🧑🏼‍🤝‍🧑🏻 🌑 👆🏾 PKCS # 11 क्रिप्टोग्राफिक क्लाउड सेवा: मिथक से वास्तविकता तक ⤵️ 🆔 🚥

2016 में, "PKCS # 11 क्लाउड टोकन - मिथक या वास्तविकता" लेख प्रकाशित हुआ था। । छह महीने बाद, और अब इंटरनेट पर, एक क्लाउड (क्लाउड सेवा) दिखाई दिया, जिसमें किसी को भी रूसी क्रिप्टोग्राफी के समर्थन के साथ एक व्यक्तिगत PKCS # 11 क्लाउड टोकन मिल सकता है।

प्रस्तावना

स्मरण करो कि PKCS # 11 (क्रिप्टोकरेंसी) आरएसए प्रयोगशालाओं द्वारा क्रिप्टोग्राफिक टोकन, स्मार्ट कार्ड और अन्य समान उपकरणों के साथ कार्यक्रमों की बातचीत के लिए विकसित एक मानक है जो एकीकृत सॉफ्टवेयर इंटरफेस का उपयोग करके पुस्तकालयों के माध्यम से लागू किया जाता है।

क्रिप्टोग्राफिक टोकन सर्टिफिकेट और प्रमुख जोड़े (सार्वजनिक और निजी कुंजी) का भंडारण प्रदान करते हैं, साथ ही क्रिप्टोग्राफिक संचालन पीकेसीएस # 11 मानक के अनुसार करते हैं।

इसलिए, इंटरनेट पर, क्लाउड सेवा LS11CLOUD दिखाई दी, जो PKCS # 11 मानक v.2.40 का एक क्लाउड कार्यान्वयन है, जो कि मानकीकरण के लिए तकनीकी समिति ( टीसी 26 ) "क्रिप्टोग्राफिक सूचना संरक्षण" द्वारा विकसित विनिर्देशों के अनुसार रूसी क्रिप्टोग्राफ़िक एल्गोरिदम के लिए समर्थन द्वारा पूरक है। LS11CLOUD क्लाउड सेवा एल्गोरिदम GOST R 34.10-2012, GOST R 34.11-2012, GOST R 34.12-2015 और GOST R 34.13-2015, साथ ही संबंधित एल्गोरिथम और मानकों का समर्थन करता है जो TC 26 के शासी दस्तावेजों द्वारा परिभाषित किया गया है।

क्लाउड टोकन का निस्संदेह लाभ यह है कि अब उपयोगकर्ता को टोकन / स्मार्ट कार्ड ले जाने की आवश्यकता नहीं है, इसकी सुरक्षा का ध्यान रखें। क्लाउड में एक व्यक्तिगत टोकन होने पर, एक उपयोगकर्ता अपने घर के कंप्यूटर, लैपटॉप और मोबाइल डिवाइस से इस तक पहुंच प्राप्त कर सकता है।

एन्क्रिप्टेड नेटवर्क चैनल पर क्रिप्टोग्राफ़िक ऑब्जेक्ट (टोकन) के संरक्षित व्यक्तिगत कंटेनर के साथ सुरक्षित रिमोट इंटरैक्शन टीसी 26 द्वारा अनुशंसित एसईएसपीकेई (सुरक्षा मूल्यांकन मानकीकृत पासवर्ड-प्रमाणित कुंजी एक्सचेंज) प्रमाणीकरण प्रोटोकॉल का उपयोग करके हासिल किया जाता है।

उपयोगकर्ता पक्ष पर, मानक कार्यक्षमता ls11cloud गतिशील लाइब्रेरी द्वारा मानक pkcs # 11 प्रोग्रामिंग इंटरफ़ेस के साथ प्रदान की जाती है। व्यक्तिगत क्लाउड टोकन प्राप्त करने के लिए, उपयोगकर्ता को LS11CLOUD क्लाउड सेवा पर पंजीकरण करना होगा, और फिर क्लाउड सेवा पर व्यक्तिगत टोकन को इनिशियलाइज़ और कॉन्फ़िगर करना होगा।

क्लाउड सेवा पर उपयोगकर्ता पंजीकरण

शुरू करने के लिए, हम ध्यान दें कि LS11CLOUD क्लाउड टोकन pkcs11.ru पर स्थित है और पोर्ट 4444 के लिए अनुरोध स्वीकार करता है।

जैसा कि पहले ही उल्लेख किया गया है, सर्वर पर उपयोगकर्ता पंजीकरण और उसके खाते का रखरखाव ls11cloud_config उपयोगिता द्वारा किया जाता है:

$ ./ls11cloud_config LS11CLOUD User Utility Usage: ls11cloud_config <command> [-p <password>] [-n <new password>] NB: Use -n <new password> with change_pswd command only! Commands: register <host> <port> <id> - register new user on the server duplicate <host> <port> <id> - duplicate user account on other computer change_pswd - change SESPAKE authentication password status - display current configuration data log - display server log file recreate - re-create token to initial empty state unregister - remove all user files from the server NB: Don't use non-latin letters to avoid encoding problems! $

उपयोगकर्ता को पंजीकृत करते समय, क्लाउड सेवा का स्थान ("होस्ट" फ़ील्ड), पोर्ट ("पोर्ट" फ़ील्ड) जिसके माध्यम से बाहरी दुनिया के साथ संचार किया जाता है, और उपयोगकर्ता का उपनाम ("आईडी" फ़ील्ड) इंगित किया जाता है:

  bash-4.3$ ls11cloud_config register pkcs11.ru 4444 HABRAHABR

लिनक्स, विंडोज और ओएस एक्स (मैकओएस) प्लेटफार्मों से पंजीकरण के लिए, इस उपयोगिता के लिए एक सहज ज्ञान युक्त guils11cloud_conf इंटरफ़ेस के साथ एक ग्राफिकल उपयोगिता है:

उपयोगकर्ता वितरण प्राप्त कर सकता है

यहां:

तो, चलिए PKCS # 11 क्लाउड टोकन में रूसी क्रिप्टोग्राफी के कार्यान्वयन का परीक्षण शुरू करते हैं।
डाउनलोड करने के बाद, आपको guils11cloud_conf चित्रमय उपयोगिता को चलाना चाहिए और उसके निर्देशों का पालन करना चाहिए:

यदि आपने इस कार्य केंद्र से क्लाउड टोकन के साथ पंजीकरण नहीं किया है, तो आपको टोकन बनाने के लिए प्रेरित किया जाएगा या पहले बनाए गए से कनेक्ट किया जाएगा (स्क्रीनशॉट देखें)। क्लाउड में प्रारंभिक पंजीकरण के लिए, "क्लाउड में पंजीकरण करें" बटन पर क्लिक करें:

"उपयोगकर्ता लॉगिन" वह लॉगिन है जिसके तहत उपयोगकर्ता क्लाउड में पंजीकृत होगा।
उपयोगकर्ता को क्लाउड में अपने व्यक्तिगत टोकन से एप्लिकेशन से सुरक्षित चैनल (SESPAKE प्रोटोकॉल) बनाने के लिए पासवर्ड की आवश्यकता होती है। जब भी कोई उपयोगकर्ता क्लाउड में टोकन एक्सेस करता है, तब तक पासवर्ड का अनुरोध किया जाएगा, जब तक कि वह क्लाउड में सफल पंजीकरण के तुरंत बाद उसे सहेज न ले:

सफल उपयोगकर्ता पंजीकरण के बाद, SO-PIN 87654321 के साथ एक नया टोकन उसके लिए बनाया जाएगा:

टोकन प्रारंभिक

"ओके" बटन पर क्लिक करने के बाद, एक फॉर्म दिखाई देगा जिसमें टोकन लेबल को इंगित करना आवश्यक होगा (डिफ़ॉल्ट रूप से, यह उपयोगकर्ता के क्लाउड में लॉग इन से मेल खाता है) और पिन कोड जिससे उपयोगकर्ता क्लाउड टोकन तक पहुंच जाएगा:

"फिनिश" बटन पर क्लिक करने के बाद, क्लाउड टोकन काम करने के लिए तैयार है:

भविष्य में, p11conf उपयोगिता का उपयोग क्लाउड टोकन को कॉन्फ़िगर करने के लिए किया जाता है जैसे कि किसी भी अन्य PKCS # 11 टोकन / स्मार्टफ़ोन के लिए:

यदि आप किसी अन्य कंप्यूटर पर बनाए गए क्लाउड टोकन का उपयोग करना चाहते हैं, तो, निश्चित रूप से, आपको बस इतना करना होगा कि ग्राफिकल यूटिलिटी guils11cloud_config चलाएं और "डुप्लीकेट टोकन" बटन पर क्लिक करें:

उसके बाद, लॉगिन याद रखें जिसके तहत आप क्लाउड में पंजीकृत हैं और एक्सेस के लिए पासवर्ड। "समाप्त" बटन पर क्लिक करके, आप अपने टोकन तक पहुंच प्राप्त करेंगे:

क्लाउड टोकन में पहला व्यक्तिगत प्रमाणपत्र स्थापित करना

अब जब हमने क्लाउड में पंजीकरण कर लिया है और इसमें अपना व्यक्तिगत क्लाउड टोकन बनाया है, तो हम इसका उपयोग शुरू कर सकते हैं। परीक्षण के लिए, चलो Redfox-52 ब्राउज़र और Redfoxmail-52 ईमेल क्लाइंट, जो कि मोज़िला फ़ायरफ़ॉक्स और मोज़िला थंडरबर्ड पर आधारित हैं, PKCS # 11 टोकन / स्मार्ट कार्ड पर रूसी क्रिप्टोग्राफी के समर्थन के साथ हैं।

हम WIN32 प्लेटफॉर्म पर परीक्षण करेंगे।

सबसे पहले आपको Redfox-52 को डाउनलोड और इंस्टॉल करना होगा। Redfox ब्राउज़र को स्थापित करने के लिए, आपको संग्रह डाउनलोड करने और इसे अनज़िप करने की आवश्यकता है।

अनजिप मोज़िला फ़ायरफ़ॉक्स फ़ोल्डर को सुविधाजनक स्थान पर ले जाएं। फिर फ़ायरफ़ॉक्स.exe निष्पादन योग्य फ़ाइल (मोज़िला फ़ायरफ़ॉक्स फ़ोल्डर के अंदर स्थित) के लिए एक शॉर्टकट बनाएं और इसे किसी भी सुविधाजनक स्थान पर रखें।

ब्राउज़र लॉन्च करने के बाद, आपको डिवाइसों में ls11cloud.dll लाइब्रेरी को जोड़कर बनाए गए क्लाउड टोकन को कनेक्ट करना होगा:

कृपया ध्यान दें कि MS Windows के लिए ब्राउज़र वितरण Win32 प्लेटफ़ॉर्म के लिए बनाया गया है। इसलिए, Win32 प्लेटफॉर्म के लिए ls11cloud.dll लाइब्रेरी को भी लिया जाना चाहिए।

क्रिप्टोग्राफ़िक उपकरणों के बीच एक क्लाउड टोकन शामिल करने के बाद, जिसके साथ ब्राउज़र काम करता है, हम इसका परीक्षण करना शुरू कर सकते हैं। पहले चरण में, आपको कम से कम एक व्यक्तिगत प्रमाण पत्र प्राप्त करना होगा। ऐसा करने के लिए, हम एक परीक्षण CA की सेवाओं का उपयोग करते हैं:

जब आप जारी रखें बटन पर क्लिक करते हैं, तो CA एप्लिकेशन डेटा को सत्यापित करने की पेशकश करेगा, और फिर एक कुंजी जोड़ी उत्पन्न करने और एक व्यक्तिगत प्रमाणपत्र संग्रहीत करने के लिए एक क्रिप्टोग्राफ़िक डिवाइस (टोकन / स्मार्ट कार्ड) का चयन करें:

स्वाभाविक रूप से, एक क्लाउड टोकन चुना जाता है और "जारी रखें" बटन पर क्लिक करने के बाद, आपको न केवल अपने आवेदन द्वारा उत्पन्न एक व्यक्तिगत प्रमाण पत्र प्राप्त करने के लिए प्रेरित किया जाएगा, बल्कि सीए रूट प्रमाणपत्र को स्थापित / सहेजने के लिए भी किया जाएगा:

आप ब्राउज़र प्रमाणपत्र स्टोर देखकर प्रमाणपत्र स्थापना की पुष्टि कर सकते हैं:

परीक्षण HTTPS और PKCS # 12

तो, क्लाउड टोकन तंत्र काम करते हैं। अब रूसी एन्क्रिप्शन पर अधिकृत https मोड में क्लाउड टोकन के संचालन की जांच करें:

CryptoPro परीक्षण पृष्ठों पर क्लाउड टोकन के संचालन का परीक्षण करने के लिए , हम पहले CryptoPro परीक्षण केंद्र में प्राप्त परीक्षण प्रमाणपत्र का उपयोग करेंगे और PKCS # 12 कंटेनर पर अपलोड किए जाएंगे। सबसे पहले आपको PKCS # 12 प्रारूप में प्रमाणपत्र डाउनलोड करना होगा और इसे क्लाउड टोकन पर स्थापित करना होगा (PKCS # 12 कंटेनर के लिए पासवर्ड 01234567 है):

भंडारण उपकरण के रूप में, आपको एक क्लाउड टोकन चुनना होगा:

फिर आपको PKCS # 12 के टोकन, पासवर्ड तक पहुंचने के लिए एक पिन दर्ज करना होगा। नतीजतन, प्रमाणपत्र टोकन पर होगा:

उसी समय, क्रिप्टोप्रो CA के रूट प्रमाणपत्र में विश्वास के स्तर को सेट करने के लिए मत भूलना:

अब आप सुरक्षित रूप से CryptoPro परीक्षण पृष्ठों पर जा सकते हैं, उदाहरण के लिए , यहाँ :

सुरक्षित ईमेल पत्राचार को व्यवस्थित करने के लिए क्लाउड टोकन का उपयोग करना

अब देखते हैं कि Redfoxmail / Thunderbird मेल क्लाइंट में क्लाउड टोकन कैसे काम करता है।
WIN32 प्लेटफ़ॉर्म पर मोज़िला थंडरबर्ड मेल क्लाइंट को स्थापित करने के लिए, आपको थंडरबर्ड -52.0-गॉस्ट संग्रह डाउनलोड करने और इसे अनज़िप करने की आवश्यकता है। अनजिप मोज़िला थंडरबर्ड फ़ोल्डर को सुविधाजनक स्थान पर ले जाएं।

फिर thunderbird.exe निष्पादन योग्य फ़ाइल (मोज़िला थंडरबर्ड फ़ोल्डर के अंदर स्थित) के लिए एक शॉर्टकट बनाएं और उन्हें किसी भी सुविधाजनक स्थान पर रखें। मेल क्लाइंट शुरू करने के बाद, हम क्लाउड टोकन को कनेक्ट करते हैं, जैसा कि हमने Redfox ब्राउज़र के लिए किया था:

क्लाउड टोकन कनेक्ट करने के बाद, उस पर संग्रहीत प्रमाण पत्र उपलब्ध हो जाएंगे। लेकिन यह पर्याप्त नहीं हो सकता है - सीए रूट प्रमाण पत्र स्थापित करना आवश्यक है, जिस पर व्यक्तिगत प्रमाण पत्र जारी किए जाते हैं। यही कारण है कि हमने रिलीज के दौरान रूट प्रमाणपत्र को बचाया:

अब खाता सेटिंग्स में आपको एक प्रमाणपत्र स्थापित करने की आवश्यकता होती है जिसका उपयोग अक्षरों पर हस्ताक्षर करने और एन्क्रिप्ट करने के लिए किया जाएगा:

अब आप सुरक्षित रूप से अपने संदेशों पर हस्ताक्षर कर सकते हैं:

यह संदेश रूसी क्रिप्टोग्राफी का समर्थन करने वाले किसी भी ईमेल क्लाइंट द्वारा स्वीकार किया जा सकता है, उदाहरण के लिए, केमैल :

निष्कर्ष

तो, हम कह सकते हैं कि मिथक एक वास्तविकता बन रहा है। LS11CLOUD क्लाउड टोकन का मुख्य दायरा आंतरिक दस्तावेज़ प्रबंधन, सुरक्षित मेल और बैंकिंग हो सकता है।
अपने क्लाउड टोकन के साथ क्लाउड सेवा LS11CLOUD PKCS # 11 टोकन / स्मार्टकार्ड का उपयोग करके एप्लिकेशन डेवलपर्स के लिए बहुत उपयोगी हो सकती है।

PS मैंने अपना व्यक्तिगत प्रमाणपत्र क्लाउड टोकन में डाला, इसे सार्वजनिक सेवा प्लगइन से जोड़ा और GOSUSLOG पोर्टल के माध्यम से कर ऋण का भुगतान किया। OC - लिनक्स।

PKCS # 11 क्रिप्टोग्राफिक क्लाउड सेवा: मिथक से वास्तविकता तक