Expérience de l'utilisation de la technologie Rutoken pour l'enregistrement et l'authentification des utilisateurs dans le système (partie 2)

Bonjour! Continuons à examiner ce sujet (la partie précédente est disponible via le lien).

Aujourd'hui, nous allons passer à la partie pratique. Commençons par configurer notre propre autorité de certification basée sur une bibliothèque cryptographique complète et open source, openSSL. Cet algorithme a été testé avec Windows 7.

Après avoir installé openSSL, nous pouvons effectuer diverses opérations cryptographiques (comme la création de clés et de certificats) via la ligne de commande.

L'algorithme des actions est le suivant :

1. Téléchargez le distributeur d'installation openssl-1.1.1g.
   Il existe différentes versions d'openSSL. La documentation de Rutoken indique qu'il est nécessaire d'avoir la version 1.1.0 d'openSSL ou plus récente. J'ai utilisé la version openssl-1.1.1g. Vous pouvez télécharger openSSL à partir du site officiel, mais pour une installation plus simple, vous devez trouver le fichier d'installation pour Windows en ligne. Je l'ai fait pour vous : slproweb.com/products/Win32OpenSSL.html
   Faites défiler la page vers le bas et téléchargez l'installateur Win64 OpenSSL v1.1.1g EXE 63MB.
2. Installez openssl-1.1.1g sur votre ordinateur.
   L'installation doit être effectuée selon le chemin par défaut, qui est automatiquement spécifié dans le dossier C:Program Files. Le programme sera installé dans le dossier OpenSSL-Win64.
3. Pour configurer openSSL comme vous le souhaitez, il existe un fichier openssl.cfg. Ce fichier se trouve à l'emplacement C:Program FilesOpenSSL-Win64bin si vous avez installé openSSL comme indiqué dans le point précédent. Accédez au dossier où se trouve openssl.cfg et ouvrez ce fichier avec Notepad+, par exemple.
4. Vous avez sûrement compris que la configuration de l'autorité de certification se fera par modification du contenu du fichier openssl.cfg, et vous avez tout à fait raison. Pour cela, il faut configurer la commande [ ca ]. Dans le fichier openssl.cfg, le début du texte où nous allons apporter des modifications se trouve comme suit : [ ca ].
5. Maintenant, je vais donner un exemple de configuration avec sa description :

   [ ca ]
   default_ca	= CA_default		
   
    [ CA_default ]
   dir		= /Users/username/bin/openSSLca/demoCA		 
   certs		= $dir/certs		
   crl_dir		= $dir/crl		
   database	= $dir/index.txt	
   new_certs_dir	= $dir/newcerts	
   certificate	= $dir/ca.crt 	
   serial		= $dir/private/serial 		
   crlnumber	= $dir/crlnumber	
   					
   crl		= $dir/crl.pem 		
   private_key	= $dir/private/ca.key
   x509_extensions	= usr_cert
   

   Il est maintenant nécessaire de créer le répertoire demoCA et ses sous-répertoires, comme indiqué dans l'exemple ci-dessus. Et de placer dans ce répertoire selon le chemin spécifié dans dir (chez moi c'est /Users/username/bin/openSSLca/demoCA).

   Il est très important de spécifier correctement le dir – c'est le chemin vers le répertoire où se trouvera notre autorité de certification. Ce répertoire doit obligatoirement se trouver dans /Users (c'est-à-dire dans le compte d'un utilisateur quelconque). Si ce répertoire est par exemple placé dans C:Program Files, le système ne verra pas le fichier de configuration openssl.cfg (en tout cas, c'est ce qui m'est arrivé).

   $dir - c'est ici que le chemin indiqué dans dir est intégré.

   Un autre point important est de créer un fichier vide index.txt, sans ce fichier, les commandes «openSSL ca ...» ne fonctionneront pas.

   Il est également nécessaire d'avoir un fichier serial, la clé privée racine (ca.key) et le certificat racine (ca.crt). Le processus d'obtention de ces fichiers sera décrit plus loin.

6. Nous connectons les algorithmes de cryptage fournis par Rutoken.
   Cette connexion se fait dans le fichier openssl.cfg.
   • Tout d'abord, il est nécessaire de télécharger les algorithmes nécessaires de Rutoken. Ce sont les fichiers rtengine.dll, rtpkcs11ecp.dll.
     Pour cela, téléchargeons le SDK de Rutoken : www.rutoken.ru/developers/sdk.

     Le SDK de Rutoken est tout ce qui existe pour les développeurs qui souhaitent essayer Rutoken. Il contient à la fois des exemples séparés pour travailler avec Rutoken dans différents langages de programmation, ainsi que certaines bibliothèques. Nos bibliothèques rtengine.dll et rtpkcs11ecp.dll se trouvent dans le SDK de Rutoken respectivement aux emplacements suivants :

     sdk/openssl/rtengine/bin/windows-x86_64/lib/rtengine.dll
     sdk/pkcs11/lib/windows-x86_64/rtpkcs11ecp.dll

     Un point très important. Les bibliothèques rtengine.dll, rtpkcs11ecp.dll ne fonctionnent pas sans le driver installé pour Rutoken. De plus, Rutoken doit obligatoirement être connecté à l'ordinateur. (Pour l'installation de tout le nécessaire pour Rutoken, voir la partie précédente de l'article habr.com/ru/post/506450)

   • Les bibliothèques rtengine.dll et rtpkcs11ecp.dll peuvent être placées n'importe où dans le compte utilisateur.
   • Nous spécifions les chemins vers ces bibliothèques dans openssl.cfg. Pour cela, ouvrez le fichier openssl.cfg et placez la ligne suivante au début de ce fichier :

     openssl_conf = openssl_def

     À la fin du fichier, il est nécessaire d'ajouter :

     [ openssl_def ]
     engines = engine_section
     [ engine_section ]
     rtengine = gost_section
     [ gost_section ]
     dynamic_path = /Users/username/bin/sdk-rutoken/openssl/rtengine/bin/windows-x86_64/lib/rtengine.dll
     MODULE_PATH = /Users/username/bin/sdk-rutoken/pkcs11/lib/windows-x86_64/rtpkcs11ecp.dll
     RAND_TOKEN = pkcs11:manufacturer=AktivCo.;model=RutokenECP
     default_algorithms = CIPHERS, DIGEST, PKEY, RAND
     

     dynamic_path – il est nécessaire de spécifier votre chemin vers la bibliothèque rtengine.dll.
     MODULE_PATH – il est nécessaire de spécifier votre chemin vers la bibliothèque rtpkcs11ecp.dll.

7. Ajoutons des variables d'environnement.

   Il est impératif d'ajouter une variable d'environnement qui indique le chemin vers le fichier de configuration openssl.cfg. Dans mon cas, une variable OPENSSL_CONF a été créée avec le chemin C:Program FilesOpenSSL-Win64binopenssl.cfg.

   La variable path doit pointer vers le dossier où se trouve openssl.exe, dans mon cas il s'agit de : C:Program FilesOpenSSL-Win64bin.

8. Nous pouvons maintenant revenir au point 5 et créer les fichiers manquants pour le répertoire demoCA.
   1. Le premier fichier important sans lequel rien ne fonctionnera est serial. C'est un fichier sans extension, dont la valeur doit être 01. Vous pouvez créer ce fichier vous-même et y inscrire 01. Il est également possible de le télécharger depuis le SDK RUToken à l'emplacement sdk/openssl/rtengine/samples/tool/demoCA/.
      Dans le répertoire demoCA se trouve le fichier serial, dont nous avons besoin.
   2. Créons la clé privée de l'autorité de certification.
      Pour cela, nous utiliserons la commande de la bibliothèque openSSL, qui doit être lancée directement dans l'invite de commandes :

      openssl genpkey -algorithm gost2012_256 -pkeyopt paramset:A -out ca.key

   3. Créons le certificat racine.
      Pour cela, nous utiliserons la commande suivante de la bibliothèque openSSL :

      openssl req -utf8 -x509 -key ca.key -out ca.crt

      Veuillez noter que pour créer un certificat racine, il faut la clé privée racine, qui a été créée à l'étape précédente. L'invite de commandes doit donc être lancée dans le même répertoire.

   Maintenant, tous les fichiers manquants pour la configuration complète du répertoire demoCA sont disponibles. Placez les fichiers créés dans les répertoires indiqués au point 5.

Nous considérerons que, suite à l'exécution des 8 points, notre autorité de certification est entièrement configurée.

Dans la prochaine partie, je vous expliquerai comment nous allons travailler avec l'autorité de certification pour réaliser ce qui a été décrit dans la partie précédente de l'article.

Source : habr.com