सार्वजनिक कुंजी मानकों के आधार पर क्रिप्टोग्राफिक वर्कस्टेशन। एसएसएल प्रमाणपत्र जारी करें। उपसंहार

इसलिए हम स्व-हस्ताक्षरित प्रमाण पत्र के निर्माण के लिए तैयार हो गए।
स्व-हस्ताक्षरित प्रमाण पत्र कहां लागू होते हैं? बेशक, एक स्व-हस्ताक्षरित प्रमाण पत्र के साथ, आप राज्य सेवाओं की वेबसाइट पर पंजीकरण नहीं कर पाएंगे या संघीय सरकार की सेवा में हस्ताक्षरित घोषणा पत्र जमा नहीं कर पाएंगे। लेकिन आंतरिक कॉर्पोरेट वर्कफ़्लो के लिए उनका उपयोग किया जा सकता है। आप वीपीएन नेटवर्क आदि में व्यक्तिगत ई-मेल पत्राचार की सुरक्षा के लिए भी उनका उपयोग कर सकते हैं। लेकिन अक्सर वे वेब अनुप्रयोगों के लिए https प्रोटोकॉल के माध्यम से सुरक्षित पहुंच प्रदान करने के लिए स्व-हस्ताक्षरित एसएसएल प्रमाणपत्र का उपयोग करते हैं। ओपनएसएसएल स्व-हस्ताक्षरित प्रमाण पत्र बनाने के लिए सबसे लोकप्रिय उपकरण बना हुआ है। उसी ओपनएसएसएल का उपयोग करके एसएसएल प्रमाणपत्र प्राप्त करने की प्रक्रिया यहाँ वर्णित है । लेकिन वहां आपको GOST सर्टिफिकेट, PKCS # 11 टोकन आदि का उल्लेख नहीं मिलेगा। यहां हम एक सरल ग्राफिकल इंटरफ़ेस देखते हैं जो आपको GOST R 34.10-2012 के आधार पर और ओपनएसएसएल के किसी भी उपयोग के बिना प्रमाण पत्र प्राप्त करने की अनुमति देता है।

तो, "स्व-हस्ताक्षरित प्रमाणपत्र" बटन पर क्लिक करें:



जैसा कि आप देख सकते हैं, प्रमाणपत्र अनुरोध बनाते समय यह टैब एक ही टैब से बहुत अलग नहीं है। यहां "प्रमाणपत्र प्रकार" प्रमाणपत्र के प्रकार को चुनने के लिए बटन दिखाई दिए:
- उपयोगकर्ता प्रमाणपत्र (उपयोगकर्ता बटन);
- रूट प्रमाणपत्र (सीए बटन);
- एसएसएल प्रमाणपत्र (एसएसएल बटन)।
स्वाभाविक रूप से, आपको रूट प्रमाण पत्र जारी करके काम शुरू करने की आवश्यकता है, जिसके आधार पर उसके बाद अन्य सभी प्रमाण पत्र जारी किए जाएंगे। रूट प्रमाणपत्र बनाते समय, कुंजी असाइनमेंट (उपयोग) में "प्रमाणपत्र हस्ताक्षर" चेकबॉक्स को सक्षम करने के लिए मत भूलना:



हम प्रमाण पत्र के मुख्य क्षेत्रों को भरने से चूक जाते हैं, वे अनुरोध के लिए समान फ़ील्ड भरने से अलग नहीं होते हैं, और तुरंत अंतिम पृष्ठों पर जाते हैं। यहाँ पहले एक है:



इस पृष्ठ पर आपको उस फ़ोल्डर का चयन करना होगा जिसमें रूट प्रमाण पत्र और उसकी निजी कुंजी को सहेजा जाएगा। अन्य प्रमाणपत्र जारी करते समय इस फ़ोल्डर को निर्दिष्ट करने की आवश्यकता होगी। आपको प्रमाण पत्र की वैधता अवधि भी निर्धारित करनी चाहिए। आप उस बिंदु को भी निर्दिष्ट कर सकते हैं जिस पर आप रूट प्रमाणपत्र प्राप्त कर सकते हैं। रिलीज होने पर, प्रमाणपत्र और निजी कुंजी PKCS # 12 के पसंदीदा सुरक्षित कंटेनर में पैक किए जाएंगे। इस संबंध में, आपको कंटेनर के लिए एक पासवर्ड सेट करना होगा। परिणामस्वरूप, "समाप्त" बटन पर क्लिक करने के बाद, एक रूट प्रमाणपत्र प्राप्त किया जाएगा:



प्रमाण पत्र जारी करते समय, हमें निर्दिष्ट निर्देशिका में चार फाइलें मिलती हैं:

• rootCA.cer प्रमाणपत्र के साथ ही उस प्रारूप (पीईएम / डीईआर) में जिसे आपने चुना था;
• rootCA.csr एक प्रमाणपत्र अनुरोध के साथ;
• rootCA.pfx पासवर्ड-सुरक्षित PKCS # 12 कंटेनर प्रमाण पत्र और निजी कुंजी के साथ;
• rootCA.key आपके द्वारा चयनित प्रारूप (PEM / DER) में निजी कुंजी के साथ।

RootCA.key फ़ाइल, यदि आप इसका उपयोग नहीं करने जा रहे हैं, तो इसे तुरंत नष्ट करना बेहतर है। अन्यथा, इसे अन्य लोगों के लिए दुर्गम स्थान पर संग्रहीत करें। इसके अलावा proying आँखों से rooCA.pfx कंटेनर के लिए पासवर्ड छिपाएँ।
अब जबकि हमारे पास रूट प्रमाणपत्र है, हम SSL प्रमाणपत्र सहित उपयोगकर्ता प्रमाणपत्र जारी करना शुरू कर सकते हैं:



प्रमाणपत्र का प्रकार (एसएसएल प्रमाणपत्र), कुंजी का प्रकार, इसके मापदंडों और इसे (कुंजी) का उपयोग करने के बाद, हम अगले पृष्ठ पर जाएंगे:



यह पृष्ठ प्राथमिक डोमेन नाम सेट करता है, जिसे सामान्य नाम फ़ील्ड में दर्ज किया जाएगा, और आप अपने डोमेन के अतिरिक्त (वैकल्पिक) नाम भी निर्दिष्ट कर सकते हैं। आप आईपी पते भी निर्दिष्ट कर सकते हैं जहां आपका डोमेन स्थित हो सकता है। यह सब " प्रतिष्ठित हरे महल " के लिए किया जाता है।
डोमेन से निपटने के बाद, आईपी-पते निम्नलिखित टैब पर जाते हैं। सब कुछ हमेशा की तरह है। अंतर केवल इतना है कि "समाप्त" बटन पर क्लिक करने के बाद, रूटएसीएपीपीएक्सएक्स रूट कंटेनर के लिए पासवर्ड का अनुरोध किया जाएगा:



पासवर्ड को सफलतापूर्वक दर्ज करने के बाद, हमें चार फाइलें भी मिलती हैं:



रूट प्रमाणपत्र के संबंध में ऊपर दिए गए पासवर्ड और निजी कुंजी के बारे में सभी टिप्पणियां बाकी प्रमाणपत्र पर लागू होती हैं। सभी प्रमाण पत्र जो हमने जारी किए हैं। आगे क्या है?
उनका उपयोग करें। यदि ये उपयोगकर्ता प्रमाण पत्र हैं, तो आप पीकेसीएस # 12 कंटेनरों के माध्यम से एक ही उपयोगिता में उनका उपयोग कर सकते हैं, दस्तावेजों पर हस्ताक्षर करने के लिए दस्तावेज़ प्रवाह में, उदाहरण के लिए:



एसएसएल प्रमाणपत्रों के लिए, उनका उपयोग अपने इच्छित उद्देश्य के लिए एक वेब एप्लिकेशन के साथ एक सुरक्षित चैनल को व्यवस्थित करने के लिए किया जाना चाहिए। इस तरह के एक आवेदन के रूप में, हमने एक सीए लिया, जहां प्रशासकों के लिए इसके संसाधनों का उपयोग GOST https के अनुसार आयोजित किया गया है। CA को Apache2-2.4.10 के आधार पर मॉड्यूल mod_ssl के साथ तैनात किया गया है, जो रूसी एन्क्रिप्शन सिस्टम का समर्थन करता है। सर्वर पर (हमारे पास यह लिनक्स है) प्राप्त एसएसएल प्रमाणपत्र (<अपनी निर्देशिका> / स्वयं_एक्सएक्सएक्सएक्स) और उसकी निजी कुंजी (<अपनी निर्देशिका> /सेल_xxx.key) / etc / ssl फ़ोल्डर में डालें और उन्हें फ़ाइल में पथ लिखें / etc / apache2 / sites-available / default-ssl:

... SSLCertificateFile < >/self_xxx.cer SSLCertificateKeyFile < >/self_xxx.key .... 

Apache2 पुनरारंभ करें:

 #service pache2 restart # 

रूसी क्रिप्टोग्राफी समर्थन वाले ब्राउज़र में कार्यस्थल (मेरे पास लिनक्स) है , इसमें विश्वास के साथ हमारे रूट प्रमाणपत्र (<अपनी निर्देशिका> /rootCA.cer) स्थापित करें। काम कर रहे कंप्यूटर पर, निम्न पंक्ति को / etc / मेजबान फ़ाइल में जोड़ें:

 192.168.0.233 www.shield-ra.ru shield-ra.ru shield-ra 

और इनमें से किसी एक पते पर जाएं:



लिट, "ग्रीन लॉक के लिए तरस गया।"
शेष पते की जाँच करें:



चारों ओर हरा। और अंत में, आइए देखें कि हमने किस सिफर सुइट का उपयोग किया:



पहले से निर्मित प्रमाणपत्र अनुरोधों के लिए स्व-हस्ताक्षरित प्रमाण पत्र बनाने के लिए, "देखें अनुरोध / प्रमाण पत्र" पृष्ठ की कार्यक्षमता का विस्तार किया गया है:



जैसा कि स्क्रीनशॉट से देखा जा सकता है, अब आप न केवल अनुरोध देख सकते हैं, बल्कि उस पर एक प्रमाण पत्र भी जारी कर सकते हैं। रूट प्रमाणपत्र के रूप में rootCA.pfx कंटेनर का उपयोग किया जाता है। जब आप "इश्यू" बटन पर क्लिक करते हैं, तो एक अनुरोध के साथ एक विंडो दिखाई देती है, जिस पर नजर डालते हुए आप "इश्यू सर्टिफिकेट" बटन पर क्लिक कर सकते हैं:



बटन पर क्लिक करने के बाद, रूट कंटेनर के लिए एक पासवर्ड का अनुरोध किया जाएगा और एक प्रमाण पत्र जारी किया जाएगा:



वैसे, आप प्राप्त प्रमाण पत्र को उसी पृष्ठ पर देख सकते हैं (बटन "प्रमाणपत्र फ़ाइल")।
तो, हमारी क्रिप्टोग्राफ़िक उपयोगिता क्रिप्टोकरंसी आपको देती है:
- रूसी क्रिप्टोग्राफी के समर्थन के साथ PKCS # 11 टोकन के साथ काम करें;
- प्रमाणपत्र अनुरोध बनाएं;
- PKCS # 11 टोकन का उपयोग करके एक इलेक्ट्रॉनिक हस्ताक्षर (CAdes XLT1 तक) बनाएं और सत्यापित करें;
- PKCS # 12 कंटेनरों का उपयोग करके एक इलेक्ट्रॉनिक हस्ताक्षर (CAdes XLT1 तक) बनाएं;
- स्व-हस्ताक्षरित प्रमाण पत्र जारी करना;
- प्रमाण पत्र और अनुरोध देखें।
शायद, इसमें कुछ गायब है, मुझे बताओ, हम ध्यान में रखेंगे। आपके धैर्य के लिए धन्यवाद।
पुनश्च अब आप उपयोगिता से सीधे अद्यतन संस्करण डाउनलोड कर सकते हैं। ऐसा करने के लिए, बस "PKCS # 11, X509v3 ..." शीर्षक पर माउस कर्सर ले जाएँ, दायाँ माउस बटन दबाएँ और मेनू आइटम "प्रोग्राम के बारे में" चुनें: