🐯 🐚 🧘 सार्वजनिक कुंजी अवसंरचना: योग्य प्रमाणपत्र अनुरोध जनरेशन उपयोगिता 👨‍👩‍👦 🈴 🧑🏾‍🤝‍🧑🏾

सार्वजनिक कुंजी अवसंरचना (पीकेआई / पीकेआई) की केंद्रीय वस्तुओं में से एक कुंजी जोड़ी के साथ एक प्रमाण पत्र है, जो आज वास्तव में एक नागरिक पासपोर्ट का एक एनालॉग है।

उनके हाथों में एक प्रमाण पत्र होने से, एक नागरिक राज्य सेवा पोर्टल तक पहुंच प्राप्त कर सकता है, कर का भुगतान कर सकता है, अपने ईमेल , हस्ताक्षर और एन्क्रिप्ट दस्तावेजों की रक्षा कर सकता है, और बहुत कुछ।

एक प्रमाण पत्र, पासपोर्ट की तरह, एक आवेदन और कई दस्तावेजों के प्रावधान के आधार पर जारी किया जाता है। एक प्रमाण पत्र प्राप्त करने के लिए दस्तावेजों की सूची किसी भी प्रमाणन केंद्र पर है जिसे संचार मंत्रालय (नया नाम डिजिटल विकास, दूरसंचार और जन संचार मंत्रालय) द्वारा मान्यता प्राप्त है । पासपोर्ट के लिए आवेदन में आवेदक का हस्तलिखित हस्ताक्षर है। पासपोर्ट प्राप्त होने पर, आवेदक पासपोर्ट पर अपना हस्ताक्षर करेगा, जिसे पासपोर्ट कार्यालय के कर्मचारी और आधिकारिक स्टाम्प द्वारा प्रमाणित किया जाएगा। फ़ोटो और मालिक की क्षमता उसके हस्ताक्षर को पुन: पेश करने और उसे एक विशिष्ट पासपोर्ट के मालिक के रूप में पहचाने जाने की अनुमति देती है।

एक समान योजना का उपयोग इलेक्ट्रॉनिक हस्ताक्षर सत्यापन कुंजी (SKEPEP) का प्रमाण पत्र प्राप्त करने के लिए किया जाता है। सबसे पहले, एक नागरिक जो एक प्रमाण पत्र प्राप्त करना चाहता है उसे अपने स्वयं के हस्ताक्षर की पुष्टि करने में "कौशल" प्राप्त करना चाहिए। सार्वजनिक कुंजी या इलेक्ट्रॉनिक हस्ताक्षर सत्यापन कुंजी (KEPP) और निजी कुंजी या इलेक्ट्रॉनिक हस्ताक्षर कुंजी, जिसमें वास्तव में, आप इलेक्ट्रॉनिक हस्ताक्षर उत्पन्न करने और इलेक्ट्रॉनिक दस्तावेज़ पर हस्ताक्षर करने की अनुमति देते हैं, एक प्रमुख जोड़ी के आवेदक द्वारा रसीद के माध्यम से इस "कौशल" को महसूस किया जाता है। दस्तावेज़ के तहत इलेक्ट्रॉनिक हस्ताक्षर की पहचान निम्नलिखित एल्गोरिथम के अनुसार की जाती है। प्रमाण पत्र से यह निर्धारित होता है कि किस कुंजी (GOST R 34.10-2001, GOST R 34.10-2012 में 64 या 128 बाइट्स की एक प्रमुख लंबाई के साथ) दस्तावेज़ पर हस्ताक्षर किए गए थे। कुंजी का प्रकार हैशिंग एल्गोरिथ्म को निर्धारित करता है जिसका उपयोग दस्तावेज़ पर हस्ताक्षर करते समय किया गया था। यह GOST R 34.11-94 या GOST R 34.11-2012 हो सकता है जिसकी लंबाई 256 या 512 बिट है। चयनित एल्गोरिथम के अनुसार, स्रोत दस्तावेज़ से हैश माना जाता है। और स्रोत दस्तावेज़, सार्वजनिक कुंजी (KEPP) और उसके मापदंडों से गणना की गई हैश के मूल्य से (यह सब SKEPEP प्रमाणपत्र से लिया गया है), दस्तावेज़ के तहत इलेक्ट्रॉनिक हस्ताक्षर की प्रामाणिकता की जाँच की जाती है।

एक महत्वपूर्ण जोड़ी बनाने के लिए, क्रिप्टोग्राफ़िक सूचना सुरक्षा (CPSI) के विभिन्न साधनों का उपयोग किया जाता है जो क्रिप्टोग्राफ़िक एल्गोरिदम GOST R 34.10-2001 और GOST R 34.10-2012 का समर्थन करते हैं। यह याद रखना चाहिए कि 31 दिसंबर, 2018 के बाद हस्ताक्षर बनाने के लिए GOST R 34.10-2001 हस्ताक्षर योजना का उपयोग करने की अनुमति नहीं है! क्रिप्टोग्राफिक सूचना सुरक्षा उपकरण जो विभिन्न क्रिप्टोग्राफिक एल्गोरिदम और प्रोटोकॉल को लागू करते हैं, सॉफ्टवेयर और हार्डवेयर दोनों हो सकते हैं। क्रिप्टोग्राफिक सूचना संरक्षण तक पहुंच क्रिप्टोग्राफिक इंटरफेस के माध्यम से की जाती है। रूसी क्रिप्टोग्राफी के साथ प्रमाणित क्रिप्टोग्राफ़िक सूचना सुरक्षा प्रणालियों का अधिकांश हिस्सा या तो यूनिवर्सल PKCS # 11 क्रिप्टोग्राफ़िक इंटरफ़ेस का समर्थन करता है, जो सभी प्लेटफार्मों पर समर्थित है, या एमएस विंडोज प्लेटफॉर्म पर Microsoft CSP और CryptoAPI इंटरफ़ेस (बाद में MS CSP के रूप में जाना जाता है)। यह ये दो क्रिप्टोग्राफिक इंटरफेस हैं जो राज्य सेवा पोर्टल द्वारा, उदाहरण के लिए समर्थित हैं। इन दो प्रकार के क्रिप्टोग्राफिक सूचना संरक्षण पर आगे विचार किया जाएगा:

यह ध्यान में रखा जाना चाहिए कि यदि विंडोज प्लेटफॉर्म पर न केवल इलेक्ट्रॉनिक हस्ताक्षर के साथ काम करने की इच्छा या आवश्यकता है, बल्कि अन्य प्लेटफार्मों (लिनक्स, मैकओएस, आदि) पर भी है, तो PKCS # 11 टोकन को रूसी क्रिप्टोकरंसी के समर्थन के साथ चुना जाना चाहिए।

अनुरोध बनाने से संबंधित मुख्य कार्य के अलावा, उपयोगिता टोकन और प्रमाण पत्र के साथ काम करने के लिए कार्य प्रदान करती है:

संयुक्त क्षेत्र (कॉम्बोबॉक्स) "एक टोकन का चयन करें:" मुख्य विंडो पर एक महत्वपूर्ण जोड़ी बनाने के लिए उपलब्ध क्रिप्टोग्राफिक सूचना सुरक्षा उपकरण की एक सूची है। यदि विंडोज क्रांप्टोग्राफी पर अनुरोध जनोपयोगी उपयोगिता चल रही है और उस पर रूसी क्रिप्टोग्राफी के समर्थन के साथ सीएसपी क्रिप्टोग्राफिक प्रदाता स्थापित हैं, तो वर्चुअल MS_CSP टोकन उपलब्ध क्रिप्टोग्राफिक सूचना सुरक्षा उपकरण ("टोकन का चयन करें") की सूची में परिभाषित किया जाएगा। इसलिए, यदि एमएस सीएसपी क्रिप्टोग्राफिक प्रदाता का उपयोग करने की इच्छा है, तो इसे उपयोगिता शुरू करने से पहले सिस्टम पर स्थापित किया जाना चाहिए।

नए PKCS # 11 टोकन के लिए समर्थन जोड़ने के लिए, बस मेनू आइटम "टोकन प्रबंधन-> टोकन जोड़ें" चुनें। नए टोकन के लिए समर्थन जोड़ना प्लग-इन प्रकार के टोकन / स्मार्ट कार्ड के लिए PKCS # 11 पुस्तकालय को चुनना और एक सुविधाजनक नाम (उपनाम) सेट करना है। एक नए प्रकार के टोकन के लिए समर्थन जोड़ने (साथ ही उपयोगिता शुरू करते समय, यदि टोकन समर्थन पहले जोड़ा गया था) एक जुड़े हुए (सम्मिलित) टोकन के साथ, इसे एक्सेस करने के लिए एक पिन कोड की आवश्यकता होगी:

लेकिन यह केवल तभी होगा जब टोकन न केवल जुड़ा हुआ है, बल्कि काम करने की स्थिति में भी है, अर्थात। प्रारंभ। टोकन की जांच करें और यदि आवश्यक हो, तो इसे प्रारंभ करें, इसे एक्सेस करने के लिए पिन कोड बदलें, आदि। सुविधा के साथ p11conf उपयोगिता:

"टोकन मैनेजमेंट-> टोकन मैकेनिज्म" आइटम का चयन करके, आप एक विशेष टोकन के क्रिप्टोग्राफिक तंत्र को देख सकते हैं, उदाहरण के लिए, क्या GOST R 34.10-2012 एल्गोरिथ्म के लिए समर्थन है। वर्चुअल टोकन MS_CSP के लिए, GOST एल्गोरिदम के लिए समर्थन और उनके द्वारा समर्थित तंत्रों के साथ सभी CSP प्रदाता सूचीबद्ध हैं:

यदि चयनित टोकन कुंजी जोड़ी के चयनित प्रकार का समर्थन नहीं करता है, तो एक संबंधित संदेश प्रदर्शित किया जाएगा:

अनुरोध फ़ील्ड में भरने के लिए सीधे आगे बढ़ने से पहले, यह तय करना आवश्यक है कि किस उद्देश्य के लिए प्रमाण पत्र की आवश्यकता है, अर्थात्। "प्रमाणपत्र की भूमिका निर्दिष्ट करें। आज, इस तरह की भूमिकाओं में एक दर्जन से अधिक जमा हुए हैं:

और प्रत्येक भूमिका प्रमाणपत्र में शामिल कई अलग-अलग ओआईडी से जुड़ी हुई है। इसलिए, उदाहरण के लिए, सार्वजनिक सेवाओं के पोर्टल तक पहुँचने के लिए निम्नलिखित ओड्स की आवश्यकता होती है:

{} {clientAuth, emailProtection, 1.3.6.1.4.1.311.20.2.2, 1.2.643.100.2.1, 1.2.643.2.2.34.6, 1.3.6.1.5.5.7.3.2, 1.3.6.1.5.5.7.3.4, 1.2.643.5.1.24.2.1.3, 1.2.643.6.14, 1.2.643.3.215.4, 1.2.643.3.215.5, 1.2.643.3.215.6, 1.2.643.3.215.7, 1.2.643.3.215.8, 1.2.643.3.215.9, 1.2.643.3.215.11, 1.2.643.3.215.12, 1.2.643.3.215.13, 1.3.6.1.4.1.40870.1.1.1, 1.2.643.2.64.1.1.1, 1.2.643.3.5.10.2.12, 1.2.643.6.3.2, 1.2.643.5.1.24.2.46, 1.2.643.6.45.1.1.1, 1.2.643.5.1.24.2.30, 1.2.643.5.1.28.2, 1.2.643.5.1.28.3, 1.2.643.3.202.1.8}

अन्य भूमिकाओं के लिए ओआईडी (उदाहरण के लिए, "गज़प्रॉमबैंक साइट", "अल्कोहल कंज्यूमर", आदि) उपयोगिता स्रोत कोड (चर oid_roles_bad, ऑपरेटर) में पाया जा सकता है:

 set oid_roses_bad {. . .}

)।
इतने सारे oids की उपस्थिति को समझना मुश्किल है। हम योग्य प्रमाणपत्रों के बारे में बात कर रहे हैं, जिसमें ओआईडी टीआईएन, पीएसआरएन, एसएनआईएलएस, आदि हैं, जो विशिष्ट रूप से एक व्यक्ति और कानूनी इकाई दोनों की पहचान करते हैं और ऐसा लगता है, यह राज्य सेवाओं के पोर्टल, और अन्य को एक्सेस करने के लिए पर्याप्त होगा। भी। लेकिन, ड्यूरा लेक्स, सेड लेक्स - कानून कठोर है, लेकिन यह एक कानून है।

"सीआईपीएफ के नाम" फ़ील्ड में, सीआईपीएफ (टोकन / स्मार्ट कार्ड, सीएसपी) के नाम को इंगित करना आवश्यक है, जो रूस की संघीय सेवा या इसी तरह के अन्य दस्तावेज के अनुरूपता के प्रमाण पत्र (एक्स 509 प्रमाण पत्र के साथ भ्रमित नहीं होना) में लिखा गया है, जिसकी एक प्रति CIPF की खरीद के समय प्रदान की जानी चाहिए। इसके बाद, इस क्षेत्र का मान प्रमाण पत्र में शामिल किया जाएगा।

इसलिए, क्रिप्टोग्राफ़िक सूचना सुरक्षा प्रणाली और प्रमुख जोड़ी पर निर्णय लेने के बाद, आप इलेक्ट्रॉनिक हस्ताक्षर सत्यापन कुंजी (SKEPEP) के प्रमाण पत्र के लिए इलेक्ट्रॉनिक एप्लिकेशन / अनुरोध भरने के लिए आगे बढ़ सकते हैं:

भरा जाने वाला पहला क्षेत्र "सामान्य नाम" है, जिसमें भविष्य के प्रमाण पत्र धारक का पूरा नाम दर्ज किया गया है। किसी व्यक्ति के लिए, पासपोर्ट में यह पूरा नाम है। एक कानूनी इकाई के लिए, यह रजिस्टर से कंपनी का नाम है। कानूनी इकाई के लिए यह जानकारी स्वचालित रूप से "संगठन का नाम" ("O") क्षेत्र में दोहराई जाएगी:

फॉर्म भरते समय, TIN, BIN, SNILS फ़ील्ड भरने की शुद्धता की जाँच की जाती है (जब आप एक नंबर दर्ज करते हैं, तो फ़ील्ड लाल हो जाता है, सही ढंग से भरे हुए फ़ील्ड हरे रंग में बदल जाते हैं), ईमेल पते:

सभी अनुरोध फ़ील्ड भरने और "समाप्त" बटन पर क्लिक करने के बाद, अंत में एक प्रमाणपत्र अनुरोध प्राप्त होगा:

अनुरोध बनाने की प्रक्रिया में, चयनित टोकन पर एक प्रमुख जोड़ी उत्पन्न होगी। उसी समय, यदि वर्चुअल टोकन "MS_CSP" को टोकन के रूप में चुना जाता है, जो बदले में, कुंजी जोड़ी को संग्रहीत करने के लिए विभिन्न मीडिया का समर्थन करता है, तो यह एक विशिष्ट माध्यम चुनने का प्रस्ताव होगा:

याद रखें कि एक प्रमुख जोड़ी में दो कुंजी होती हैं: निजी और सार्वजनिक। सार्वजनिक कुंजी, जिसे इलेक्ट्रॉनिक हस्ताक्षर सत्यापन कुंजी भी कहा जाता है, को प्रमाणपत्र अनुरोध पर भेजा जाता है। जनरेट किए गए अनुरोध को देखने के लिए, जिसमें सार्वजनिक कुंजी है, मेनू "प्रमाण पत्र-> देखें अनुरोध" का उपयोग करें:

निजी कुंजी आवेदक के पास अपने टोकन पर रहती है, पिन कोड (पासवर्ड) जिसमें से उसकी आंख के सेब के रूप में संग्रहीत किया जाना चाहिए। और चूंकि सार्वजनिक और निजी कुंजियों के बीच एक अस्पष्ट पत्राचार है , आप हमेशा यह देख सकते हैं कि प्रमाणपत्र अनुरोध का मालिक कौन है, और बाद में प्रमाण पत्र, दस्तावेज़ पर हस्ताक्षर आदि।

अब सभी आवश्यक दस्तावेजों के साथ, फ्लैश ड्राइव पर उत्पन्न अनुरोध के साथ, आप निकटतम प्रमाणन केंद्र पर जा सकते हैं और एक प्रमाण पत्र प्राप्त कर सकते हैं। इसलिए, अनुरोध CA के एक प्रमाण पत्र को जारी करने के लिए आता है, जिसे 6 अप्रैल, 2011 के संघीय कानून को ध्यान में रखते हुए बनाया गया था। 63- "इलेक्ट्रॉनिक हस्ताक्षर पर":

इस अनुरोध के लिए CA का अनुरोध आयात, समीक्षा, अनुमोदन और प्रमाणपत्र जारी करने के चरणों से गुजरेगा:

जारी प्रमाण पत्र सीए सेवाओं में से एक पर प्रकाशित किया जाएगा, जहां से इसे डाउनलोड किया जा सकता है। और अब आवेदक की फ्लैश ड्राइव को जारी किए गए प्रमाण पत्र के लिए यह पर्याप्त है:

और अब, जब प्रमाण पत्र प्राप्त होता है, तो इसे CIPF (PKCS # 11, MS CSP) (प्रमाणपत्र-> आयात x509) पर रखना होता है:

यह सत्यापित करने के लिए कि प्रमाणपत्र टोकन पर स्थित है, आप टोकन / स्मार्ट कार्ड की सामग्री देख सकते हैं (प्रमाणपत्र-> टोकन पर x509 देखें):

ठीक है, ताकि यह "कवच" था (मुझे ऐसा पेपर दे दो! अंतिम पेपर, कवच। (डॉग हार्ट सी / एफ)), रूसी क्रिप्टोग्राफी के समर्थन के साथ फ़ायरफ़ॉक्स ब्राउज़र को टोकन कनेक्ट करें और जारी किए गए प्रमाण पत्र को व्यक्तिगत प्रमाणपत्रों में ढूंढें (ऐसे प्रमाण पत्र सहित) जिसके लिए टोकन की एक निजी कुंजी है):

TCS / Tk पर CreateCSRCAFL63 उपयोगिता विकसित हुई। MS CSP और PKCS # 11 टोकन के क्रिप्टोग्राफ़िक फ़ंक्शंस तक पहुंचने के लिए, cwapi पैकेज विकसित किया गया है जो Tcl द्वारा C पुस्तकालयों के लिए आवश्यकताओं को लागू करता है। इन आवश्यकताओं को लागू करना मुश्किल नहीं है , लेकिन कभी-कभी इसकी दिनचर्या के कारण बहुत समय लगता है। और यहाँ सार्वजनिक उपयोगिता SWIG बचाव के लिए आती है । , जो आपको C / C ++ पुस्तकालयों और अन्य भाषाओं के बीच इंटरफ़ेस मॉड्यूल बनाने की अनुमति देता है। यह न केवल Tcl है, बल्कि जावा और अन्य भी है। परियोजना बहुत अच्छी तरह से प्रलेखित है और इसके महान उदाहरण हैं। इसका उपयोग करना मुश्किल नहीं है। हमारे मामले में, इंटरफ़ेस मॉड्यूल प्राप्त करने के लिए, एक साधारण स्रोत फ़ाइल cwapi.i को swig उपयोगिता के लिए लिखा गया था:

 %module cwapi %inline %{ #include "cwapi.h" %} %include "cwapi_SWIG.h"

Cwapi.h फ़ाइल में मुख्य cwapi प्रोजेक्ट के कार्यों का विवरण है:

 #ifdef __cplusplus extern "C" { #endif int CW_Initialize (char *configdir); int CW_Finalize (); int addp11mod (char *nickname, char *library); int remp11mod (char *nickname); char * lmod (); char * ltok (); char * lcert (char *token, int priv_cert); char* createreq (char *token, char *subject, char *keyusage, int keyparams, int pem, char *skzi, char* role); char* viewx509 (char *nickname, int CertOrReq); char* x509pem (char *nickname); char* x509fromfile(char *token, char *infile, char *trusts); int delcert (char *nickname, int priv_cert); int p12tofile (char *token, char *nickname, char *outfile); char* p12fromfile(char *token, char *infile); char* lmech(char* token); char* tinfo(char* token); #ifdef __cplusplus } #endif

कमांड चलाकर:

 $export SWIG_LIB=/usr/local/swig-3.0.12/Lib $/usr/local/swig-3.0.12/swig -tcl8 -o cwapi_wrap.c cwapi_.i $

फ़ाइल cwapi_wrap.c में हमें एक तैयार-निर्मित इंटरफ़ेस मॉड्यूल मिलता है। इसे cwapi प्रोजेक्ट में जोड़ें, इसका पुनर्निर्माण करें और एक नया पैकेज प्राप्त करें, जिसका उपयोग इस उपयोगिता में किया जाता है।
वितरण किट प्राप्त करने के लिए, फ़्रीवैप उपयोगिता का उपयोग करना बहुत सुविधाजनक है, जबकि वितरण पैकेज में सीधे तौर पर cwapi लाइब्रेरी भी शामिल है। स्रोत कोड उपयोगिताओं और वितरण विंडोज और लिनक्स प्लेटफार्मों के लिए उपलब्ध हैं।

मैं एक और उपयोगिता का उल्लेख करना चाहूंगा, जिसका नाम है tcl2c । यह उपयोगिता C कोड में "wraps" tcl / tk कोड है।

निष्पादन योग्य कोड प्राप्त करने के लिए, बस कमांड चलाएँ:

 $cc -o create_csr_ create_csr.c -ltcl -ltk $

लिनक्स प्लेटफ़ॉर्म के लिए वितरणों में C वितरण पैकेज के स्थैतिक कनेक्शन के साथ C वितरण भी शामिल है।

सार्वजनिक कुंजी अवसंरचना: योग्य प्रमाणपत्र अनुरोध जनरेशन उपयोगिता

More articles: