Wir zerlegen und zeigen qualifizierte Zertifikate mit Python / Tkinter an

Qualifizierte Zertifikate wurden schnell zu einem festen Bestandteil des Alltags. Und immer mehr Menschen wollen dieses "Biest" von innen sehen. Dies ist einerseits. Andererseits werden immer mehr Anwendungen entwickelt, in denen Informationen aus diesen Zertifikaten verwendet werden. Und dies sind nicht nur Attribute der TIN oder BIN des Inhabers oder Herausgebers des Zertifikats. Dies können Informationen darüber sein, welcher kryptografische Anbieter vom Zertifikatsinhaber (subjectSignTool-Attribut) zum Generieren eines privaten Schlüssels verwendet wurde oder auf dessen Grundlage zertifiziert bedeutet, dass ein Zertifizierungszentrum (CA) erstellt wurde, das ein Zertifikat ausgestellt hat. Wenn Sie ein Programm schreiben, das die ausgestellten Zertifikate analysiert, können Sie interessante Statistiken darüber sammeln, welche Tools zum Schutz kryptografischer Informationen von Zertifikatsinhabern verwendet werden und auf deren Grundlage (wenn auch weniger interessante) zertifizierte (oder nicht zertifizierte) Fonds-Zertifizierungsstellen bereitgestellt werden (Attribut issuerSignTools):



In den Freiflächen von Habr wurde bereits erfolgreich versucht, ein qualifiziertes Zertifikat zu zerlegen. Leider betraf die Analyse nur das Erhalten der Attribute TIN, PSRN und SNILS, die Teil des definierten Namens DN (Distinguished Name) sind. Obwohl, warum leider? Der Autor hatte ein spezifisches Problem und es wurde gelöst. Wir möchten über Python auf die Attribute eines qualifizierten Zertifikats zugreifen und ein grafisches Dienstprogramm zum Anzeigen dieser Attribute bereitstellen.

Um auf die Attribute des Zertifikats zuzugreifen, verwenden wir das Paket fsb795 . Das Paket ist sowohl für Pytho2 als auch für Python3 verfügbar, sowohl für Linux als auch für Windows. Um es zu installieren, führen Sie einfach den traditionellen Befehl aus:

# python -m pip install fsb795 Collecting fsb795 Requirement already satisfied: pyasn1-modules>=0.2.2 in /usr/lib/python2.7/site-packages (from fsb795) (0.2.2) Collecting pyasn1>=0.4.4 (from fsb795) Using cached https://files.pythonhosted.org/packages/d1/a1/7790cc85db38daa874f6a2e6308131b9953feb1367f2ae2d1123bb93a9f5/pyasn1-0.4.4-py2.py3-none-any.whl Requirement already satisfied: six in /usr/lib/python2.7/site-packages (from fsb795) (1.11.0) Installing collected packages: pyasn1, fsb795 Successfully installed fsb795-1.5.2 pyasn1-0.4.4 [root@localhost GCryptGOST]# 

Das Paket fsb795 erfordert die Pakete pyasn1 und pyasn1-modules. Wenn sie nicht installiert sind, wird daher versucht, sie zu installieren.

Für Python3 sieht dieser Befehl folgendermaßen aus:

 # python -m pip install fsb795 ... # 

Sie können auch die Installationspakete python3 und python2 herunterladen und lokal installieren .
Der Name des Pakets weist in Analogie zu den Modulen aus dem Paket pyasn1-modules, z. B. rfc2459 usw., darauf hin, dass es für die Verwendung mit Zertifikaten ausgelegt ist, die den Anforderungen des Ordens des Bundessicherheitsdienstes der Russischen Föderation vom 27. Dezember 2011 Nr. 795 „Bei Genehmigung Anforderungen für die Form eines qualifizierten Zertifikats ... ".

Der Zugriff auf das Zertifikat im Paket fsb795 wird über die Zertifikatklasse implementiert:

 # -*- coding: utf-8 -*- import os, sys import pyasn1 import binascii import six from pyasn1_modules import rfc2459, pem from pyasn1.codec.der import decoder from datetime import datetime, timedelta class Certificate: #  cert_full = '' cert = '' pyver = '' formatCert = '' def __init__ (self,fileorstr): #     if not os.path.exists(fileorstr): #  ,  ,     #    PEM- strcert = fileorstr.strip('\n') if (strcert[0:27] != '-----BEGIN CERTIFICATE-----'): return idx, substrate = pem.readPemBlocksFromFile(six.StringIO( strcert), ('-----BEGIN CERTIFICATE-----', '-----END CERTIFICATE-----') ) self.pyver = sys.version[0] try: self.cert_full, rest = decoder.decode(substrate, asn1Spec=rfc2459.Certificate()) self.cert = self.cert_full["tbsCertificate"] self.formatCert = 'PEM' except: self.pyver = '' self.formatCert = '' return #   #  self.pyver   python self.pyver = sys.version[0] filename = fileorstr if (self.pyver == '2'): if sys.platform != "win32": filename = filename.encode("UTF-8") else: filename = filename.encode("CP1251") #  DER file1 = open(filename, "rb") substrate = file1.read() if (self.pyver == '2'): b0 = ord(substrate[0]) b1 = ord(substrate[1]) else: b0 = substrate[0] b1 = substrate[1] #  PEM/DER,   0x30,       127  if (b0 == 48 and b1 > 128) : self.formatCert = 'DER' else: self.formatCert = 'PEM' file1 = open(filename, "r") idx, substrate = pem.readPemBlocksFromFile( file1, ('-----BEGIN CERTIFICATE-----', '-----END CERTIFICATE-----') ) file1.close() try: self.cert_full, rest = decoder.decode(substrate, asn1Spec=rfc2459.Certificate()) self.cert = self.cert_full["tbsCertificate"] except: self.pyver = '' self.formatCert = '' #       def subjectSignTool(self): . . . #,     if __name__ == "__main__": . . . 

Um eine Instanz eines Objekts für ein bestimmtes Zertifikat zu erstellen, reicht es aus, die folgende Anweisung auszuführen:

 $ python Python 2.7.15 (default, May 23 2018, 14:20:56) [GCC 5.4.0] on linux Type "help", "copyright", "credits" or "license" for more information. >>import fsb795 >>tek_cert = fsb795.Certificate(</  >) >> 

Als Parameter wird beim Erstellen einer Instanz der Klasse ein Zertifikat angegeben, das entweder in einer PEM- oder DER-Datei oder als Zeichenfolge im PEM-Format vorliegen kann.

Nach der Erstellung hat jede Instanz vier Attribute: pyver, formatCert, cert_full und cert.
Mit dem pyver-Attribut können Sie überprüfen, wie das Parsen des Zertifikats verlaufen ist. Wenn pyver einer leeren Zeichenfolge entspricht, enthält die Datei oder Zeichenfolge kein Zertifikat. Andernfalls enthält das Pyver-Attribut die Python-Sprachversion:

 >>> c1=fsb795.Certificate('     ') >>> if (c1.pyver == ''): ... print ('   ') ...     >>> c2 = fsb795.Certificate('/home/a513/cert_nss.der') >>> if (c2.pyver != ""): ... print(c2.pyver) ... 2 >>> print(c2.formatCert) DER >>> 

Das formatCert-Attribut enthält beim erfolgreichen Erstellen einer Instanz der Certificate-Klasse den Datei- / Zeichenfolgenformattyp des Zertifikats. Es kann PEM oder DER sein. Warum dieses Attribut benötigt wird, wird unten klar.

Das Paket fsb795 wurde mit dem Paket pyasn1 erstellt. Zwei Attribute blieben also ungeprüft. Das Attribut cert speichert das tbs-Zertifikat, das für die Verwendung mit dem Paket pyasn1 bereit ist. Ein anderes Attribut cert_full speichert das gesamte decodierte Zertifikat in Bezug auf rfc2459. Wir zeigen, wie Sie den Public-Key-Algorithmus mit dem Attribut cert und dem verbundenen Paket pyasn1 erhalten:

 >>> pubkey = c2.cert['subjectPublicKeyInfo'] >>> ff = pubkey['algorithm'] >>> ff1 = ff['algorithm'] >>> print (ff1) 1.2.643.2.2.19 >>> 

Am Ende wird es möglich sein, die Fähigkeiten des fsb795-Pakets zu bewerten, um Informationen über den öffentlichen Schlüssel eines qualifizierten Zertifikats zu erhalten.

Wenn eine Instanz der Zertifikatklasse erfolgreich erstellt wurde, stehen uns Methoden zur Verfügung, mit denen die erforderlichen Daten einfach aus dem Zertifikat abgerufen werden können. Alle Informationen zum öffentlichen Schlüssel erhalten Sie wie folgt:

 >>> c3 = fsb795.Certificate('cert.der') >>> key_info=c3.publicKey() >>> for opt in key_info.keys(): ... val = str(key_info[opt]) ... print (opt + '=' + val) ... curve=1.2.643.2.2.36.0 hash=1.2.643.2.2.30.1 valuepk=5b785f86f0dd5316ba37c8440e398e83f2ec0c34478f90da9c0c8046d341ff66f9044cd00a0e25530 acefd51e6be852dbecacbaabc55e807be8e1f861658bd58 algo=1.2.643.2.2.19 >>> 

Derzeit enthält die Zertifikatklasse die folgenden Methoden:

• subjectSignTool () - gibt eine Zeichenfolge mit dem Namen des Inhabers des Zertifikats für den Schutz kryptografischer Informationen zurück.
• issuerSignTool () - gibt eine Liste von vier Elementen mit kryptografischen Informationstools des Zertifikatsausstellers zurück;
• classUser () - gibt eine Zeichenfolge mit den Oids der Sicherheitsklassen des kryptografischen Informationsschutzzertifikats des Zertifikatsinhabers zurück, getrennt durch die Zeichen ";;";
• issuerCert () - gibt ein Wörterbuch mit Feldern und Werten des unterscheidenden Namens DN des Ausstellers des Zertifikats und einer Nummer zurück, die das Zertifikat identifiziert (2 - juristische Person);
• subjectCert () - gibt ein Wörterbuch mit den Feldern und Werten des definierten Namens DN des Zertifikatsinhabers und einer Nummer zurück, die das Zertifikat identifiziert (2 - juristische Person);
• publicKey () - gibt ein Wörterbuch zurück, das den Schlüsselwert ('valuepk') und die Schlüsselparameter ('Kurve' und 'Hash') enthält.
• signatureCert - gibt zwei Werte zurück: den Signaturalgorithmus und den Signaturwert;
• validityCert - gibt ein Wörterbuch mit zwei Schlüsseln 'not_after' und 'not_before' zurück;
• keyUsage () - gibt eine Liste der Schlüsselbereiche zurück;
• serialNumber () - gibt die Seriennummer des Zertifikats in Dezimalform zurück;
• PrettyPrint () - Gibt eine Zeichenfolge mit einem 'Ausdruck' des Zertifikats in Form von pyasn1 (self.cert_full.prettyPrint ()) zurück.

Der Spoiler enthält ein Testbeispiel, das die Arbeit dieser Methoden deutlich zeigt.


Um ein Testbeispiel auszuführen, führen Sie einfach den folgenden Befehl aus:

 $python test795.py 

Mit dem fsb795-Paket war es selbstverständlich, in Python ein eigenständiges, plattformunabhängiges grafisches Dienstprogramm zum Anzeigen qualifizierter Zertifikate zu schreiben. Das Tkinter-Paket wurde als grafische Unterstützung verwendet:



Das Dienstprogramm viewCertFL63 verfügt über drei Registerkarten. Auf der Registerkarte Über Zertifikat wird unter anderem die aktuelle Uhrzeit angezeigt. Wir werden unten darauf zurückkommen. Um ein Zertifikat auszuwählen, klicken Sie einfach auf die Schaltfläche "Auswählen":



Achten Sie auf die Schaltfläche (diejenigen, die unter Windows arbeiten, sehen diese Schaltfläche nicht), mit der Sie die sogenannten unsichtbaren Dateien / Verzeichnisse (ausgeblendet) ausblenden können. Damit diese Schaltfläche angezeigt wird, müssen die folgenden Befehle ausgeführt werden:

 if sys.platform != "win32": root.tk.call('set', '::tk::dialog::file::showHiddenBtn', '1') root.tk.call('set', '::tk::dialog::file::showHiddenVar', '0') 

Eine sehr nützliche Schaltfläche. Nach Auswahl eines Zertifikats hat die Registerkarte "Über Zertifikat" die folgende Form:



Was hier bemerkenswert ist, ist, dass, wenn das Zertifikat beim Anzeigen des Zertifikats abläuft, das Siegel auf dem Symbol in der oberen linken Ecke in zwei Hälften zerfällt. Jeder kann davon überzeugt sein, indem er die Uhr am Computer ein Jahr im Voraus neu anordnet.
Auf der Registerkarte "Details" können Sie die Merkmale des ausgewählten Attributs eines qualifizierten Zertifikats detailliert anzeigen:



Und schließlich ist die dritte Registerkarte "Text". Diese Registerkarte zeigt den Inhalt des gesamten Zertifikats an:



Zum Anzeigen des Zertifikats können Sie nicht nur Python (die Schaltfläche "Python"), sondern auch die Dienstprogramme openssl und pp der Network Serurity Services (NSS) verwenden. Wenn jemand diese Dienstprogramme nicht hat, kann das erste durch Sammeln von openssl mit Unterstützung für die russische Kryptographie erhalten werden. Bei Verwendung des Dienstprogramms pp sieht die Zertifikatausgabe folgendermaßen aus:



Oben haben wir das formatCert-Attribut der Certificate-Klasse des fsb795-Pakets erwähnt. Daher benötigen wir den Wert dieses Attributs, um das Format der Datei mit dem Zertifikat anzugeben, wenn dieses oder jenes Dienstprogramm ausgeführt wird. Das Aufrufen des Dienstprogramms pp mit dem PEM-Dateiformat sieht beispielsweise folgendermaßen aus:

 $pp –tc –u –a –i < > 

Die Option -a gibt das Format der PEM-Datei an. Für das DER-Format ist es nicht angegeben.
Der Parameter "–inform" für openssl wird auf die gleiche Weise eingestellt.
Mit der Schaltfläche Dienstprogramm wird der Pfad zu den Dienstprogrammen openssl oder pp angegeben.
ViewCertFL63-Dienstprogrammverteilungen finden Sie hier .
Distributionen wurden mit dem Pyinstaller-Paket erstellt:

 $python pyinstaller.py --noconsole -F viewCertFL63.py