📨 👩‍👧‍👦 🤱 संदेशों पर हस्ताक्षर करने के लिए रुतोकेन, ओपनएसएसएल और एक स्थानीय सीए 🦆 🚗 👩🏾‍🎨

कुछ समय पहले, ग्राहक के स्थानीय क्षेत्र नेटवर्क के भीतर चलने वाले वेब एप्लिकेशन तक पहुंच वाले कंप्यूटरों की एक साथ संख्या को सीमित करने के लिए परियोजना के ढांचे की आवश्यकता थी।

कंप्यूटर की पहचान करने के लिए हार्डवेयर USB टोकन का उपयोग करने का निर्णय स्वयं आया। रुतोकेन ईडीएस पर आराम का विकल्प: यह ड्राइवरों के बिना काम करता है, वेब एप्लिकेशन में काम करने के लिए आपको केवल डेवलपर द्वारा जारी ब्राउज़र प्लग-इन की आवश्यकता होती है। चूंकि टोकन को कंप्यूटर की पहचान करनी चाहिए, न कि उपयोगकर्ता, इसके साथ काम करना पूरी तरह से "पारदर्शी" होना चाहिए: यदि यह मौजूद है, तो सिस्टम उपयोगकर्ता को अनावश्यक प्रश्न पूछे बिना चुपचाप काम करता है।

यह तय किया गया था: सिस्टम में लॉग इन करते समय, रूट क्रेडेंक प्लगइन का उपयोग करके रुतोकेन पर संग्रहीत प्रमाण पत्र के एक अयोग्य हस्ताक्षर के साथ उपयोगकर्ता क्रेडेंशियल्स पर हस्ताक्षर करें, और सर्वर पर जांच करें। प्लग-इन का उपयोग करके एक सफल लॉगिन के बाद, उसी टोकन की भौतिक उपस्थिति की जांच करें, और इसके अभाव में, लॉग आउट करें। उल्लिखित परियोजना के ढांचे के भीतर, यह पर्याप्त था।

किसी क्लाइंट से सर्वर पर हस्ताक्षरित संदेश भेजने के लिए, हस्ताक्षरित संदेशों के आदान-प्रदान के लिए अपना स्वयं का प्रमाणन प्राधिकरण (CA) बनाने की आवश्यकता है। क्लाइंट प्रमाणपत्र निजी कुंजी कंटेनरों में USB टोकन पर स्थित होना चाहिए, और OpenSSL का उपयोग करके सर्वर पर हस्ताक्षर सत्यापन किया जाना चाहिए

तो, कार्य: स्थापना और CA के लिनक्स सर्वर पर कॉन्फ़िगरेशन। USB टोकन पर कंप्यूटर की पहचान करने वाले क्लाइंट प्रमाण पत्र परिनियोजित करें ।

इसे हल करने के लिए, आपको आवश्यकता होगी:

ओपनएसएसएल 1.1.0 और उच्चतर, GOST एल्गोरिदम के लिए समर्थन के साथ
रुतोकेन ईडीएस
डेवलपर की साइट से ओपनएसएसएल के साथ एकीकरण मॉड्यूल, पीकेसीएस # 11 पुस्तकालय , साथ ही टोकन (rtAdmin) के प्रशासन के लिए एक उपयोगिता
खुलता है, PCc-lite-ccid संकुल स्थापित किया जाता है

हम एक निर्देशिका बनाते हैं जहां CA स्थित होगा और सिस्टम के साथ शामिल OpenSSL कॉन्फिग्रेशन को कॉपी करेगा (उबंटू के नवीनतम संस्करणों पर /etc/ssl/openssl.cnf है )
हम "हमारे" को खोलता है।

क) टोकन इंजन को जोड़ने के लिए फ़ाइल निर्देशों की शुरुआत में जोड़ें:
```
openssl_conf = openssl_def [ openssl_def ] engines = engine_section [ engine_section ] rtengine = gost_section [ gost_section ] dynamic_path = /path/to/rutoken/openssl/connector/librtengine.so MODULE_PATH = /path/to/rutoken/pkcs11/librtpkcs11ecp.so RAND_TOKEN = pkcs11:manufacturer=Aktiv%20Co.;model=Rutoken%20ECP default_algorithms = CIPHERS, DIGEST, PKEY, RAND 
```
b) लाइन को अनइंस्टॉल करें
```
 # req_extensions = v3_req # The extensions to add to a certificate request 
```
c) [v3_req] अनुभाग में, निम्नलिखित पैरामीटर निर्दिष्ट करें:
```
 subjectSignTool = ASN1:FORMAT:UTF8,UTF8String:   extendedKeyUsage=emailProtection keyUsage=digitalSignature,nonRepudiation,keyEncipherment,dataEncipherment 
```
[v3_ca] अनुभाग में d), बुनियादी विकल्प पैरामीटर से महत्वपूर्ण विकल्प को हटा दें:
```
 basicConstraints = CA:true 
```
किस लिए? ईमानदार उत्तर: मुझे नहीं पता हालाँकि, रूट सर्टिफिकेट के सभी उदाहरण जो मैंने डाउनलोड किए थे, विषय का पता लगाने की कोशिश करते हुए, बिना आलोचनात्मक संकेत के। मैं सवाल पूछ रहा हूँ "किस लिए?" अधिक अनुभवी सहयोगियों।

ई) स्व-हस्ताक्षरित प्रमाण पत्र जारी करने और ग्राहक प्रमाणपत्र जारी करने के लिए अनुरोधों को जारी करते समय डिफ़ॉल्ट रूप से निर्धारित मूल्य निर्धारित किए जाएंगे। ये पैरामीटर [req_distinguished_name] अनुभाग में हैं

_Default पोस्टफिक्स के साथ पैरामीटर डिफ़ॉल्ट मान है। एक उदाहरण:
```
 countryName = Country Name (2 letter code) countryName_default = AU countryName_min = 2 countryName_max = 2 
```
जब सिस्टम आपको देशनाम पैरामीटर दर्ज करने के लिए कहता है, तो यह स्क्वायर ब्रैकेट में इंगित करेगा कि यह डिफ़ॉल्ट रूप से एयू मान छोड़ देगा।

यह ओपनएसएसएल विन्यास के विन्यास को पूरा करता है। यह ओपनएसएसएल को इंगित करने के लिए बनी हुई है कि इसका उपयोग करना आवश्यक है। ऐसा करने के लिए, पर्यावरण चर OPENSSL_CONF सेट करें:
```
 export OPENSSL_CONF=/path/to/your/openssl.cnf 
```
हम एक निर्देशिका संरचना बनाते हैं जहां हमारे सीए के बारे में जानकारी संग्रहीत की जाएगी।
ऐसा करने के लिए, बस बनाई गई सलामी के साथ बनाई गई डायरेक्टरी में जाएं। CSF, और निम्न चरणों का पालन करें:

a) इसमें उपनिर्देशिकाएँ बनाएँ:

demoCA
डेमोका / निजी
डेमोका / नए

नोट: DemoCA नाम, Opensl.cnf फ़ाइल के [CA_default] अनुभाग में लिखा गया है। आप इसे (चरण 2 में) बदल सकते हैं और फिर डेमोका के बजाय इसके साथ काम कर सकते हैं।

b) डेमोका निर्देशिका में, एक खाली index.txt फ़ाइल और एक सीरियल फाइल बनाएं, जिसे हम एक टेक्स्ट एडिटर के साथ खोलते हैं और वहां लाइन 01 लिखते हैं। यह जारी किए गए प्रमाणपत्रों का काउंटर है। प्रत्येक अगले प्रमाण पत्र के जारी होने के बाद, इस फ़ाइल में मूल्य एक से बढ़ जाता है।
हम वैकल्पिक रूप से rtAdmin उपयोगिता का उपयोग करके अपने टोकन को प्रारूपित करते हैं। अब CA की तैनाती के लिए सब कुछ तैयार है।

कार्रवाई एल्गोरिथ्म मोटे तौर पर सरल है:

a) हम GOST एल्गोरिथ्म का उपयोग करके प्रमाणन केंद्र का मूल प्रमाणपत्र जारी करते हैं:
- स्व-हस्ताक्षरित CA प्रमाणपत्र जारी करने के लिए एक निजी कुंजी उत्पन्न करें
- उत्पन्न कुंजी का उपयोग करके एक स्व-हस्ताक्षरित X509 प्रमाणपत्र उत्पन्न करें
b) प्रत्येक USB टोकन पर
- एक कुंजी जोड़ी (तथाकथित निजी कुंजी कंटेनर) उत्पन्न करें
- जनरेट टोकन कुंजी का उपयोग करके एक प्रमाण पत्र पर हस्ताक्षर करने का अनुरोध करें
- इस अनुरोध के लिए एक प्रमाण पत्र जारी करें
- निजी कुंजी कंटेनर में टोकन पर प्रमाण पत्र सहेजें
निम्नलिखित एकल टोकन के लिए इस एल्गोरिथ्म का कार्यान्वयन है:

CA प्रमाणपत्र के लिए निजी मुख्य पीढ़ी (हम GOST एल्गोरिथ्म का उपयोग करते हैं):
```
 openssl genpkey -algorithm gost2012_256 -pkeyopt paramset:A -outform PEM -out demoCA/private/cakey.pem 
```
हम एक स्व-हस्ताक्षरित CA प्रमाणपत्र जारी करते हैं:
```
 <b>openssl req -new -x509 -key demoCA/private/cakey.pem -out demoCA/certs/cacert.pem -extensions v3_ca -days +3650 -outform PEM 
```
कृपया ध्यान दें: हमने कमांड लाइन पर संकेत दिया है कि v3_ca एक्सटेंशन का ओपनस्स्ल्_cnf कॉन्फ़िगरेशन से उपयोग करना आवश्यक है। यह वहाँ है कि यह हमारे सीए है। 10 साल की वैधता। सीए के लिए एक सामान्य बात। लेकिन अधिक संभव है।

एक प्रमाण पत्र जारी करने की प्रक्रिया में, सिस्टम आपको हमारी मानहानि फ़ाइल के [req_distinguished_name] अनुभाग में मौजूद पैरामीटर मान दर्ज करने के लिए कहेगा।

अब हम टोकन संचालन शुरू करते हैं। यदि टोकन डिफ़ॉल्ट मानों के साथ नया या स्वरूपित है, तो उस पर उपयोगकर्ता का पिन 12345678 है। मैं इस धारणा से आगे बढ़ता हूं कि यह वास्तव में ऐसा है। अन्यथा, आपको सही उपयोगकर्ता पिन निर्दिष्ट करना होगा और आम तौर पर यह सुनिश्चित करने का प्रयास करना चाहिए कि टोकन पर पहले से मौजूद वस्तुओं के नामों के नीचे दर्ज किए गए लोगों के साथ ओवरलैप न हो।

सबसे पहले, हम एक महत्वपूर्ण जोड़ी उत्पन्न करेंगे । ओपनएसएसएल रुटोकन पर इस ऑपरेशन को करने में सक्षम नहीं है, इसलिए हम ओपनएससी पैकेज से pkcs11- टूल उपयोगिता का उपयोग करेंगे:
```
 pkcs11-tool --module /path/to/your/librtpkcs11ecp.so --login --pin 12345678 --keypairgen --key-type GOSTR3410:A --id 303030303031 --label 'client01' 
```
महत्वपूर्ण नोट: हमने आईडी 303030303031 निर्दिष्ट किया है। इस आईडी के प्रत्येक दो अंक क्रमशः अक्षर "0" और "1" के एएससीआईआई कोड से ज्यादा कुछ नहीं हैं। ओपनएसएसएल के साथ संचालन के लिए, यह "आईडी = 000001" जैसा दिखेगा।

प्रमाणपत्र अनुरोध बनाएं:
```
 openssl req -utf8 -new -keyform engine -key 'pkcs11:id=000001' -engine rtengine -out demoCA/newcerts/client01.csr 
```
यदि सब कुछ सही ढंग से किया गया था, तो सिस्टम
- एक पिन का अनुरोध करें
- प्रमाणपत्र नाम मापदंडों ( [req_distinguished_name] अनुभाग से) का अनुरोध करेंगे
- एक प्रमाणपत्र हस्ताक्षर अनुरोध फ़ाइल जारी करेगा
इस अनुरोध का उपयोग करते हुए, हम एक ग्राहक प्रमाणपत्र पर हस्ताक्षर करते हैं ( उदाहरण के लिए, प्रमाणपत्र 1825 दिनों के लिए वैध है। यह महत्वपूर्ण है कि यह अवधि आपके रूट प्रमाणपत्र की वैधता अवधि से अधिक न हो ):
```
 openssl ca -utf8 -days +1825 -keyfile demoCA/private/cakey.pem -cert demoCA/certs/cacert.pem -in demoCA/newcerts/client01.csr -outdir demoCA/newcerts -out demoCA/certs/client01.pem 
```
सिस्टम प्रमाण पत्र प्रदर्शित करेगा, इस पर हस्ताक्षर करने के निर्णय के बारे में पूछेगा (उत्तर "y"), और नए प्रमाणपत्र को बचाने के निर्णय के बारे में (फिर से उत्तर "y")।

हम टोकन के लिए प्राप्त प्रमाण पत्र को बचाते हैं:
```
 pkcs11-tool --module /path/to/your/librtpkcs11ecp.so --login --pin 12345678 --id=303030303031 -w demoCA/certs/client01.pem -y cert 
```
वह सब है।

बनाया "चमत्कार" का परीक्षण। ऐसा करने के लिए, हम "हैलो, दुनिया!" वाक्यांश के हस्ताक्षर पर हस्ताक्षर करते हैं और सत्यापित करते हैं:
```
 echo Hello,world! | openssl cms -nodetach -sign -signer demoCA/certs/client01.pem -keyform engine -inkey "pkcs11:id=000001" -engine rtengine -binary -noattr -outform PEM | openssl cms -verify -CAfile demoCA/certs/cacert.pem -inform PEM 
```
यदि सब कुछ सही ढंग से किया गया है, तो सिस्टम एक पिन का अनुरोध करेगा, संदेश पर हस्ताक्षर करेगा, फिर हस्ताक्षर को सत्यापित करेगा और यदि सफल होगा, तो मूल संदेश और सत्यापन का परिणाम ("सफलता") प्रदर्शित करेगा।

रिमार्क । शीर्षक कार्य पर लौटना और प्लगइन का उपयोग करके हस्ताक्षर करना, यह ध्यान दिया जाना चाहिए कि डिफ़ॉल्ट रूप से प्लगइन PEM प्रारूप में नहीं, बल्कि DER प्रारूप में, base64 में एन्कोड किए गए हस्ताक्षर करने का परिणाम देता है। इसलिए, हस्ताक्षर को सत्यापित करने के लिए, आपको पहले बेस 64 से डीकोड करना होगा, और जब चेकिंग इनपुट डीईआर प्रारूप को निर्दिष्ट करना होगा।

अ छा!

संदेशों पर हस्ताक्षर करने के लिए रुतोकेन, ओपनएसएसएल और एक स्थानीय सीए

More articles: