и ключ к нему?

Насколько нам известно, ПО Гаранта работает через КриптоПро CSP. В этом случае на токене лежит контейнер в собственном формате Крипто-Про. В этом случае необходимо зарегистрировать сертификат в локальном хранилище путем вызова его через консоль КриптоПро (Пуск/Панель управления), вкладка Сервис, кнопка  Просмотреть сертификаты в контейнере. Когда откроется сертификат, нажать кноку Установить.
После этого к сертификату можно будет обращаться из любого приложения, которое работает с Локальным Хранилищем Сертификатов.

Спасибо, Николай, всё успешно получилось.

Можно ещё вопрос. Может ли на рутокене лежать обычный секретный ключ к сертификату, например сгенерённый с помощью "openssl genrsa"? Или пара сертификат/ключ. Интересуюсь в плане возможности использования рутокена с доморощенным CA на базе OpenSSL. Сейчас ключ от корневого сертификата данного CA просто лежит на диске в виде файла.

Ответ от vas

  • vas
  • Посетитель
  • Неактивен

Re: Аутентификация на www

Николай Фатеев пишет:
Andrey Y. Ostanovsky пишет:

Т.е. можно будет генерировать certificate request для openssl с неизвлекаемыми ключами непосредственно на базе токена?

Именно так.

А под какими ОС такое будет возможно? Интересует FreeBSD.

Ответ от _S

  • _S
  • Посетитель
  • Неактивен

Re: Аутентификация на www

vas пишет:

Может ли на рутокене лежать обычный секретный ключ к сертификату, например сгенерённый с помощью "openssl genrsa"? Или пара сертификат/ключ. Интересуюсь в плане возможности использования рутокена с доморощенным CA на базе OpenSSL. Сейчас ключ от корневого сертификата данного CA просто лежит на диске в виде файла.

https://forum.rutoken.ru/viewtopic.php?pid=285#p285