👨🏻 🔋 🧕🏽 लिनक्स में क्रिप्टोग्राफिक सूचना संरक्षण और हार्डवेयर कुंजी वाहक के साथ काम करें 🛵 👨🏾‍💼 🧐

टोकन और स्मार्ट कार्ड पर कुंजी जमा करना बाहरी और आंतरिक घुसपैठियों के खिलाफ अतिरिक्त सुरक्षा प्रदान करता है, जिसमें सूचना प्रणाली और उपकरणों तक पहुंच का एक निश्चित स्तर शामिल है।

आज मैं आपको बताऊंगा कि हम अपने सूचना प्रणाली में एन्क्रिप्शन कुंजी और इलेक्ट्रॉनिक हस्ताक्षरों की सुरक्षा कैसे करते हैं, और मैं अलादीन जैकार्ता पीकेआई टोकन और क्रिप्टोकरंसी सीएसपी केसी 2 4.0.9944 के साथ काम करने के लिए एसयूएसई लिनक्स एंटरप्राइज सर्वर 12 एसपी 3 स्थापित करने के लिए एक विस्तृत, अच्छी तरह से सचित्र मार्गदर्शिका में यह करूंगा।

इस गाइड को प्रकाशित करने के कई कारण थे:

कारण 1

रक्षा मंत्रालय, एफएसटीईसी और एफएसबी द्वारा प्रमाणित एस्ट्रा लिनक्स और एएलटी लिनक्स ऑपरेटिंग सिस्टम के लिए अलादीन-आरडी जैकार्टा पर आधिकारिक दस्तावेज सूचना की सुरक्षा के साधन के रूप में प्रमाणित है।

कारण 2

लिनक्स में हार्डवेयर मीडिया के साथ बातचीत को कॉन्फ़िगर करने का सबसे अच्छा निर्देश, जो पाया गया, wiki.astralinux.ru से भी था - CryptoPro CSP के साथ कार्य करना

कारण 3

UPD 04/16/2019: पर्यावरण और उपकरणों को स्थापित करने की प्रक्रिया में, यह पता चला कि जो वाहक पहली बार उपलब्ध था, वह उम्मीद के मुताबिक JaCarta PKI नैनो नहीं था, लेकिन SafeNet Authentication Client eokoken PRO मोड में चलने वाला एक उपकरण है।

UPD 04/16/2019: एक बार बैंक को एक ऐसे उपकरण की आवश्यकता थी जो eToken PRO (Java) के समान बुनियादी ढांचे में काम कर सके। इस तरह के एक उपकरण के रूप में, कंपनी "ZAO अलादीन R.D." एक जेकार्ता प्रो टोकन की पेशकश की, जिसे बैंक द्वारा चुना गया था। हालांकि, लेख बनाने और शिपिंग दस्तावेजों के चरण में, कंपनी के एक कर्मचारी ने गलती की। JaCarta PRO मॉडल के बजाय, JaCarta PKI को गलती से लेख और शिपिंग दस्तावेजों में दर्ज किया गया था।

UPD 04/16/2019: मैं कंपनी अलादीन आर.डी. को धन्यवाद देने और सच्चाई स्थापित करने में मदद करने के लिए धन्यवाद देता हूं ।

इस त्रुटि में कोई राजनीतिक और छिपा हुआ अर्थ नहीं है, लेकिन दस्तावेजों को तैयार करने में केवल एक कर्मचारी की तकनीकी गलती है। टोकन जैकार्ता प्रो कंपनी के एक उत्पाद अलादीन आर.डी. कार्यात्मक भाग का प्रदर्शन करने वाले एपलेट को कंपनी द्वारा विकसित किया गया था "ZAO अलादीन R.D."

यह eToken PRO 1 दिसंबर 2017 से पहले जारी एक पार्टी के लिए था।
इस तिथि के बाद, कंपनी "अलादीन आर.डी." EToken PRO (Java) डिवाइसों को बेचना बंद कर दिया।

थोड़ा आगे बढ़ते हुए, मुझे कहना होगा कि उनके साथ काम उपयुक्त ड्राइवरों के माध्यम से कॉन्फ़िगर किया गया था - SafenetAuthenticationClient-10.0.32-0.x86_64 , जो केवल अलादीन आर.डी. के समर्थन में प्राप्त किया जा सकता है। एक अलग ऑनलाइन आवेदन पर।

CryptoPro CSP में, इस टोकन के साथ काम करने के लिए, cprocsp-rdr-emv-64 पैकेज को स्थापित करना आवश्यक था । EMV / Gemalto समर्थन मॉड्यूल ।

इस टोकन को निर्धारित किया गया और जवाब दिया गया। SafenetAuthenticationClient पैकेज से SACTools उपयोगिता का उपयोग करके, इसे प्रारंभ करना संभव था। लेकिन जब क्रिप्टोग्राफिक सूचना सुरक्षा के साथ काम करते हैं, तो उन्होंने बेहद अजीब और अप्रत्याशित व्यवहार किया।

यह निम्नानुसार दिखाया गया था, कमांड पर:

csptest -keyset -cont '\\.\Aladdin RD JaCarta [SCR Interface] (205D325E5842) 00 00\alfa_shark' -check

जवाब था कि सब कुछ ठीक था:

 [ErrorCode: 0x00000000]

लेकिन तुरंत प्रोग्राम को महत्वपूर्ण रूप से पढ़ने की कोशिश करने के बाद, उसी चेक में त्रुटि उत्पन्न होने लगी:

 [ErrorCode: 0x8009001a]

Microsoft COM त्रुटि कोड (सुरक्षा और सेटअप) के घटकों के ऑब्जेक्ट मॉडल के त्रुटि कोड की सूची के अनुसार

 NTE_KEYSET_ENTRY_BAD 0x8009001A Keyset as registered is invalid.

"अमान्य कुंजी सेट" - इस तरह के संदेश का कारण या तो पुराने Gemalto चिप, फर्मवेयर और एप्लेट, या OS के लिए उनके ड्राइवरों में हो सकता है जो नए ES निर्माण मानकों का समर्थन नहीं करते हैं और GOST R 34.10-2012 और GOST R 34.11- के लिए कार्य करते हैं 2012।

इस राज्य में, टोकन अवरुद्ध था। क्रिप्टोग्राफ़िक सूचना सुरक्षा सूचकांक पाठक और प्रमुख कंटेनर की अप्रासंगिक स्थिति को दिखाने लगा। Cprocspractor प्रदाता cprocsp सेवा, PCcd टोकन और स्मार्ट कार्ड सेवाओं को पुनः आरंभ करना और संपूर्ण ऑपरेटिंग सिस्टम ने मदद नहीं की, केवल पुनर्निमाण।

निष्पक्षता में, यह ध्यान दिया जाना चाहिए कि SafeNet eToken PRO ने विंडोज 7 और 10 ओएस में GOST R 34.10-2001 के साथ सही ढंग से काम किया।

आप CryptoPro CSP 4.0 FCN (Gemalto) को स्थापित करने का प्रयास कर सकते हैं, लेकिन लक्ष्य हमारे ES और एन्क्रिप्शन कुंजी को JaCarta परिवार प्रमाणित FSB और FSTEC उत्पादों के साथ संरक्षित करना है जो नए मानकों का समर्थन करते हैं।

असली जैकार्ता पीकेआई टोकन (एक्स्ट्रा लार्ज) नियमित आवरण में लेने से समस्या हल हो गई।

लेकिन काम करने के लिए Safenet eToken PRO प्राप्त करने की कोशिश में बहुत समय बिताया गया था। मैं इस ओर ध्यान आकर्षित करना चाहता था और शायद, इससे किसी की रक्षा करना चाहता था।

कारण 4

कभी-कभी आपको स्वयं पुराने लेखों और निर्देशों पर लौटने की आवश्यकता होती है। यह तब सुविधाजनक होता है जब सूचना को किसी बाहरी स्रोत में रखा जाता है। इसलिए इस अवसर के लिए हेब्रा का धन्यवाद।

सेटअप गाइड

सर्वर के USB पोर्ट में JaCarta PKI टोकन स्थापित करने और सिस्टम शुरू करने के बाद, हम सत्यापित करते हैं कि नया डिवाइस पता चला है और सूची में दिखाई देता है:

lsusb

हमारे मामले में, यह बस 004 डिवाइस 003: आईडी 24dc: 0101 है

पाठकों का निदान करने के लिए, आप पीसीसी-उपकरण उपयोगिता का उपयोग सुरक्षा से कर सकते हैं: चिपकार्ड प्रोजेक्ट (software.opensuse.org) ।

यह कमांड द्वारा लॉन्च किया गया है:

pcsc_scan

जब तक सभी आवश्यक पैकेज स्थापित नहीं हो जाते, तब तक टोकन के बारे में जानकारी प्रदर्शित नहीं की जाएगी।

JaCarta PKI के साथ काम करने के लिए ड्राइवर और सॉफ्टवेयर स्थापित करना

साइट के समर्थन पृष्ठ पर "अलादीन आर.डी." हम केवल JaCarta PKI के साथ काम करने के लिए प्रलेखन और सॉफ्टवेयर डाउनलोड करते हैं

लिनक्स कार्यान्वयन गाइड के लिए JaCarta के अनुसार, खंड ४.२।, पहला कदम PCc- लाइट , ccid और libusb को स्थापित करना है ।

काम करने के लिए JaCarta प्रबंधन उपयोगिता के लिए, निम्नलिखित घटक स्थापित होने चाहिए:

पीसी / एससी लाइट - पीसी / एससी मानक, पीसीसी-लाइट पैकेज के अनुसार स्मार्ट कार्ड तक पहुंच प्रदान करने के लिए एक मध्यवर्ती परत।
USB कुंजी, स्मार्ट कार्ड और स्मार्ट कार्ड रीडर के साथ काम करने के लिए Ccid और libusb लाइब्रेरी।

हम इन पैकेजों की उपलब्धता की जाँच करते हैं और स्थापित करते हैं:

zypper search pcsc-lite

zypper search libusb

zypper install pcsc-lite

zypper search CCID

zypper install pcsc-ccid

zypper search CCID

zypper install libusb

नतीजतन, पीसीसी-लाइट पैकेज अपडेट किया गया था, सीसीआईडी स्थापित किया गया था, लिबासब की आवश्यकता नहीं थी।

निम्नलिखित दो आदेश JaCarta PKI के साथ काम करने के लिए सीधे ड्राइवर और सॉफ़्टवेयर के साथ पैकेज स्थापित करते हैं:

zypper install idprotectclientlib-637.03-0.x86_64.rpm

zypper install idprotectclient-637.03-0.x86_64.rpm

जाँच करें कि ड्राइवर और JaCarta PKI के लिए सॉफ़्टवेयर स्थापित हैं:

zypper search idprotectclient

जब काम करने के लिए SafeNet eToken PRO प्राप्त करने की कोशिश की जा रही है, तो मुझे जानकारी मिली कि ओपन - लाइब्रेरी इन स्मार्ट कार्ड रीडर पैकेज के लिए SLES में प्री-पीसीएस-लाइट - PCSC स्मार्ट कार्ड्स लाइब्रेरी के साथ संघर्ष हो सकता है, जिसकी स्थापना के लिए अलादीन आर.डी.

zypper search openct

इसलिए, हम खुले पैकेज को हटाते हैं:

rpm -e openct

अब टोकन के साथ काम करने के लिए सभी आवश्यक ड्राइवर और सॉफ़्टवेयर स्थापित हैं।

हम पीसीसी-उपकरण उपयोगिता का उपयोग करके निदान करते हैं और यह सुनिश्चित करते हैं कि ऑपरेटिंग सिस्टम में JaCarta का पता लगाया गया है:

pcsc_scan

CryptoPro CSP पैकेज इंस्टॉल करना

डिफ़ॉल्ट रूप से CryptoPro CSP स्थापित करते समय, टोकन और स्मार्ट कार्ड के साथ काम करने के लिए आवश्यक पैकेज गायब हैं।

zypper search cprocsp

CSP में CryptoPro CSP समर्थन घटक के लिए JaCarta घटकों को स्थापित करना

zypper install cprocsp-rdr-jacarta-64-3.6.408.683-4.x86_64.rpm

कुछ घटकों पर निर्भरता होती है। इसलिए, उदाहरण के लिए, यदि आप सेफनेट ईटोकेन प्रो सपोर्ट पैकेज cprocsp-rdr-emv-64-4.0.9944-5.x86_64.rpm - EMV / Gemalto सपोर्ट मॉड्यूल स्थापित करने का प्रयास करते हैं, तो हमें पहले CSP रीडर सपोर्ट cprocsp के बेस घटक को स्थापित करने की आवश्यकता के बारे में एक संदेश मिलेगा। -rdr-PCc-64-4.0.9944-5.x86_64.rpm - CryptoPro CSP पाठकों के लिए पीसी / एससी घटक :

 zypper install cprocsp-rdr-emv-64-4.0.9944-5.x86_64.rpm Loading repository data... Reading installed packages... Resolving package dependencies... Problem: nothing provides cprocsp-rdr-pcsc-64 >= 4.0 needed by cprocsp-rdr-emv-64-4.0.9944-5.x86_64 Solution 1: do not install cprocsp-rdr-emv-64-4.0.9944-5.x86_64 Solution 2: break cprocsp-rdr-emv-64-4.0.9944-5.x86_64 by ignoring some of its dependencies Choose from above solutions by number or cancel [1/2/c] (c): c

पाठकों और प्रमुख मीडिया के लिए मूल समर्थन पैकेज स्थापित करें:

zypper install cprocsp-rdr-pcsc-64-4.0.9944-5.x86_64.rpm

zypper install lsb-cprocsp-pkcs11-64-4.0.9944-5.x86_64.rpm

अब आप अन्य प्रकार के मीडिया और GUI घटकों के साथ काम करने के लिए मॉड्यूल स्थापित कर सकते हैं:

zypper install cprocsp-rdr-emv-64-4.0.9944-5.x86_64.rpm

 zypper install cprocsp-rdr-novacard-64-4.0.9944-5.x86_64.rpm zypper install cprocsp-rdr-mskey-64-4.0.9944-5.x86_64.rpm zypper install cprocsp-rdr-gui-gtk-64-4.0.9944-5.x86_64.rpm

CryptoPro CSP के अंतिम कॉन्फ़िगरेशन की जाँच करें:

 zypper search cprocsp Loading repository data... Reading installed packages...

S | Name | Summary | Type
---+-----------------------------+----------------------------------------------------+--------
i+ | cprocsp-curl-64 | CryptoPro Curl shared library and binaris. Build 9944. | package
i+ | cprocsp-rdr-emv-64 | EMV/Gemalto support module | package
i+ | cprocsp-rdr-gui-gtk-64 | GUI components for CryptoPro CSP readers. Build 9944. | package
i+ | cprocsp-rdr-jacarta-64 | JaCarta components for CryptoPro CSP. Build 683. | package
i+ | cprocsp-rdr-mskey-64 | Mskey support module | package
i+ | cprocsp-rdr-novacard-64 | Novacard support module | package
i+ | cprocsp-rdr-pcsc-64 | PC/SC components for CryptoPro CSP readers. Build 9944.| package
i+ | lsb-cprocsp-base | CryptoPro CSP directories and scripts. Build 9944. | package
i+ | lsb-cprocsp-ca-certs | CA certificates. Build 9944. | package
i+ | lsb-cprocsp-capilite-64 | CryptoAPI lite. Build 9944. | package
i+ | lsb-cprocsp-kc2-64 | CryptoPro CSP KC2. Build 9944. | package
i+ | lsb-cprocsp-pkcs11-64 | CryptoPro PKCS11. Build 9944. | package
i+ | lsb-cprocsp-rdr-64 | CryptoPro CSP readers. Build 9944. | package

परिवर्तनों को लागू करने के लिए, हम क्रिप्टोग्राफ़िक प्रदाता सेवा को पुनः आरंभ करते हैं और इसकी स्थिति की जाँच करते हैं:

 /etc/init.d/cprocsp restart /etc/init.d/cprocsp status

CryptoPro CSP सेटअप और डायग्नोस्टिक्स

जाँच करें कि क्या क्रिप्टोग्राफ़िक प्रदाता हमारे टोकन और अन्य उपलब्ध मीडिया प्रकारों को निम्न आदेशों के साथ देखता है:

/opt/cprocsp/bin/amd64/csptest -card -enum -v –v

/opt/cprocsp/bin/amd64/csptest -enum -info -type PP_ENUMREADERS | iconv -f cp1251

/opt/cprocsp/sbin/amd64/cpconfig -hardware reader -view -f cp1251

अलादीन RD JaCarta [SCR इंटरफ़ेस] (000000000000) 00 00 हमारा माध्यम है।

लिनक्स के लिए CryptoPro CSP के निर्देशों का पालन करें। कॉन्फ़िगर करें , क्रिप्टोग्राफ़िक प्रदाता में अपना पंजीकरण करें:

 /opt/cprocsp/sbin/amd64/cpconfig -hardware reader -add "Aladdin RD JaCarta [SCR Interface] (000000000000) 00 00"

कॉन्फ़िगरेशन फ़ाइल में निष्पादन के परिणामस्वरूप /etc/opt/cprocsp/config64.ini
[KeyDevices \ PCSC] अनुभाग में एक प्रविष्टि जोड़ी जाएगी:

[KeyDevices\PCSC\"Aladdin RD JaCarta [SCR Interface] (000000000000) 00 00"\Default]

CryptoPro CSP फॉर्म की आवश्यकताओं का पालन करने के लिए, उपयोग की शर्तें और सुरक्षा प्रशासक गाइड:

CryptoPro CSP CIP संस्करण 4.0 का उपयोग बढ़ाया कुंजी नियंत्रण मोड से बंद करने की अनुमति नहीं है। इस मोड का समावेश दस्तावेजों ZHTYA.00087-01 91 02 में वर्णित है। सुरक्षा प्रशासक गाइड।

कुंजी उपयोग के वर्धित नियंत्रण को सक्षम करना आवश्यक है:

 /opt/cprocsp/sbin/amd64/cpconfig -ini '\config\parameters' -add long StrengthenedKeyUsageControl 1

जांचें कि मोड सक्षम है:

cat /etc/opt/cprocsp/config64.ini | grep StrengthenedKeyUsageControl

हम क्रिप्टोग्राफ़िक प्रदाता सेवा को पुनः आरंभ करते हैं:

 /etc/init.d/cprocsp restart /etc/init.d/cprocsp status

पुनः आरंभ करने के बाद, हम जाँचते हैं कि प्रदाता के कार्य में मुख्य वाहक के साथ कोई त्रुटि नहीं है:

/opt/cprocsp/bin/amd64/csptest -keyset –verifycontext

/opt/cprocsp/bin/amd64/csptest -keyset -verifycontext -enum –unique

 CSP (Type:80) v4.0.9017 KC2 Release Ver:4.0.9944 OS:Linux CPU:AMD64 FastCode:REA AcquireContext: OK. HCRYPTPROV: 16052291 alfa_shark1 |SCARD\JACARTA_4E3900154029304C\CC00\E9F6 OK. Total: SYS: 0.000 sec USR: 0.000 sec UTC: 4.560 sec [ErrorCode: 0x00000000]

जैकार्ता पीकेआई टोकन के साथ काम करें

आइए अपने स्टेशन पर Xming (X11 फ़ॉरवर्डिंग) प्रोग्राम को चलाएं ताकि हम SSH के माध्यम से आवश्यक उपयोगिताओं के ग्राफ़िकल इंटरफेस के साथ खुल सकें और काम कर सकें।

IDProtectClient - JaCarta PKI के साथ काम करने के लिए सॉफ़्टवेयर स्थापित करने के बाद, सर्वर / usr / शेयर / एप्लिकेशन फ़ोल्डर में दो फाइलें दिखाई गईं:

एथेना-IDProtectClient.desktop
एथेना-IDProtectManager.desktop

ये शॉर्टकट हैं जहां आप उपयोगिताओं के लिए स्टार्टअप विकल्प देख सकते हैं Exec = / usr / bin / SACTools

IDProtectPINTool उपयोगिता चलाएँ।

इसका उपयोग करते हुए, टोकन के लिए पिन एक्सेस कोड सेट और बदले जाते हैं।

/usr/bin/IDProtectPINTool

पहली बार टोकन को इनिशियलाइज़ करते समय, मुख्य वाहक के पिन कोड (पासवर्ड) डिफ़ॉल्ट रूप से उपयोगी होंगे

IDProtect_Manager प्रोग्राम आपको कुंजी और प्रमाणपत्र के साथ टोकन और कंटेनर के बारे में जानकारी देखने की अनुमति देता है:

/usr/bin/IDProtect_Manager

पासवर्ड दर्ज करने के लिए आपको जिन कुंजियों की आवश्यकता होती है, उनके साथ कंटेनर तक पहुँचने के लिए:

SafeNet Authentication Client eToken PRO के साथ काम करने के लिए इसी तरह के कार्यक्रम हैं - SafeNet Authentication Client Monitor और SafeNet Authentication Client Tools , जो इस तरह से चलते हैं:

 /usr/bin/SACMonitor /usr/bin/SACTools

क्रिप्टोग्राफिक प्रदाता CryptoPro JavaCSP के इंटरफ़ेस में मुख्य कंटेनरों के साथ सीधे संचालन करना अधिक सुविधाजनक है:

/jdk1.8.0_181/jre/bin/java ru.CryptoPro.JCP.ControlPane.MainControlPane

कुंजियों के साथ कंटेनर की सामग्री के बारे में जानकारी प्रदर्शित करने के लिए, आप कमांड चला सकते हैं:

 /opt/cprocsp/bin/amd64/csptest -keyset -cont '\\.\Aladdin RD JaCarta [SCR Interface] (000000000000) 00 00\alfa_shark1' -info

कंटेनर का निदान करने के लिए -चेक स्विच के साथ एक ही कमांड का उपयोग करें

 /opt/cprocsp/bin/amd64/csptest -keyset -cont '\\.\Aladdin RD JaCarta [SCR Interface] (000000000000) 00 00\alfa_shark' –check

आपको कंटेनर के लिए पासवर्ड दर्ज करना होगा:

सॉफ्टवेयर कुंजी पुनर्प्राप्ति

सामान्य तौर पर, CryptoPro जावा CSP का उपयोग करके एक टोकन पर एक कंटेनर से एक निजी कुंजी और एक सार्वजनिक कुंजी प्रमाणपत्र प्राप्त करने का एक उदाहरण है:

 import ru.CryptoPro.JCP.KeyStore.JCPPrivateKeyEntry; import ru.CryptoPro.JCP.params.JCPProtectionParameter; KeyStore keyStore = KeyStore.getInstance("Aladdin RD JaCarta [SCR Interface] (000000000000) 00 00", "JCSP"); keyStore.load(null, null); JCPPrivateKeyEntry entry = null; X509Certificate certificate = null; PrivateKey privateKey = null; try { entry = (JCPPrivateKeyEntry) keyStore.getEntry(keyAlias, new JCPProtectionParameter(pwd)); certificate = (X509Certificate) entry.getCertificate(); privateKey = entry.getPrivateKey(); } catch (UnrecoverableEntryException | NullPointerException e) { LOGGER.log(Level.WARNING, PRIVATE_KEY_NOT_FOUND + keyAlias + ExceptionUtils.getFullStackTrace(e)); }

यदि आप इस तरह से कार्य करते हैं:

 Key key = keyStore.getKey(keyAlias, pwd);

तब क्रिप्टोग्राफ़िक प्रदाता कंसोल या GUI विंडो के माध्यम से कंटेनर में पासवर्ड दर्ज करने के लिए एक अनुरोध प्रदर्शित करने का प्रयास करेगा।

परिणाम

टोकन कुंजी वाहक टोकन सर्वर के आंतरिक USB पोर्ट में स्थापित है।

सर्वर हार्डवेयर को स्वयं सील कर दिया जाता है और सीमित पहुंच वाले कमरे में रखा जाता है।

इस तरह के उपाय नेटवर्क और शारीरिक रूप से दूरस्थ रूप से इलेक्ट्रॉनिक हस्ताक्षर या एन्क्रिप्शन कुंजियों की चोरी और समझौता से हमारी सूचना प्रणालियों के संरक्षण के स्तर को बढ़ा सकते हैं।

लिनक्स में क्रिप्टोग्राफिक सूचना संरक्षण और हार्डवेयर कुंजी वाहक के साथ काम करें