Ruutokeni tehnoloogia kasutamise kogemus kasutajate registreerimiseks ja autentimiseks süsteemis (osa 2)

Tere päevast! Jätkame selle teema arutamist (eelneva osaga on võimalik tutvuda lingil).

Täna liigume praktilise osa juurde. Alustame oma sertifitseerimiskeskuse seadistamisega põhjaliku avatud lähtekoodiga krüptograafia raamatukogu openSSL baasil. See algoritm on testitud Windows 7 keskkonnas.

OpenSSL-i installimisel saame erinevaid krüptograafilisi operatsioone (näiteks võtmete ja sertifikaatide loomine) teostada käsurealt.

Tegevuste algoritm on järgmine:

1. Laadige alla installimisdistsipliin openssl-1.1.1g.
   OpenSSL-l on erinevad versioonid. Ruutokeni dokumentatsioonis on öeldud, et vajalik on openSSL versioon 1.1.0 või uuem. Mina kasutasin versiooni openssl-1.1.1g. OpenSSL-i saab alla laadida ametlikult veebilehelt, kuid lihtsama installimise jaoks tuleb leida Windowsi installifail internetist. Ma tegin selle te eelnevalt teie jaoks: slproweb.com/products/Win32OpenSSL.html
   Lehekülje allosas tuleb alla laadida Win64 OpenSSL v1.1.1g EXE 63MB Installer.
2. Installime openssl-1.1.1g arvutisse.
   Installatsioon tuleb läbi viia standardteel, mille süsteem automaatselt määrab kausta C:Program Files. Programm installitakse kausta OpenSSL-Win64.
3. OpenSSL-i seadistamiseks nagu soovite on olemas fail openssl.cfg. See fail asub teel C:Program FilesOpenSSL-Win64bin, kui olete openSSL-i installinud nagu mainitud eelnevas punktis. Liigume kausta, kus asub openssl.cfg, ja avame selle näiteks Notepad++-ga.
4. Te olete ilmselt aru saanud, et sertifitseerimiskeskuse seadistamine toimub faili openssl.cfg sisu muutmise teel, ja te olete täiesti õiged. Selleks tuleb seadistada käsk [ ca ]. Failis openssl.cfg leiame teksti alguse, kuhu me muudatused teeme, järgmiselt: [ ca ].
5. Nüüd toon näite seadistamisest koos selgitusega:

   [ ca ]
   default_ca	= CA_default		
   
    [ CA_default ]
   dir		= /Users/username/bin/openSSLca/demoCA		 
   certs		= $dir/certs		
   crl_dir		= $dir/crl		
   database	= $dir/index.txt	
   new_certs_dir	= $dir/newcerts	
   certificate	= $dir/ca.crt 	
   serial		= $dir/private/serial 		
   crlnumber	= $dir/crlnumber	
   					
   crl		= $dir/crl.pem 		
   private_key	= $dir/private/ca.key
   x509_extensions	= usr_cert
   

   Nüüd tuleb luua kataloog demoCA ja alajaotused, nagu näidatud ülaltoodud näites. Ja paigutada see kataloog teele, mis on määratud dir (mul on /Users/username/bin/openSSLca/demoCA).

   On oluline õigesti määrata dir – see on tee kausta, kus asub meie sertifitseerimiskeskus. See kaust peab olema kindlasti /Users (st mõne kasutaja kontol). Kui paigutate selle kausta näiteks C:Program Files, ei näe süsteem failis seadistusi openssl.cfg (minu kogemuse põhjal).

   $dir – siia sisestatakse tee, mis on määratletud dir.

   Veel üks oluline asi on luua tühi fail index.txt, ilma selle failita käsud «openSSL ca …» ei tööta.

   Samuti on vajalik omada faili serial, juureprivaatsust võtme (ca.key) ja juuresertifikaati (ca.crt). Nende failide saamise protsess kirjeldatakse hiljem.

6. Ühendame Ruutokeni pakutavad krüpteerimisalgoritmid.
   See ühendamine toimub failis openssl.cfg.
   • Esmalt on vajalik alla laadida vajalikud Ruutokeni algoritmid. Need on failid rtengine.dll, rtpkcs11ecp.dll.
     Selleks laadime alla Ruutoken SDK: www.rutoken.ru/developers/sdk.

     Ruutoken SDK on kõik, mis on arendajatele, kes soovivad Ruutokenit proovida. Seal on eraldi näidised Ruutokeni kasutamiseks erinevates programmeerimiskeeltes ja esitatud on ka mõned raamatukogud. Meie raamatukogud rtengine.dll ja rtpkcs11ecp.dll asuvad Ruutokeni SDK-s vastavalt asukohas:

     sdk/openssl/rtengine/bin/windows-x86_64/lib/rtengine.dll
     sdk/pkcs11/lib/windows-x86_64/rtpkcs11ecp.dll

     Väga oluline punkt. Raamatukogud rtengine.dll, rtpkcs11ecp.dll ei tööta ilma Ruutokeni jaoks installitud draiverita. Samuti peab Ruutoken olema kindlasti ühendatud arvutiga. (kõik vajaliku Ruutokeni installimise kohta vaata artikli eelnevas osas habr.com/ru/post/506450)

   • Raamatukogusid rtengine.dll ja rtpkcs11ecp.dll saab hoida ükskõik kus kasutajakontol.
   • Määratleme teed nende raamatukogudeni openssl.cfg failis. Selleks avame fail openssl.cfg, faili algusesse tuleb lisada rida:

     openssl_conf = openssl_def

     Faili lõppu tuleb lisada:

     [ openssl_def ]
     engines = engine_section
     [ engine_section ]
     rtengine = gost_section
     [ gost_section ]
     dynamic_path = /Users/username/bin/sdk-rutoken/openssl/rtengine/bin/windows-x86_64/lib/rtengine.dll
     MODULE_PATH = /Users/username/bin/sdk-rutoken/pkcs11/lib/windows-x86_64/rtpkcs11ecp.dll
     RAND_TOKEN = pkcs11:manufacturer=AktivCo.;model=RutokenECP
     default_algorithms = CIPHERS, DIGEST, PKEY, RAND
     

     dynamic_path – tuleb määratleda enda tee raamatukogusse rtengine.dll.
     MODULE_PATH – tuleb määratleda enda tee raamatukogusse rtpkcs11ecp.dll.

7. Lisame keskkonnamuutujad.

   On vajalik lisada keskkonnamuutuja, mis näitab teed openssl.cfg konfiguratsioonifailile. Minu puhul loodi muutuja OPENSSL_CONF teega C:Program FilesOpenSSL-Win64binopenssl.cfg.

   Muutujas path tuleb näidata teed kausta, kus openssl.exe asub, minu puhul on see: C:Program FilesOpenSSL-Win64bin.

8. Nüüd võime naasta punkti 5 juurde ja luua puuduvad failid kaustale demoCA.
   1. Esimene oluline fail, ilma milleta ei toimi midagi — serial. See on fail ilma laiendita, mille väärtus peab olema 01. Saate selle faili ise luua ja sisse kirjutada 01. Samuti saate selle alla laadida RUTOKEN SDK-st teel sdk/openssl/rtengine/samples/tool/demoCA/.
      Kaustas demoCA on fail serial, mis ongi meil vajalik.
   2. Loome juureprivaatse võtme.
      Selleks kasutame openSSL-i raamatukogu käsku, mille tuleb käivitada otse käsureal:

      openssl genpkey -algorithm gost2012_256 -pkeyopt paramset:A -out ca.key

   3. Loome juursesertifikaadi.
      Selleks kasutame järgmist openSSL-i raamatukogu käsku:

      openssl req -utf8 -x509 -key ca.key -out ca.crt

      Pane tähele, et juursesertifikaadi loomiseks on vajalik juureprivaatne võti, mis loodi eelmisel sammul. Seega peab käsurea olema avatud samas kataloogis.

   Nüüd on kõik vajalikud failid olemas, et täielikult konfigureerida kausta demoCA. Asetage loodud failid nendesse kaustadesse, mis on toodud punktis 5.

Oleme nüüd kindlad, et pärast kõigi 8 punkti täitmist on meie sertifitseerimiskeskus täielikult seadistatud.

Järgmisel osal räägin, kuidas me töötame sertifitseerimiskeskusega, et teostada, mida on kirjeldatud eelmisel artikli osal.

Allikas: habr.com