GOST 2012 को चेक प्वाइंट उपकरण पर क्रिप्टोग्राफी अपडेट करने के तरीके

रूस के FSB की आवश्यकताओं के अनुसार, 31 दिसंबर, 2018 के बाद इलेक्ट्रॉनिक हस्ताक्षर बनाने के लिए GOST R 34.10-2001 हस्ताक्षर योजना का उपयोग करने की अनुमति नहीं है। हालांकि, क्रिप्टोग्राफी CryptoPro के साथ चेक प्वाइंट के लिए संबंधित पैच, जो नए एल्गोरिदम का समर्थन करता है, 2018 में जारी नहीं किया गया था। नियामक की आवश्यकताओं को पूरा करने के लिए और सुरक्षित संचार चैनलों के बिना अचानक नहीं छोड़े जाने के लिए, कई कंपनियों ने GOST एन्क्रिप्शन के समर्थन के साथ चेक प्वाइंट उपकरण का उपयोग करते हुए, एक नए पैच की प्रतीक्षा किए बिना, GOST R 34.10 / 11-2001 एल्गोरिदम के अनुसार प्रवेश द्वार के लिए प्रमाण पत्र जारी किए।

यह प्रकाशन ऐसी स्थिति पर चर्चा करता है, जहां चेक प्वाइंट फायरवॉल (MEs) पहले से ही R77.30 संस्करण में अपडेट किए जाते हैं और CryptoPro CSP 3.9 वितरण किट चेक प्वाइंट SPLAT / GAiA उन पर स्थापित है। इस स्थिति में, आप GOST R 34.10 / 11-2012 एल्गोरिदम का उपयोग करके जारी किए गए नोड के प्रमाण पत्र को सहेज सकते हैं, जो चेक प्वाइंट ME (वितरित / स्टैंडअलोन पूर्ण हा तैनाती) के क्लस्टर इंस्टॉलेशन का उपयोग करते समय, संचार में बिना रुकावट के उपकरण पर क्रिप्टोग्राफी को अपडेट करने की अनुमति देता है। व्यवहार में, एक स्थिति काफी आम है जब कई भौगोलिक रूप से दूरस्थ साइटें केंद्रीय क्लस्टर के साथ वीपीएन सुरंगों का निर्माण करती हैं। तदनुसार, एक समय में बड़ी संख्या में साइटों को अपडेट नहीं करने के लिए, नए पैच उपकरण पर GOST R 34.10 / 11-2001 एल्गोरिदम और नए GOST R 34.10 / 11-2012 एल्गोरिदम का उपयोग करने की अनुमति देता है।

वेंडर को नई क्रिप्टोग्राफी में बदलने का अनुशंसित तरीका इस प्रकार है:

1. एसएमएस सर्वर डेटाबेस का माइग्रेशन (निर्यात);
2. ताजा स्थापित एसएमएस सर्वर;
3. क्रिप्टोप्रो सीएसपी 4.0 स्थापना;
4. एक अद्यतन एसएमएस सर्वर के लिए डेटाबेस प्रवास (आयात)।
5. ताजा इंस्टॉल जीडब्ल्यू, जो एसएमएस द्वारा प्रबंधित किए जाते हैं;
6. सभी GW पर CryptoPro CSP 4.0 स्थापित करना।

यह विधि आपको GOST R 34.10 / 11-2001 के अनुसार जारी किए गए गेटवे प्रमाणपत्र को बचाने की अनुमति नहीं देती है, इसके अलावा, इसे और अधिक समय की आवश्यकता है।

हम एक वैकल्पिक अपडेट योजना पर विचार करेंगे, जिसे हमारे द्वारा बड़ी संख्या में उपकरणों पर काम किया गया था। इसके कार्यान्वयन के लिए एक छोटा सा स्टैंड इकट्ठा किया गया था:



एसएमएस - चेक प्वाइंट गेटवे मैनेजमेंट सर्वर (प्राथमिक प्रबंधन सर्वर)
नियंत्रित गेटवे: FW1-Node-1, FW1-Node-2
GW1-2 - चेक प्वाइंट (सुरक्षा द्वार), GW-क्लस्टर क्लस्टर सदस्य, क्लस्टर मोड: ClusterXL उच्च उपलब्धता
एसएमएस-जीडब्ल्यू - चेक प्वाइंट गेटवे सर्वर (प्राथमिक प्रबंधन सर्वर), चेक प्वाइंट गेटवे (सुरक्षा गेटवे), स्टैंडअलोन तैनाती की जाँच करें
HOST1-2 - गेटवे के बीच यातायात प्रवाह की जांच के लिए एक मशीन का उपयोग किया जाता है

होम स्टेशन के सीमित संसाधनों के कारण, स्टैंडअलोन पूर्ण हा परिनियोजन अपग्रेड विकल्प इस स्टैंड में नहीं दिखाया गया है, हालांकि, यह एकमात्र अंतर के साथ स्टैंडअलोन तैनाती अपग्रेड के समान है, जिस पर विचार किए जाने वाले कार्यों के अनुक्रम को द्वितीयक स्टैंडअलोन गेटवे के लिए दोहराया जाना होगा।

अद्यतन योजना में 2 चरण हैं:

• स्टैंडअलोन गेटवे पर क्रिप्टोग्राफी अपडेट;
• एसएमएस और जीडब्ल्यू क्लस्टर अपडेट करें।

आइए इन चरणों पर अधिक विस्तार से विचार करें।

1. स्टैंडअलोन गेटवे (एसएमएस + जीडब्ल्यू) पर क्रिप्टोग्राफी अपडेट:

जांचें कि प्रमाणपत्र वर्तमान में स्थापित है (यह सुनिश्चित करने के लिए कि क्रिप्टोग्राफी को अपडेट करने के बाद प्रमाणपत्र समान रहेगा):



1. सबसे पहली बात यह है कि CryptoPro 3.9 निकालें।
हटाने का आदेश (कमांड शेल / बिन / बैश (विशेषज्ञ) में निष्पादित))

/opt/CPUninstall/R77.30_GOST/UnixUninstallScript 

तब हमें निम्नलिखित चेतावनी मिलती है:



स्क्रिप्ट खत्म होने के बाद, आपको गेटवे को पुनरारंभ करना होगा।

रिबूट करने के बाद, आपको पुस्तकालयों को हटाने के लिए निम्नलिखित कमांड को चलाना होगा जो कि बनी रह सकती है:

 /opt/CPUninstall/GOST/gost_cpro_uninstall.sh 

इसके अलावा, अगर CryptoPro 3.9 स्थापना फ़ाइलें गेटवे पर बनी रहीं, तो आपको निर्देशिका / var / gost_install का नाम बदलकर / var / gost_install_39 रखने या इसकी सामग्री हटाने की आवश्यकता है।

2. इसके बाद, आपको नई GOST पैच को / var / gost_install निर्देशिका में स्थापित करने के लिए आवश्यक फ़ाइलों की प्रतिलिपि बनाने की आवश्यकता है। यह अनुशंसा की जाती है कि आप संग्रह को क्रिप्टो लाइब्रेरीज़ (rpm और kis निर्देशिकाओं) के साथ पथ / var / gost_install के साथ कॉपी करें और इसे अनज़िप करें, और पैच को पथ / var / gost_install / hf के साथ कॉपी करें और इसे भी अनज़िप करें।

3. क्रिप्टो प्रो 4.0 की स्थापना का शुभारंभ:

 /var/gost_install/hf/UnixInstallScript 

स्क्रिप्ट निष्पादन के अंत में, आपको निम्न संदेश प्राप्त करना चाहिए, जिसके बाद आपको गेटवे को पुनरारंभ करना होगा:



4. इसके बाद, आपको CryptoPro लाइसेंस स्थापित करना होगा:

 /opt/cprocsp/sbin/ia32/cpconfig -license –set <license_key> 

आपको कंसोल का उपयोग करके कनेक्ट करने की भी आवश्यकता है, जो क्रिप्टोप्रो स्थापित करने के लिए वितरण किट का हिस्सा है, और पॉलिसी स्थापित करें।

रिबूट के तुरंत बाद, सुरंग को GOST R 34.10 / 11-2001 के अनुसार जारी किए गए प्रमाण पत्र पर बनाया गया है। ऐसा करने के लिए, जांचें कि कौन सा प्रमाण पत्र स्थापित है, IKE SA और IPsec SA रीसेट करें (TunnelUtil उपयोगिता का उपयोग करके, जिसे vpn tu कमांड द्वारा कहा जाता है) और सत्यापित करें कि सुरंग का पुनर्निर्माण किया जा रहा है:







जैसा कि आप देख सकते हैं - सुरंग पुनर्निर्माण कर रहा है, जांचें कि स्मार्टवॉकर ट्रैकर में किस तरह की रिकॉर्डिंग देखी जा सकती है:



जैसा कि आप देख सकते हैं, गेट पर CryptoPro के अपडेट से पहले डेटा एन्क्रिप्शन तरीके समान हैं।

5. अगला, अद्यतन नोड पर GOST 2012 एल्गोरिदम का उपयोग करने के लिए, CryptoPro 4.0 स्थापित करने के लिए वितरण पैकेज में README_GOST_2012_SIG_USAGE.txt में निहित आदेशों को निष्पादित करना आवश्यक है:

 ckp_regedit -a SOFTWARE\\CheckPoint\\VPN1 USE_2012_GOST_ALGS 1 ckp_regedit -a SOFTWARE\\CheckPoint\\VPN1 GOST_USE_PSK 1 

6. एक ही ReadMe में आप निम्नलिखित पा सकते हैं:

 Though site key was needed only for clusters in previous GOST versions now you should also use site key for non-clustered GWs 

यही है, पैच के नए संस्करण में, साइटके को स्थापित करना (और बाद में उन्हें अपडेट करना) स्टैंड-अलोन गेटवे के लिए भी आवश्यक है।

साइट कुंजी उत्पन्न करने के लिए, निम्नलिखित कमांड चलाएँ:

1.opt/cprocsp/bin/ia32/cp-genpsk.sh <Cluster_Name> Net 6:
SiteKey भाग 0 और भाग 1 का एक संयोजन है:
HM25MEKFK9HTLPU0V0THZPPEXBXZ
स्थापना के बाद, निम्नलिखित प्रविष्टि SmartView ट्रैकर में दिखाई देगी:



7. इसके बाद, यह केवल GOST 2012 प्रमाण पत्र जारी करने के लिए बना हुआ है (पूर्व में नए GOST के अनुसार CA का मूल प्रमाण पत्र स्थापित किया गया है), प्रक्रिया इस बात से अलग नहीं है कि पिछले GOST के लिए प्रमाणपत्र कैसे जारी किया जाता है, इसलिए इसे यहां नहीं माना जाता है। सत्यापित करें कि दोनों प्रमाण पत्र नोड पर स्थापित हैं:



इस बिंदु पर, स्टैंडअलोन गेटवे अपडेट पूरा हो गया है।

2. एसएमएस और जीडब्ल्यू क्लस्टर अपडेट करना

एसएमएस और क्लस्टर नोड्स पर क्रिप्टोग्राफी को अपडेट करने की प्रक्रिया पैराग्राफ एक में दिखाए गए से अलग नहीं है, इसलिए केवल अद्यतन परिणाम यहां प्रस्तुत किए जाएंगे।

क्रियाओं का क्रम:

1. क्रिप्टोप्रो 3.9 को हटाना;
2. पुरानी स्थापना फ़ाइलों को हटाना, GW1-2 गेटवे और SMS स्थापना फ़ाइलों की प्रतिलिपि बनाना CryptoPro 4.0;
3. CryptoPro 4.0 स्थापना;
4. CryptoPro लाइसेंस स्थापना;
5. एल्गोरिदम 2012 GOST का समावेश;
6. SiteKey की पीढ़ी और स्थापना;
7. नए एल्गोरिदम के अनुसार जारी किए गए प्रमाण पत्र जारी करना और स्थापित करना।

स्क्रीनशॉट में आप देख सकते हैं कि क्लस्टर के किसी एक गेट पर 2 प्रमाणपत्र स्थापित हैं:



अपडेट के बाद, चूंकि गेटवे R 34.10 / 11-2001 और GOST R 34.10 / 11-2012 के अनुसार जारी किए गए प्रमाणपत्र गेटवे पर स्थापित किए जाते हैं, जब तक कि रिमोट गेटवे के लिए मिलान मापदंड स्थापित नहीं किए जाते हैं या GOST 3434 के अनुसार जारी किए गए प्रमाण पत्र को हटा दिया जाता है। / 11-2001 - सुरंग पुराने प्रमाणपत्रों पर बनाई जाएगी। इसलिए, पुराने वैध प्रमाणपत्रों को हटाने के लिए नहीं, हम मिलान मानदंड निर्धारित करेंगे:



उसके बाद, SmartView ट्रैकर में हम देखते हैं कि सुरंग को नए प्रमाणपत्रों का उपयोग करके बनाया जा रहा है:



इस पर, क्रिप्टोग्राफी अपडेट को पूर्ण माना जा सकता है।

हमारे द्वारा प्रस्तावित विधि हमें फायरवॉल पर क्रिप्टोग्राफी को अपडेट करने की प्रक्रिया को अनुकूलित करने की अनुमति देती है, इसे संचार में रुकावट के बिना लागू किया जाता है।

आर्टेम चेर्नशेव,
वरिष्ठ अभियंता, गजिनफोर्म्स सर्विस