क्रिप्टो प्रो से बच। GOST 34.10-2012 संस्करण

Habré पर एक शानदार लेख है " Crypto Pro से बचना। निर्देशक का संस्करण, SMEV- संस्करण ", लेकिन वर्ष 2019 आया और सभी CA ने GOST 34.10-2001 के बजाय GOST 34.10-2012 के अनुसार डिजिटल हस्ताक्षर जारी करना शुरू कर दिया।

कटौती के तहत, नए मेहमानों के लिए कुंजियों के साथ काम करने में सहायता के लिए आप बाउंसी कैसल पर अपने सॉफ़्टवेयर को कैसे संशोधित कर सकते हैं, इसके बारे में एक कहानी।

त्याग

मुझे बाउंसी कैसल और अन्य क्रिप्टोग्राफिक सूचना सुरक्षा प्रणालियों के माध्यम से दस्तावेजों पर हस्ताक्षर करने की कानूनी पेचीदगियों के बारे में कुछ भी पता नहीं है और मैं संवाद करने के लिए तैयार नहीं हूं। उत्पादन में कोड का उपयोग करने से पहले, एक वकील से परामर्श करें।

यह क्यों आवश्यक है? अच्छी तरह से लिखा मूल लेख। मैं खुद को नहीं दोहराऊंगा।

टोकन से एक कुंजी प्राप्त करना

मुझे ज्ञात सभी सीए समान टोकन पर प्रमाण पत्र के साथ चाबियाँ जारी करते हैं। निजी कुंजी और प्रमाणपत्र के साथ क्रिप्टोप्रो कंटेनर टोकन पर लिखा गया है। CryptoPro CSP के माध्यम से एक कुंजी का निर्यात करते समय, यह एक विशेष "CryptoPro pfx" को निर्यात किया जाता है जो किसी भी चीज के लिए संगत नहीं है।

मानक pfx या किसी अन्य विशिष्ट CA कंटेनर में कुंजी जारी करने के अनुरोधों को अनदेखा किया जाता है।
यदि कोई मानक कंटेनरों में हस्ताक्षर जारी करने वाले सीए को जानता है, तो टिप्पणियों में निर्देशांक साझा करें। अच्छे लोगों को बढ़ावा देने में शर्म नहीं आती।

CryptoPro कंटेनर को मानक pxx में बदलने के लिए, हम, मूल लेख में, P12FromGostCSP का उपयोग करेंगे। पुराने हैक किए गए संस्करण 2012 गोस्ट के लिए कुंजियों के साथ काम नहीं करते हैं। हम लेखकों की वेबसाइट पर जाते हैं और एक नया खरीदते हैं।

इसलिए हमें कुंजी और प्रमाण पत्र के साथ मानक pfx मिला।

उछालभरी कैसल अपडेट

हम बाउंसी कैसल को 1.60 पुराने अपडेट करते हैं पुराने संस्करण GOST 2012 एल्गोरिदम का समर्थन नहीं कर सकते हैं।

<dependency> <groupId>org.bouncycastle</groupId> <artifactId>bcprov-jdk15on</artifactId> <version>1.60</version> </dependency> <dependency> <groupId>org.bouncycastle</groupId> <artifactId>bcpkix-jdk15on</artifactId> <version>1.60</version> </dependency> 

प्रारंभिक उछालभरी महल

  static { BouncyCastleProvider bcProvider = new BouncyCastleProvider(); String name = bcProvider.getName(); Security.removeProvider(name); // remove old instance Security.addProvider(bcProvider); } 

Pfx पार्सिंग

 KeyStore keyStore = KeyStore.getInstance("PKCS12", "BC"); ByteArrayInputStream baos = new ByteArrayInputStream(pfxFileContent); keyStore.load(baos, password.toCharArray()); Enumeration<String> aliases = keyStore.aliases(); while (aliases.hasMoreElements()) { String alias = aliases.nextElement(); if (keyStore.isKeyEntry(alias )) { Key key = keyStore.getKey(alias , keyPassword.toCharArray()); java.security.cert.Certificate certificate = keyStore.getCertificate(alias ); addKeyAndCertificateToStore((PrivateKey)key, (X509Certificate)certificate); } } 

उपनाम बदलना होगा। P12FromGostCSP उपयोगिता हमेशा एक ही उपनाम "csp_exported" सेट करती है और दूसरी कुंजी को संसाधित करने में समस्याएं होंगी।

सुविधा के लिए, pfx से कुंजी को मानक Java KeyStore में लोड किया जाना चाहिए और उसके बाद ही काम करना चाहिए।

डाउनलोड KeyStore

 FileInputStream is = new FileInputStream(keystorePath); keystore = KeyStore.getInstance(KeyStore.getDefaultType()); char[] passwd = keystorePassword.toCharArray(); keystore.load(is, passwd); 

KeyStore में एक प्रमाणपत्र के साथ एक कुंजी सहेजना

 public void addKeyAndCertificateToStore(PrivateKey key, X509Certificate certificate) { synchronized (this) { keystore.setKeyEntry(alias.toLowerCase(), key, keyPassword.toCharArray(), new X509Certificate[] {certificate}); FileOutputStream out = new FileOutputStream(keystorePath); keystore.store(out, keystorePassword.toCharArray()); out.close(); } } 

KeyStore से कुंजियाँ और प्रमाणपत्र डाउनलोड करें

 Enumeration<String> aliases = keystore.aliases(); while (aliases.hasMoreElements()) { String alias = aliases.nextElement(); if (keystore.isKeyEntry(alias)) { Key key = keystore.getKey(alias, keyPassword.toCharArray()); keys.put(alias.toLowerCase(), key); //any key,value collection Certificate certificate = keystore.getCertificate(alias); if (certificate instanceof X509Certificate) certificates.put(alias.toLowerCase(), (X509Certificate) certificate); //any key,value collection } } 

फ़ाइल हस्ताक्षर

 CMSProcessableByteArray msg = new CMSProcessableByteArray(dataToSign); List certList = new ArrayList(); certList.add(cert); Store certs = new JcaCertStore(certList); CMSSignedDataGenerator gen = new CMSSignedDataGenerator(); ContentSigner signer = new org.bouncycastle.operator.jcajce.JcaContentSignerBuilder("GOST3411WITHECGOST3410-2012-256").setProvider("BC").build(privateKey); gen.addSignerInfoGenerator(new JcaSignerInfoGeneratorBuilder(new JcaDigestCalculatorProviderBuilder().setProvider("BC").build()).build(signer, certificate)); gen.addCertificates(certs); CMSSignedData sigData = gen.generate(msg, false); byte[] sign = sigData.getEncoded(); //result here 

512 बिट कुंजियों के लिए एक JCContentSignerBuilder विकल्प ("GOST3411WITHECGOST3410-2012-512") है। मेरा सीए बिना कुछ पूछे 256 बिट्स जारी करता है और स्पष्ट प्रश्नों की अनदेखी करता है।

हस्ताक्षर का सत्यापन

 byte[] data = ...; //signed file data byte[] signature = ...;//signature boolean checkResult = false; CMSProcessable signedContent = new CMSProcessableByteArray(data); CMSSignedData signedData; try { signedData = new CMSSignedData(signedContent, signature); } catch (CMSException e) { return SIGNATURE_STATUS.ERROR; } SignerInformation signer; try { Store<X509CertificateHolder> certStoreInSing = signedData.getCertificates(); signer = signedData.getSignerInfos().getSigners().iterator().next(); Collection certCollection = certStoreInSing.getMatches(signer.getSID()); Iterator certIt = certCollection.iterator(); X509CertificateHolder certHolder = (X509CertificateHolder) certIt.next(); X509Certificate certificate = new JcaX509CertificateConverter().getCertificate(certHolder); checkResult = signer.verify(new JcaSimpleSignerInfoVerifierBuilder().build(certificate)); } catch (Exception ex) { return SIGNATURE_STATUS.ERROR; } 

हस्ताक्षर सत्यापन 2001 के GOST सत्यापन के समान है। आप कुछ भी नहीं बदल सकते हैं।

सारांश

उपरोक्त सभी कार्यों के परिणामस्वरूप, हमें 2019 में क्रिप्टो प्रो के भारी भार से छुटकारा पाने का अपेक्षाकृत आसान तरीका मिला।