सार्वजनिक कुंजी मानकों के आधार पर क्रिप्टोग्राफिक वर्कस्टेशन। PKCS # 11 टोकन कॉन्फ़िगर करना

एक बार फिर से cryptoarmpkcs उपयोगिता की कार्यक्षमता को देखते हुए , मैंने देखा कि यह, मुख्य रूप से PKCS # 11 क्रिप्टोग्राफ़िक टोकन / स्मार्टकार्ड के साथ काम करते हुए, उनके कॉन्फ़िगरेशन के लिए अंतर्निहित कार्यक्षमता नहीं है। हम टोकन को इनिशियलाइज़ करने , पिन कोड सेट करने आदि के बारे में बात कर रहे हैं। और इस कार्यक्षमता को जोड़ने का निर्णय लिया गया। पहला कदम TclPKCS11 पैकेज की कार्यक्षमता का विस्तार करना था, जिसकी लाइब्रेरी C में लिखी गई है ।

नई TclPKCS11 सुविधाएँ

पैकेज में तीन नई सुविधाएँ दिखाई गईं:

::pki::pkcs11::inittoken <handle> <slotId> <SO-pin> <label for token> 

 ::pki::pkcs11::inituserpin <handle> <slotId> <SO-pin> <USER-pin> 

 ::pki::pkcs11::setpin <handle> <slotId> <so | user> <oldpin> <newpin> 

पहला कार्य :: pki :: pkcs11 :: inittoken टोकन को इनिशियलाइज़ करना है। यह ध्यान में रखना होगा कि यदि यह फ़ंक्शन एक कार्यशील टोकन पर लागू होता है, तो उस पर सभी ऑब्जेक्ट नष्ट हो जाएंगे।

दूसरा फ़ंक्शन :: pki :: pkcs11 :: inituserpin एक यूजर पिन (USER पिन) को इनिशियलाइज़ करने के लिए है।

उपयोगकर्ता पिन-कोड के प्रारंभिक प्रारंभिककरण के बाद, इसे तुरंत पिन-कोड में बदल दिया जाना चाहिए, जो भविष्य में उपयोग किया जाएगा, और इसे स्टोर कर सकते हैं, जैसे कि SO-PIN, prying आँखों से दूर। सुरक्षा उद्देश्यों के लिए, टोकन, एक नियम के रूप में, आपको प्रारंभिक पिन कोड के साथ उन्हें लॉग इन करने की अनुमति नहीं देता है।

पिन कोड बदलने के लिए, एक तीसरे फ़ंक्शन का उपयोग किया जाता है, जिसका नाम :: pki :: pkcs11 :: setpin है। यह फ़ंक्शन आपको उपयोगकर्ता पिन और एसओ-पिन दोनों को बदलने की अनुमति देता है।

यह भी ध्यान में रखा जाना चाहिए कि टोकन, एक नियम के रूप में, मूल एसओ-पिन (डिफ़ॉल्ट) को पुनर्स्थापित करने की अनुमति नहीं देता है। लेकिन यदि आप टोकन को फिर से शुरू करते हैं, तो आपको फिर से डिफ़ॉल्ट एसओ-पिन मिलेगा। TclPKCS11 पैकेज के कार्यान्वयन को जीथब पर देखा जा सकता है।

अब, नए कार्यों के साथ TclPKCS11 पैकेज हाथ में होने पर, इन कार्यों के लिए GUI लागू करना मुश्किल नहीं था:

प्रशिक्षण टोकन

लेकिन उनका उपयोग करने से पहले, आइए इस तथ्य पर ध्यान दें कि उपयोगिता कार्यक्षमता में एक और बटन "Create टोकन" जोड़ा गया है।

यह इस तथ्य के कारण है कि हर किसी के पास रूसी क्रिप्टोग्राफी के समर्थन के साथ PKCS # 11 हार्डवेयर टोकन नहीं है, और यदि ऐसा है, तो शैक्षिक उद्देश्यों के लिए इसका उपयोग करना डरावना है। और सिर्फ इतना है कि उपयोगिता का उपयोग शैक्षिक उद्देश्यों के लिए आसानी से किया जा सकता है, सबसे पहले, "टोकन बनाएं" बटन दिखाई दिया। इस बटन पर क्लिक करके, आपको निर्देश मिलेगा कि सॉफ्टवेयर या क्लाउड टोकन कैसे प्राप्त करें:



ये टोकन PKCS # 11 v.2.40 के लिए नवीनतम TK-26 सिफारिशों को लागू करते हैं।

हम संक्षेप में चर्चा करेंगे कि क्लाउड टोकन कैसे प्राप्त करें। आवश्यक वितरण पैकेज डाउनलोड करें, यदि आवश्यक हो तो इसे अनपैक करें और इसे चलाएं। यदि हमारे पास क्लाउड टोकन नहीं है, तो हमें निम्न संदेश प्राप्त होगा:



चूँकि हमारे पास अभी तक क्लाउड टोकन नहीं है, तो "क्लाउड में रजिस्टर करें" बटन पर क्लिक करें:



खेतों में भरने के बाद, "समाप्त" बटन पर क्लिक करें:



चूंकि हम मुख्य रूप से प्रशिक्षण के बारे में बात कर रहे हैं, हम कार्यस्थल में क्लाउड (लेकिन टोकन नहीं) तक पहुंचने के लिए एक पासवर्ड बचा सकते हैं:

टोकन प्रारंभिक

अब जब हम क्लाउड में पंजीकृत हैं, तो हम guils11cloud_conf उपयोगिता से बाहर निकलते हैं और क्लाउड टोकन को कॉन्फ़िगर करने के लिए cryptoarmpkcs उपयोगिता पर लौटते हैं। यहां यह ध्यान दिया जाना चाहिए कि उपयोगकर्ता के होम डायरेक्टरी में बनाए गए ls11cloud फ़ोल्डर में क्लाउड टोकन लाइब्रेरी को सहेजा जाएगा। यह वह लाइब्रेरी है जिसे क्लाउड टोकन के लिए PKCS # 11 लाइब्रेरी के रूप में चुना जाना चाहिए। लाइब्रेरी चुनने के बाद, आप समर्थित क्रिप्टोग्राफ़िक तंत्र देख सकते हैं:



हम "टोकन कॉन्फ़िगरेशन" बटन पर क्लिक करके क्लाउड टोकन को इनिशियलाइज़ करते हैं। हम ऑपरेशन "टोकन का प्रारंभ" का चयन करते हैं, फ़ील्ड भरें (याद रखें कि डिफ़ॉल्ट SO-PIN 87654321 है) और "ऑपरेशन करें" बटन पर क्लिक करें:



सभी टोकन काम करने के लिए तैयार हैं। लेकिन एसओ-पिन को बदलना न भूलें और समय-समय पर यूजर पिन को बदलते रहें। एक समान योजना का उपयोग करके, आप एक सॉफ्टवेयर टोकन बना सकते हैं। उन लोगों की कोशिश कर सकते हैं:



अब हम उन पर अपने व्यक्तिगत प्रमाण पत्र संग्रहीत कर सकते हैं, दस्तावेजों पर हस्ताक्षर कर सकते हैं, वह सब कर सकते हैं जो लेखों की इस श्रृंखला में लिखा गया था।

पीकेआई / पीकेआई में आगामी नवाचार

7 नवंबर, 2019 को, राज्य ड्यूमा ने "इलेक्ट्रॉनिक हस्ताक्षर पर" कानून में पहले पढ़ने के संशोधनों को अपनाया। यह संशोधन सभी संगठनों और व्यक्तिगत उद्यमियों पर लागू होता है, क्योंकि इलेक्ट्रॉनिक हस्ताक्षर जारी करने के नियम बदल जाएंगे।

अगर मैंने सब कुछ सही ढंग से समझा, तो कानूनी संस्थाएं और व्यक्तिगत उद्यमी केवल फेडरल टैक्स सर्विस, और वित्तीय संगठनों के रूसी बैंक के सेंट्रल बैंक में योग्य प्रमाण पत्र प्राप्त कर सकेंगे। और केवल इन प्रमाणपत्रों का उपयोग करके इसे सेट किया जा सकता है
उन्नत योग्य इलेक्ट्रॉनिक हस्ताक्षर (कैड्स-एक्सएलटी 1)।

दूरसंचार और जन संचार मंत्रालय द्वारा मान्यता प्राप्त प्रमाणन केंद्र (सीए) केवल व्यक्तियों को इस तरह के प्रमाण पत्र जारी करने में सक्षम होंगे।

इसके अलावा, सीए की आवश्यकताएं काफी बदल जाएंगी: इक्विटी को 7 मिलियन से 500 मिलियन - 1 बिलियन तक बढ़ाया जाना चाहिए, बीमा देयता की राशि 30 मिलियन से 300-500 मिलियन रूबल तक बढ़ जाती है, मान्यता अवधि 5 वर्ष से 3 वर्ष तक कम हो जाती है।

बिल ने पहले ही तीखी आलोचना की है। मुख्य शिकायत यह है कि परिवर्तन से अधिकांश वाणिज्यिक CA के बंद होने का कारण बनेगा, CA संघीय कर सेवा की क्षमताओं को विस्तारित करने और बनाए रखने के लिए महत्वपूर्ण बजटीय व्यय की आवश्यकता होगी, साथ ही एकल बुनियादी ढांचे पर सभी प्रकार के जोखिमों की एकाग्रता, जो साइबर हमलों के लिए एक सुविधाजनक लक्ष्य बन जाएगा।

एक और संशोधन है - कंपनी दस्तावेजों पर हस्ताक्षर करने की बाध्यता एक बार में नहीं, बल्कि एक ही समय में दो संवर्धित योग्य हस्ताक्षरों द्वारा। संगठन के प्रमुख को दस्तावेज़ को कानूनी इकाई के हस्ताक्षर और एक व्यक्तिगत डिजिटल हस्ताक्षर को एक व्यक्ति के रूप में रखना होगा।

और यहां क्रिप्टोकरंसी उपयोगिता बहुत उपयोगी होगी, क्योंकि इसकी कार्यक्षमता आपको दस्तावेज़ के तहत कई हस्ताक्षर करने की अनुमति देती है, साथ ही यह भी देखती है कि कौन और कब दस्तावेज़ पर हस्ताक्षर किए हैं:



PS उन लोगों के लिए जो पहली बार उपयोगिताओं को प्राप्त करना चाहते हैं, यह अभी भी यहां किया जा सकता है: