Tere päevast! Soovin jagada oma kogemust selle teema osas.
Rутокен on riist- ja tarkvaralahendused autentimise, teabe kaitse ja digiallkirjastamise valdkonnas. Sisuliselt on see selline mälupulk, mis suudab salvestada autentimisandmeid, mida kasutaja võib kasutada süsteemi sisenemiseks.
Antud näites kasutatakse Rутокен EЦП 2.0.
Selle Rутокeni kasutamiseks on vajalik.
Windows'i puhul tagab ainult draiveri paigaldamine kõik vajaliku, et operatsioonisüsteem tuvastaks teie Rутокени ja sellega töötamine oleks võimalik.
Rутокeni saab kasutada erinevate meetoditega. Sellele võib ligi pääseda rakenduse serveripoolsest osast või otse kliendipoolsest. Antud näites vaatleme Rутокeni kasutamist rakenduse kliendipoolsest osast.
Rakenduse kliendipool suhtleb Rутокeni kaudu Rутокeni pistikprogrammi. See on programm, mis tuleb igasse brauserisse eraldi installida. Windows'i puhul tuleb pistikprogramm lihtsalt alla laadida ja installida, .
Nüüd saame Rутокeni kasutada rakenduse kliendipoolsest osast.
Antud näites vaatleme ideed, kuidas rakendada kasutaja autentimise algoritmi süsteemis, kasutades väljakutse-vastus skeemi.
Idee olemus on järgmine:
- Klient saadab autentimissoovi serverisse.
- Server saadab kliendi päringule vastuseks juhusliku stringi.
- Klient täiendab seda stringi juhuslike 32 bitidega.
- Klient allkirjastab saadud stringi oma sertifikaadiga.
- Klient saadab serverile saadud kooditud sõnumi.
- Server kontrollib allkirja, saades algse dekodeerimata sõnumi.
- Server eemaldab saadetud dekodeerimata sõnumist viimased 32 bitti.
- Server võrdleb saadud tulemust sellega sõnumiga, mis saadeti autentimissoovis.
- Kui sõnumid on samad, loetakse autentimine edukaks.
Ülaltoodud algoritmis on mõisted nagu sertifikaat. Antud näite raames tuleb mõista teatud krüptograafilist teooriat. Habré on olemas .
Selles näites kasutame asümmeetrilisi krüpteerimisalgoritme. Asümmeetriliste algoritmide rakendamiseks on vajalik omada võtmepaari ja sertifikaati.
Võtmepaar koosneb kahest osast: privaatvõti ja avalik võti. Privaatvõti peab olema salajane, nagu tema nimi ütleb. Kasutame seda teabe dekrüpteerimiseks. Avalikku võtit saab jagada kellelegi. See võti on mõeldud andmete krüpteerimiseks. Nii saab iga kasutaja andmeid krüpteerida, kasutades avalikku võtit, kuid ainult privaatvõtme omanik võib seda teavet dekrüpteerida.
Sertifikaat on digitaalne dokument, mis sisaldab teavet kasutaja kohta, kellele sertifikaat kuulub, samuti avalikku võtit. Sertifikaadi omamine võimaldab kasutajal mis tahes andmeid allkirjastada ja saata need serverisse, mis saab selle allkirja kontrollida ja andmed dekrüpteerida.
Et sõnumit sertifikaadiga õigesti allkirjastada, tuleb see õigesti luua. Selleks luuakse kõigepealt Ruutokenis võtmepaar ja seejärel tuleb sertifikaat siduda selle võtmepaari avaliku võtmega. Sertifikaadil peab olema just see avalik võti, mis asub Ruutokenis, see on oluline. Kui me lihtsalt loome võtmepaari ja sertifikaadi otse rakenduse kliendipoolel, siis kuidas saab server hiljem seda krüpteeritud sõnumit dekrüpteerida? Ta ei tea ju midagi ei võtmepaarist ega sertifikaadist.
Kui sügavamale minna, siis võib internetist leida huvitavat teavet. On olemas teatud tõendamis keskused, mida usaldame. Need tõendamis keskused saavad väljastada sertifikaate kasutajatele, nad installivad need sertifikaadid oma serveritesse. Kui klient ühendub sellele serverile, näeb ta seda sertifikaati ja näeb, et see on välja antud tõendamis keskuse poolt, seega saab sellele serverile usaldada. Täiendavat teavet selle kohta, kuidas kõike õigesti seadistada, on internetis samuti palju. .
Kui naasta meie ülesande juurde, siis lahendus näib olevat ilmne. Peame kuidagi looma oma sertifitseerimiskeskuse. Aga enne seda tuleb selgeks teha, mille alusel sertifitseerimiskeskus peaks kasutajale sertifikaadi välja andma, kuna tal pole selle kohta mingeid andmeid. (Näiteks tema nimi, perekonnanimi jne.) On olemas asi, mida nimetatakse sertifikaadi taotlemiseks. Rohkem selle standardi kohta saab lugeda näiteks vikipeediast.
Kasutame versiooni 1.7 — PKCS#10.
Kava sertifikaadi genereerimise algoritmi kirjeldamiseks RutuTokenil (algallikas — ):
- Kliendis loome võtmepaari ja salvestame selle RutuTokenile. (salvestamine toimub automaatselt)
- Kliendis loome sertifikaadi taotluse.
- Saadame selle taotluse serverisse.
- Sertifikaadi taotluse saamisel serveris, väljastame sertifikaadi oma sertifitseerimiskeskuse kaudu.
- Saadame selle sertifikaadi kliendile.
- Kliendis salvestame sertifikaadi RutuTokenile.
- Sertifikaat peab olema seotud selle võtmepaariga, mis loodi esimeses etapis.
Nüüd on selge, kuidas server saab kliendi allkirja dekodeerida, kuna see on ise selle sertifikaadi välja andnud.
Järgmises osas vaatame üksikasjalikult, kuidas seadistada oma sertifitseerimiskeskust põhjaliku avatud lähtekoodiga krüptograafia teegiga openSSL.
Allikas: habr.com
