क्रिप्टोग्राफिक वर्कस्टेशन PKCS # 11 टोकन पर आधारित है। EGAIS के लिए प्रमाण पत्र प्राप्त करना। भाग ४

और अब, जब मैंने पीकेसीएस # 11 क्रिप्टोकरंसी टोकन पर आधारित क्रिप्टोग्राफिक वर्कस्टेशन में स्व-हस्ताक्षरित प्रमाण पत्र की पीढ़ी को लगभग जोड़ दिया और लेख लिखना शुरू करने के लिए तैयार था, मुझे इस तरह एक पत्र मिला:

हम UZNIREK CA हैं, हमें EGAIS के लिए pkcs # 11 प्रारूप में ES जारी करने में कठिनाई हुई, पोर्टल Znamerek CSP प्रारूप में ES को नहीं समझता है, हम आपसे इस समस्या में मदद करने के लिए कहते हैं।

मुझे EGAIS के साथ काम करने की सभी पेचीदगियों के बारे में पता नहीं था, लेकिन चूंकि यह PKCS # 11 था, इसलिए मैंने CA से प्राप्त होने के बाद एक अनुरोध बनाने और टोकन के लिए प्रमाणपत्र स्थापित करने के लिए cryptoarmpkcs उपयोगिता का उपयोग करने का सुझाव दिया। मुझे जो उत्तर मिला वह कुछ विचलित करने वाला था:

काश, तथ्य यह है कि हमने क्रिप्टोकरंसी सीएसपी के माध्यम से रुकोटेन 2.0 पर ईएस दर्ज किया, लेकिन सभी उचित सेटिंग्स के साथ, ईजीएआईएस पोर्टल ने ईएस को मुख्य माध्यम पर नहीं देखा, क्लाइंट ने समर्थन में हमसे संपर्क किया और हमने पाया कि समस्या नहीं है कुंजी प्रमाण पत्र उस प्रारूप में लिखा गया है, यहाँ मैनुअल dev.rutoken.ru/display/KB/RU5551 है

।
मैं (केवल मैं ही नहीं) पहले ही कई बार लिख चुका हूं कि कई रूसी क्रिप्टोग्राफी के समर्थन से क्रिप्टोग्राफिक टोकन का उपयोग करते हैं, जो कई आकर्षक ड्राइव हैं । और यह सिर्फ मामला था जब कुंजी और प्रमाणपत्र को PKCS # 11 ऑब्जेक्ट के रूप में टोकन नहीं मिला। यह शर्म की बात थी कि उन्होंने सलाह नहीं ली और अनुरोध बनाने की कोशिश भी नहीं की। लेकिन फिर मैंने सब कुछ एक तरफ रखने का फैसला किया और यह पता लगाने का प्रयास किया कि कैसे और किस प्रमाण पत्र पर ईजीएआईएस रोसालोगोग्लोग्रूलीरोवेनी जारी किए जाते हैं। और हम केवल PKCS # 11 क्रिप्टोग्राफ़िक टोकन पर विचार करेंगे। सबसे बड़ी निराशा केवल विंडोज और आईई ब्राउज़र के माध्यम से ईजीएआईएस तक पहुंच है। दूसरी ओर, एक प्रमाणपत्र अनुरोध और प्रमाणपत्र स्थापना की पीढ़ी को किसी भी ओएस के तहत किया जा सकता है, अगर उसके पास संबंधित टोकन के लिए ड्राइवर / लाइब्रेरी हैं।

कम से कम PKCS # 11 टोकन JaCarta, RutokenECP-2.0, LS11SW2016 सॉफ्टवेयर टोकन, और यहां तक ​​कि क्लाउड टोकन का एमएस विंडोज, लिनक्स और ओएस एक्स पर समर्थन है और न केवल आपके ओएस पर।

वास्तव में, हमें EGAIS के डेवलपर्स को श्रद्धांजलि देनी चाहिए। उन्होंने एक दिलचस्प तकनीक का प्रस्ताव दिया जो रूसी क्रिप्टोग्राफी के समर्थन के साथ क्रिप्टोग्राफिक टोकन पर संग्रहीत व्यक्तिगत प्रमाणपत्र (प्रमाणपत्र प्लस कुंजी जोड़ी) का उपयोग करने की अनुमति देता है, और आरएसए प्रमाणपत्र पर चैनल की रक्षा करता है। यद्यपि यदि वे A कहते हैं, तो कोई B कह सकता है, अर्थात। GOST-ov एल्गोरिदम पर चैनल को सुरक्षित रखें। केवल दुख की बात यह है कि यह सब केवल एमएस विंडोज (या मैं गलत हूँ?) के लिए, या बल्कि, इंटरनेट एक्सप्लोरर के लिए सिलवाया गया है। और EGAIS के लिए प्रमाण पत्र अनुरोधों को उत्पन्न करने के लिए उपयोगिताओं को एक विशेष टोकन से बांधा गया है।

लेकिन cryptoarmpkcs उपयोगिता बहु-प्लेटफ़ॉर्म है। इसके अलावा, यह किसी भी PKCS # 11 क्रिप्टोग्राफिक टोकन के साथ काम करने में सक्षम है जो रूसी क्रिप्टोग्राफी का समर्थन करता है।

तो, EGAIS के लिए प्रमाणपत्र अनुरोध की ख़ासियत क्या है? मुख्य विशेषता एक अतिरिक्त क्षेत्र unstucturedName (UN) (oid - 1.2.840.113549.1.9.2) के प्रमाणपत्र धारक (डीएन विषय) के प्रतिष्ठित नाम में अनिवार्य उपस्थिति है। यदि प्रमाण पत्र का स्वामी एक व्यक्तिगत उद्यमी है, तो इस क्षेत्र में "KPP =" पंक्ति लिखी जाती है, और यदि स्वामी एक कानूनी इकाई है, तो यह पंक्ति इस क्षेत्र में लिखी जाती है:
PPC = reason_code_of_tax_account_account:



इस संबंध में, प्रमाणपत्र अनुरोध टैब के पहले पृष्ठ पर आवश्यकता को EGAIS बटन जोड़ा गया था:



एक अन्य विशेषता यह है कि ईजीएआईएस के लिए प्रमाणपत्र धारकों को एफएसआरएपी घोषणा प्रणाली (ओआईडी - 1.2.643.3.6.78.4.4) के लाइसेंसधारी हो सकते हैं। अनुरोध बनाते समय इस पर भी विचार किया जाना चाहिए:



प्रमाणपत्र अनुरोध के सभी क्षेत्र भरे जाने के बाद और आपने डेटा के सही होने की पुष्टि की है, एक कुंजी जोड़ी बनाई जाएगी और अनुरोध बनाया जाएगा:



यदि आप अनुरोध को देखते हैं, तो इसमें आप ओजी-एस (एक्सटेंडेड की यूज़) देख सकते हैं, जो कि ईजीएआईएस रोसालोगोग्लोग्रूलीरोवानी के लिए आवश्यक हैं:



यहां आपको मुख्य जोड़ी लेबल पर (पिछले स्क्रीनशॉट में) ध्यान देना चाहिए। PKCS # 11 शब्दावली में, यह सार्वजनिक और निजी कुंजी के लिए CKA_LABEL विशेषता है। यह इस तरह की एक योजना के द्वारा है कि एक लेबल (कुंजी नाम) केंद्र सरकार FSN से JaCarta के लिए EGAIS क्वेरी जनरेटर द्वारा बनाया गया है:



परंपरागत रूप से ट्रिपल प्रमाणपत्र x public_key x निजी कुंजी
टोकन CKA_ID विशेषता के माध्यम से जुड़ा हुआ है
:

CKA_ID को निर्दिष्ट करने का सबसे आम तरीका सार्वजनिक कुंजी मान से हैश फ़ंक्शन मान का उपयोग करना है। यह एनएसएस (नेटवर्क सिक्योरिटी सर्विसेज) परियोजना में वस्तुओं के ट्रिपल को जोड़ने के लिए उपयोग की जाने वाली विधि है। उसी समय, SHA1 एल्गोरिथ्म का उपयोग हैश फ़ंक्शन के रूप में किया जाता है।

दुर्भाग्य से, CKA_LABEL और CKA_ID दोनों को किसी भी समय किसी भी मूल्य के साथ सेट / बदला जा सकता है। इस प्रकार, हमेशा संभावना है कि प्रमाण पत्र किसी अन्य व्यक्ति की निजी कुंजी के साथ जुड़ा होगा। इसके क्या परिणाम होंगे, यह समझाने की आवश्यकता नहीं है।

सामान्य तौर पर, क्या एक सख्त गणितीय एल्गोरिथ्म है जो आपको ट्रिपल CKO_CERTIFICATE x CKO_PRIVATE_KEY x CKO_PUBLIC_KEY को एक एकल में जोड़ने की अनुमति देता है?
हां, टोकन के क्रिप्टोग्राफिक तंत्र (CKM_) पर आधारित ऐसा एल्गोरिथ्म मौजूद है ।

दुर्भाग्य से (हालांकि इसे निष्पक्ष रूप से समझा जा सकता है), यह CKA_LABEL के माध्यम से एक ट्रिपल में एक गुच्छा मानता है, जो उपर्युक्त विधि द्वारा बनाया गया है। इसके अलावा, निजी और सार्वजनिक कुंजी के लिए SKA_ID एक समान तरीके से बनता है। कुंजी के लिए यह सिर्फ एक आपदा है, हालाँकि, न तो CKA_ID और न ही CKA_LABEL किसी भी तरह से कुंजी के लिए बाध्य हैं। यह टोकन पर स्थापित होने के बाद प्रमाण पत्र पर भी लागू होता है। यदि सार्वजनिक कुंजी से हैश के रूप में CKA_ID के पारंपरिक गठन में, आप हमेशा यह देख सकते हैं कि क्या एक दूसरे से मेल खाता है, तो CKA_ID और CKA_LABEL को ऊपर वर्णित तरीके से सेट करते समय, यह नहीं किया जा सकता है।

एक सवाल उठ सकता है, लेकिन निजी कुंजी के अनुपालन की जांच कैसे करें? उत्तर सरल है - निजी के खिलाफ सार्वजनिक कुंजी के मूल्य की गणना करके। प्रमाण पत्र के लिए, इसकी सार्वजनिक कुंजी का मूल्य स्वाभाविक रूप से, इसमें है। इसके अलावा, प्रमाणपत्र में प्रमाण पत्र धारक (प्रमाणपत्र विषय प्रमुख पहचानकर्ता) और प्रमाणपत्र प्रकाशक (प्रमाणपत्र प्राधिकरण कुंजी पहचानकर्ता) दोनों के लिए CKA_ID मूल्य शामिल हैं:



सबसे अप्रिय बात यह थी कि प्रमाण पत्र स्थापित करते समय, यह उस निजी कुंजी की उपस्थिति नहीं है जिसे जांचा जाता है, लेकिन केवल सार्वजनिक कुंजी पर्याप्त है। इस मामले में, प्रमाणपत्र स्थापित किया जाएगा, लेकिन उस पर कोई निजी कुंजी नहीं होगी। एक और समस्या। यह टिन द्वारा एक सार्वजनिक कुंजी खोज है। कल्पना कीजिए कि किसी व्यक्ति के पास विभिन्न प्रमाणपत्रों के लिए एक टिन और कई चाबियां हैं। किसका है? उसके बाद, यह स्पष्ट हो जाता है कि जाकार्ता के पास केवल एक प्रमाण पत्र और एक प्रमुख जोड़ी होने की आवश्यकता है:

यह त्रुटि प्रमाणपत्र दोहराव से संबंधित हो सकती है। GOST टैब पर व्यवस्थापक मोड में JaCarta सिंगल क्लाइंट में, पिन कोड दर्ज करने के बाद, एक सार्वजनिक, एक निजी कुंजी और प्रमाण पत्र दिखाई देना चाहिए। इस स्थिति में, कुंजी दोहराव दिखाई देता है। आपको अतिरिक्त को हटाने की आवश्यकता है। USB कनेक्टर में मीडिया को फिर से डालें और UTM को फिर से स्थापित करने का प्रयास करें। यदि त्रुटि बनी रहती है, तो लिंक 1 के अनुसार जकार्ता को इनिशियलाइज़ करें और फिर से जनरेशन प्रोसेस से गुजरें।

आशा करते हैं कि यह कमी दूर होगी। आप पूछ सकते हैं कि ईजीएआईएस के लिए क्रिप्टोकरंसी उपयोगिता प्रमाणपत्र कैसे स्थापित करती है। JaCarta के लिए पूर्ण अनुकूलता के लिए, हमने विचारधारा को बनाए रखा है कि चाबियों के लिए CKA_ID और CKA_LABEL समान हैं। लेकिन प्रमाण पत्र को टोकन पर स्थापित करने और कुंजी जोड़ी में बांधने के बाद ही। तब तक, कुंजी जोड़ी CKA_ID को सार्वजनिक कुंजी से हैश मान के बराबर रखा जाता है।
प्रमाण पत्र स्थापित करने के बाद, आप दस्तावेजों पर हस्ताक्षर करने के लिए इसका उपयोग कर सकते हैं।

आप स्व-हस्ताक्षरित प्रमाणपत्रों के बारे में यहाँ पढ़ सकते हैं: