PKCS # 11 क्रिप्टोग्राफ़िक टोकन: प्रमाण पत्र देखना और निर्यात करना, उनकी वैधता की जाँच करना

लेख के लिए टिप्पणियों में "रूसी योग्य x509 प्रमाण पत्र देखने के लिए एक अंग्रेजी-भाषा क्रॉस-प्लेटफ़ॉर्म उपयोगिता" एक पास उपयोगकर्ता की इच्छा थी कि न केवल "प्रमाण पत्र पार्सिंग" हो, बल्कि "रूट प्रमाणपत्रों की श्रृंखलाएं प्राप्त करें और पीकेएस सत्यापन भी करें, कम से कम एक गैर-निकालने वाली कुंजी के साथ टोकन के लिए प्रमाण पत्र। "। पिछले लेखों में से एक में एक प्रमाण पत्र श्रृंखला प्राप्त करने पर चर्चा की गई थी। यह सच है, यह फाइलों में संग्रहीत प्रमाणपत्रों के बारे में था, लेकिन हमने PKCS # 11 टोकन पर संग्रहीत प्रमाणपत्रों के साथ काम करने के लिए तंत्र जोड़ने का वादा किया था। और अंत में वही हुआ।



पार्सिंग और देखने की उपयोगिता Tcl / Tk में लिखी गई है, और इसमें PKCS # 11 टोकन / स्मार्टकार्ड जोड़ने के लिए, प्रमाण पत्र देखने के साथ-साथ प्रमाणपत्रों की वैधता की जाँच करना, कई समस्याओं को हल करना आवश्यक था:

• टोकन / स्मार्ट कार्ड से प्रमाण पत्र प्राप्त करने के लिए तंत्र का निर्धारण;
• निरस्त सीआरएल प्रमाण पत्र की सूची के खिलाफ प्रमाण पत्र की जांच करें;
• OCSP तंत्र द्वारा वैधता के प्रमाण पत्र की जाँच करें।

PKCS # 11 टोकन तक पहुंच

टोकन और उस पर संग्रहीत प्रमाणपत्र तक पहुंचने के लिए, हम TclPKCS11 पैकेज का उपयोग करेंगे। पैकेज को बायनेरिज़ और सोर्स कोड दोनों में वितरित किया जाता है। स्रोत कोड बाद में काम आएंगे जब हम पैकेज में रूसी क्रिप्टोग्राफी के साथ टोकन समर्थन जोड़ते हैं। TclPKCS11 पैकेज को डाउनलोड करने के दो तरीके हैं, या प्रपत्र के tcl कमांड का उपयोग करें:

load < tclpkcs11> Tclpkcs11 

या इसे बस pki :: pkcs11 पैकेज के रूप में डाउनलोड करें, tclpkcs11 लाइब्रेरी और pkgIndex.tcl फ़ाइल को आपके लिए सुविधाजनक निर्देशिका में रखने के बाद (हमारे मामले में, यह वर्तमान निर्देशिका की pkcs11 उपनिर्देशिका है) और इसे auto_path पथ में जोड़ना:

 #lappend auto_path [file dirname [info scrypt]] lappend auto_path pkcs11 package require pki package require pki::pkcs11 

चूँकि हम TclPKCS11 पैकेज से रूसी क्रिप्टोग्राफी के लिए समर्थन के साथ मुख्य रूप से टोकन रुचि रखते हैं, हम निम्नलिखित सलाह का उपयोग करेंगे:

 ::pki::pkcs11::loadmodule <filename> -> handle ::pki::pkcs11::unloadmodule <handle> -> true/false ::pki::pkcs11::listslots <handle> -> list: slotId label flags ::pki::pkcs11::listcerts <handle> <slotId> -> list: keylist ::pki::pkcs11::login <handle> <slotId> <password> -> true/false ::pki::pkcs11::logout <handle> <slotId> -> true/false 

तुरंत एक आरक्षण करें कि लॉगिन और लॉगआउट फ़ंक्शन को यहां नहीं माना जाएगा। यह इस तथ्य के कारण है कि इस लेख में हम केवल प्रमाण पत्र के साथ सौदा करेंगे, और वे सार्वजनिक टोकन ऑब्जेक्ट हैं। सार्वजनिक वस्तुओं तक पहुंचने के लिए टोकन पर पिन कोड के माध्यम से लॉग इन करने की आवश्यकता नहीं है।

पहला फ़ंक्शन :: pki :: pkcs11 :: loadmodule PKCS # 11 लाइब्रेरी को लोड करना है, जो टोकन / स्मार्ट कार्ड का समर्थन करता है जिस पर प्रमाण पत्र स्थित हैं। एक पुस्तकालय या तो एक टोकन खरीदकर प्राप्त किया जा सकता है, या इंटरनेट से डाउनलोड किया जा सकता है, या यह एक कंप्यूटर पर पूर्वस्थापित किया गया था। किसी भी मामले में, आपको यह जानना होगा कि कौन सा पुस्तकालय आपके टोकन का समर्थन करता है। लोडमोड्यूल फ़ंक्शन भरी हुई लाइब्रेरी में एक हैंडल लौटाता है:

 set filelib "/usr/local/lib64/librtpkcs11ecp_2.0.so" set handle [::pki::pkcs11::loadmodule $filelib] 

तदनुसार, भरी हुई लाइब्रेरी को उतारने का एक कार्य है:

 ::pki::pkcs11::unloadmodule $handle 

लाइब्रेरी लोड होने के बाद और हमारे पास इसका हैंडल है, आप इस लाइब्रेरी द्वारा समर्थित स्लॉट्स की एक सूची प्राप्त कर सकते हैं:

 ::pki::pkcs11::listslots $handle {0 {ruToken ECP } {TOKEN_PRESENT RNG LOGIN_REQUIRED USER_PIN_INITIALIZED TOKEN_INITIALIZED REMOVABLE_DEVICE HW_SLOT}} {1 { } {REMOVABLE_DEVICE HW_SLOT}} . . . {14 { } {REMOVABLE_D EVICE HW_SLOT}} 

इस उदाहरण में, सूची में 15 (पंद्रह से 0 से 14) तत्व शामिल हैं। टोकनों के RuToken परिवार कितने स्लॉट का समर्थन कर सकता है। बदले में, सूची का प्रत्येक तत्व स्वयं तीन तत्वों की एक सूची है:

 {{ } { } {   }} 

सूची का पहला तत्व स्लॉट नंबर है। सूची का दूसरा तत्व टोकन स्लॉट (32 बाइट्स) में स्थित लेबल है। यदि स्लॉट खाली है, तो दूसरे तत्व में 32 रिक्त स्थान हैं। और सूची के अंतिम, तीसरे तत्व में झंडे हैं। हम झंडे के पूरे सेट पर विचार नहीं करेंगे। इन झंडों में हमें क्या दिलचस्पी है TOKEN_PRESENT ध्वज की उपस्थिति। यह यह ध्वज है जो इंगित करता है कि टोकन स्लॉट में है, और हमारे लिए ब्याज के प्रमाण पत्र टोकन पर हो सकते हैं। झंडे बहुत उपयोगी चीज हैं, वे टोकन की स्थिति, पिन कोड की स्थिति आदि का वर्णन करते हैं। झंडे के मूल्य के आधार पर, PKCS # 11 टोकन प्रबंधित हैं:



अब, कुछ भी आपको स्लॉट्स_with_token प्रक्रिया को लिखने से रोकता है, जो उनमें टोकन के लेबल के साथ स्लॉट की एक सूची वापस कर देगा:

 #!/usr/bin/tclsh lappend auto_path pkcs11 package require pki package require pki::pkcs11 #    proc ::slots_with_token {handle} { set slots [pki::pkcs11::listslots $handle] # puts "Slots: $slots" array set listtok [] foreach slotinfo $slots { set slotid [lindex $slotinfo 0] set slotlabel [lindex $slotinfo 1] set slotflags [lindex $slotinfo 2] if {[lsearch -exact $slotflags TOKEN_PRESENT] != -1} { set listtok($slotid) $slotlabel } } #     parray listtok return [array get listtok] } set filelib "/usr/local/lib64/librtpkcs11ecp_2.0.so" if {[catch {set handle [::pki::pkcs11::loadmodule $filelib]} res]} { puts "Cannot load library $filelib : $res" exit } #   set listslots {} set listslots [::slots_with_token $handle] #        while {[llength $listslots] == 0} { puts " " after 3000 set listslots [::slots_with_token $handle] } #        foreach {slotid labeltok} $listslots { puts "Number slot: $slotid" puts "Label token: $labeltok" } 

यदि आप इस स्क्रिप्ट को निष्पादित करते हैं, तो इसे फाइल स्लॉट्स में सहेजने के बाद_with_token.tcl, फिर परिणामस्वरूप हमें प्राप्त होता है:

 $ ./slots_with_token.tcl listtok(0) = ruToken ECP listtok(1) = RuTokenECP20 Number slot: 0 Label token: RuTokenECP20 Number slot: 1 Label token: ruToken ECP $ 

इस लाइब्रेरी के लिए उपलब्ध 15 स्लॉट्स में से केवल दो ही शामिल हैं, शून्य और पहला।
अब कुछ भी नहीं एक विशेष टोकन पर स्थित प्रमाणपत्रों की सूची प्राप्त करने से रोकता है:

 set listcerts [::pki::pkcs11::listcerts $handle $slotid] 

प्रत्येक सूची आइटम में एक प्रमाणपत्र के बारे में जानकारी होती है। प्रमाणपत्र से जानकारी प्राप्त करने के लिए, फ़ंक्शन :: pki :: pkcs11 :: listcerts फ़ंक्शन का उपयोग करता है :: pki :: x509 :: pse पैकेज से parse_cert। लेकिन समारोह :: pki :: pkcs11 :: श्रोता इस सूची को PKCS # 11 प्रोटोकॉल में निहित डेटा के साथ पूरक करते हैं, अर्थात्:

• pkcs11_ लेबल तत्व (PKCS की शब्दावली में # 11 विशेषता CKA_LABEL);
• pkcs11_id तत्व (PKCS की शब्दावली में # 11 विशेषता CKA_ID);
• pkcs11_handle लोड किए गए PKCS # 11 लाइब्रेरी का संकेत देने वाला तत्व;
• pkcs11_slotid तत्व टोकन के साथ स्लॉट की संख्या से युक्त, जिस पर यह प्रमाण पत्र स्थित है;
• एक प्रकार का तत्व जिसमें टोकन पर प्रमाणपत्र के लिए pkcs11 मान है।

याद रखें कि शेष तत्व मुख्य रूप से pki :: parse_cert फ़ंक्शन द्वारा निर्धारित किए जाते हैं।
नीचे प्रमाणपत्रों के लेबल (सूचीपत्र) की सूची (CKA_LABEL, pkcs11_label) और पार्स किए गए पहचानकर्ताओं की एक सूची प्राप्त करने की प्रक्रिया है (:: certs_p11)। प्रमाणपत्र सरणी के तत्व तक पहुंचने की कुंजी प्रमाणपत्र लेबल (CKA_LABEL, pkcs11_label) है:

 #  proc listcerttok {handle token_slotlabel token_slotid} { #     set listCer {} #   array set ::arrayCer [] set ::certs_p11 [pki::pkcs11::listcerts $handle $token_slotid] if {[llength $::certs_p11] == 0} { puts {Certificates are not on the token:$tokenslotlabel} return $listCer } foreach certinfo_list $::certs_p11 { unset -nocomplain certinfo array set certinfo $certinfo_list set certinfo(pubkeyinfo) [::pki::x509::parse_cert_pubkeyinfo $certinfo(cert)] set ::arrayCer($certinfo(pkcs11_label)) $certinfo(cert) lappend listCer $certinfo(pkcs11_label) } return $listCer } 

और अब हमारे पास प्रमाण पत्र हैं, हम चुपचाप कॉम्बोक्स में उनके लेबल की एक सूची प्रदर्शित करते हैं:



GOST सार्वजनिक कुंजियों को पार्स करने के लिए कैसे हमने पिछले लेख में विचार किया है।

प्रमाणपत्र निर्यात के बारे में दो शब्द। प्रमाणपत्र पीईएम एन्कोडिंग और डीईआर एन्कोडिंग (डीईआर बटन, पीईएम प्रारूप) दोनों में निर्यात किए जाते हैं। Pki पैकेज में एक सुविधाजनक कार्य pki है: PEM प्रारूप में परिवर्तित करने के लिए _ encode_pem:

 set bufpem [::pki::_encode_pem <der-buffer> <Headline> <Lastline>] 

उदाहरण के लिए:

 set certpem [::pki::encode_pen $cert_der "-----BEGIN CERTIFICATE-----" "-----END CERTIFICATE-----"] 

कोम्बोक्स में सेप्टिक प्रमाणपत्र लेबल का चयन करके, हम प्रमाण पत्र के शरीर तक पहुंच प्राप्त करते हैं:

 #    set nick [.saveCert.labExp.listCert get] #        foreach certinfo_list $::certs_p11 { unset -nocomplain cert_parse array set cert_parse $certinfo_list if {$cert_parse(pkcs11_label) == $nick} { #   set cert_parse(pubkeyinfo) [::pki::x509::parse_cert_pubkeyinfo $cert_parse(cert)] break } } #   file|pkcs11 set ::tekcert "pkcs11" 

प्रमाणपत्र को पार्स करने और इसे प्रदर्शित करने के लिए एक और तंत्र पहले यहां चर्चा की गई थी।

प्रमाणपत्र सत्यापन

प्रमाणपत्र को पार्स करते समय, चर :: notbefore और :: उसके बाद उस तारीख को संग्रहीत करें जहां से प्रमाणपत्र को क्रिप्टोग्राफ़िक संचालन (साइन, इनक्रिप्ट, आदि) में उपयोग किया जा सकता है, और प्रमाणपत्र समाप्ति तिथि। प्रमाण पत्र की वैधता अवधि की जाँच करने की प्रक्रिया के रूप हैं:

 proc cert_valid_date {} { #       #    set startdate $::notbefore #    set enddate $::notafter #      set now [clock seconds] set isvalid 1 set reason "Certificate is valid" if {$startdate > $now} { set isvalid 0 #      set reason "Certificate is not yet valid" } elseif {$now > $enddate} { set isvalid 0 #    set reason "Certificate has expired" } return [list $isvalid $reason] } 

लौटी सूची में दो आइटम हैं। पहले तत्व में 0 (शून्य) या 1 (एक) हो सकता है। "1" का मान इंगित करता है कि प्रमाणपत्र मान्य है, और 0 इंगित करता है कि प्रमाणपत्र मान्य नहीं है। प्रमाण पत्र मान्य नहीं होने का कारण दूसरे तत्व में बताया गया है। इस तत्व में तीन मान हो सकते हैं:

• प्रमाणपत्र मान्य (सूची का पहला तत्व 1 है):
• प्रमाणपत्र अभी तक मान्य नहीं है (प्रमाण पत्र अभी तक समाप्त नहीं हुआ है)
• प्रमाणपत्र समाप्त हो गया है।

प्रमाण पत्र की वैधता न केवल इसकी वैधता अवधि से निर्धारित होती है। प्रमाण पत्र केंद्र द्वारा प्रमाणपत्र को निलंबित या समाप्त किया जा सकता है, दोनों अपनी पहल पर और प्रमाण पत्र धारक के अनुरोध पर, उदाहरण के लिए, निजी कुंजी के साथ माध्यम के नुकसान के मामले में। इस मामले में, प्रमाणपत्र को प्राधिकृत अधिकारी द्वारा निरस्त COS / CRL प्रमाणपत्रों की सूची में शामिल किया जाता है जो CA द्वारा वितरित किए जाते हैं। आमतौर पर, CRL वितरण बिंदु प्रमाणपत्र में शामिल है। यह निरस्त प्रमाण पत्रों की सूची से है कि प्रमाण पत्र की वैधता की जाँच की जाती है।

प्रमाण पत्र की वैधता का सत्यापन एसओएस / सीआरएल द्वारा

पहला कदम एसओएस प्राप्त करना है, फिर इसे पार्स करें और इसके लिए प्रमाण पत्र की जांच करें।
COC / CRL जारी करने वाले बिंदुओं की सूची ओड 2.5.29.31 (id-Ce-cRLDistributionPoints) के साथ प्रमाणपत्र विस्तार में है:

 array set extcert $cert_parse(extensions) set ::crlfile "" if {[info exists extcert(2.5.29.31)]} { set ::crlfile [crlpoints [lindex $extcert(2.5.29.31) 1]] } else { puts "cannot load CRL" } 

वास्तव में एसओएस / सीआरएल के साथ फाइल लोड करना इस प्रकार है:

 set filecrl "" set pointcrl "" foreach pointcrl $::crlfile { set filecrl [readca $pointcrl $dir] if {$filecrl != ""} { set f [file join $dir [file tail $pointcrl]] set fd [open $fw] chan configure $fd -translation binary puts -nonewline $fd $filecrl close $fd set filecrl $f break } # CRL  .     CRL } if {$filecrl == ""} { puts "Cannot load CRL" } 

दरअसल, COC / CRL को लोड करने के लिए रीडका प्रक्रिया का उपयोग किया जाता है:

 proc readca {url dir} { set cer "" #   if { "https://" == [string range $url 0 7]} { #    tls http::register https 443 ::tls::socket } #     if {[catch {set token [http::geturl $url -binary 1] #    set ere [http::status $token] if {$ere == "ok"} { #        set code [http::ncode $token] if {$code == 200} { #      set cer [http::data $token] } elseif {$code == 301 || $code == 302} { #    ,   set newURL [dict get [http::meta $token] Location] #     set cer [readca $newURL $dir] } else { #    set cer "" } } } error]} { #   ,     set cer "" } return $cer } 

Dir वैरिएबल उस डायरेक्टरी का रास्ता संग्रहीत करता है जिसमें COS / CRL को सहेजा जाएगा, और url वैरिएबल में CRL वितरण बिंदुओं की पहले से प्राप्त सूची है।

एसओएस / सीआरएल प्राप्त करते समय, मुझे अचानक इस तथ्य का सामना करना पड़ा कि कुछ प्रमाण पत्रों के लिए यह सूची अनाम मोड में https (tls) प्रोटोकॉल के माध्यम से प्राप्त की जानी थी। ईमानदारी से, यह आश्चर्य की बात है: सीआरएल सूची एक सार्वजनिक दस्तावेज है और इसकी अखंडता को इलेक्ट्रॉनिक हस्ताक्षर द्वारा संरक्षित किया गया है और मेरी राय में अनाम https के माध्यम से मेरी पहुंच है। लेकिन करने के लिए कुछ भी नहीं है, आपको tls पैकेज कनेक्ट करना होगा - पैकेज tls की आवश्यकता है।

यदि SOS / CRL डाउनलोड नहीं किया जा सकता है, तो प्रमाणपत्र में OCSP सेवा के साथ पहुंच बिंदु निर्दिष्ट नहीं होने पर प्रमाणपत्र को सत्यापित नहीं किया जा सकता है। लेकिन इसकी चर्चा निम्नलिखित लेखों में से एक में की जाएगी।

इसलिए, सत्यापन के लिए एक प्रमाण पत्र है, एसओएस / सीआरएल की एक सूची है, यह इसके लिए प्रमाण पत्र की जांच करने के लिए बनी हुई है। दुर्भाग्य से, पक्की पैकेज में इसके अनुरूप कार्य नहीं हैं। इसलिए, मुझे निरस्त प्रमाणपत्रों की सूची से प्रमाणपत्र की वैधता (इसके गैर-निरसन) की जांच करने के लिए एक प्रक्रिया लिखनी थी


इस फ़ंक्शन के लिए पैरामीटर प्रमाणपत्र निरस्तीकरण सूची (crl) हैं, प्रमाणपत्र की क्रम संख्या सत्यापित की जा रही है (सरनेम), और इसके प्रकाशक (जारीकर्ता)।

प्रमाणपत्र निरस्तीकरण सूची (crl) निम्नानुसार भरी हुई है:

 set f [open $filecrl r] chan configure $f -translation binary set crl [read $f] close $f 

सत्यापित प्रमाण पत्र (सेर्नम) और उसके प्रकाशक (जारीकर्ता) की क्रम संख्या को पार्स किए गए प्रमाण पत्र से लिया जाता है और चर :: स्नैर्ट और :: जारीकर्ता में संग्रहीत किया जाता है।

सभी प्रक्रियाएं स्रोत कोड में पाई जा सकती हैं। लिनक्स के लिए उपयोगिता और उसके वितरण का स्रोत कोड, ओएस एक्स (मैकओएस) और एमएस विंडोज यहां पाया जा सकता है।


उपयोगिता एक फ़ाइल में संग्रहीत प्रमाणपत्र को देखने और सत्यापित करने की क्षमता भी बरकरार रखती है:



वैसे, फ़ाइलों से देखे गए प्रमाण पत्र भी निर्यात किए जा सकते हैं, साथ ही टोकन पर संग्रहीत किए गए। इससे प्रमाणपत्र फ़ाइलों को डीईआर प्रारूप से पीईएम और इसके विपरीत में परिवर्तित करना आसान हो जाता है।

अब हमारे पास फ़ाइलों और PKCS # 11 टोकन / स्मार्टकार्ड पर संग्रहीत प्रमाणपत्रों के लिए एक एकल दर्शक है।

हां, मैं इस बिंदु से चूक गया: प्रमाण पत्र की वैधता की जांच करने के लिए, "अतिरिक्त" बटन पर क्लिक करें और मेनू आइटम "सीआरएल द्वारा मान्य" का चयन करें या दाएं माउस बटन दबाएं और जब कर्सर मुख्य जानकारी पर हो फ़ील्ड और "सीआरएल द्वारा मान्य" मेनू आइटम का चयन करें:



यह स्क्रीनशॉट क्लाउड टोकन में ब्राउज़िंग और प्रमाणपत्र के सत्यापन को दिखाता है।

निष्कर्ष में, हम निम्नलिखित नोट करते हैं। लेख पर अपनी टिप्पणियों में, पीएससी उपयोगकर्ता ने पीकेसीएस # 11 टोकन के बारे में बहुत सही ढंग से उल्लेख किया कि वे "खुद को सब कुछ गिन सकते हैं"। हां, टोकन वास्तव में क्रिप्टोग्राफिक कंप्यूटर हैं। और निम्नलिखित लेखों में हम न केवल इस बारे में बात करेंगे कि कैसे OCSP प्रोटोकॉल का उपयोग करके प्रमाणपत्रों का सत्यापन किया जाता है, बल्कि क्रिप्टोग्राफिक तंत्रों का उपयोग करने के तरीके के बारे में भी (हम बात कर रहे हैं, बेशक, GOST क्रिप्टोग्राफी) टोकन / स्मार्ट की गणना करने के लिए .h (GOST R 34-10- 94/2012), हस्ताक्षरों का गठन और सत्यापन आदि।