Expérience d'application de la technologie RUTOKEN pour l'enregistrement et l'authentification des utilisateurs dans le système (partie 1)

Bonjour ! Je voudrais partager mon expérience sur ce sujet.

Routoken est une solution matérielle et logicielle dans le domaine de l'authentification, de la protection des informations et de la signature électronique. En gros, c'est une clé USB qui peut stocker des données d'authentification utilisées par l'utilisateur pour se connecter au système.

Dans cet exemple, nous utilisons le Routoken EDS 2.0.

Pour travailler avec ce Routoken, il est nécessaire d'installer le pilote sur Windows.

Pour Windows, l'installation d'un seul pilote permet d'installer tout ce qui est nécessaire pour que le système d'exploitation reconnaisse votre Routoken et que vous puissiez travailler avec.

Avec le Routoken, il existe différentes manières d'interagir. Vous pouvez y accéder depuis la partie serveur de l'application ou directement depuis la partie client. Dans cet exemple, nous examinerons l'interaction avec le Routoken depuis la partie client de l'application.

La partie client de l'application interagit avec le Routoken via le plug-in Routoken. C'est un programme qui doit être installé séparément sur chaque navigateur. Pour Windows, il suffit de télécharger et d'installer le plug-in, qui se trouve à ce lien.

Tout est prêt, maintenant nous pouvons interagir avec le Routoken depuis la partie client de l'application.

Cet exemple présente l'idée de mise en œuvre d'un algorithme d'autorisation d'utilisateur dans le système en utilisant le schéma de challenge-réponse.

L'idée est la suivante :

1. Le client envoie une demande d'autorisation au serveur.
2. Le serveur, en réponse à la demande du client, envoie une chaîne aléatoire.
3. Le client complète cette chaîne par 32 bits aléatoires.
4. Le client signe la chaîne obtenue avec son certificat.
5. Le client envoie au serveur le message codé obtenu.
6. Le serveur vérifie la signature, obtenant le message initial non codé.
7. Le serveur détache les 32 derniers bits du message non codé reçu.
8. Le serveur compare le résultat obtenu avec le message qui a été envoyé lors de la demande d'autorisation.
9. Si les messages sont identiques, l'autorisation est considérée comme réussie.

Dans l'algorithme ci-dessus, il y a un concept appelé certificat. Dans le cadre de cet exemple, il est nécessaire de comprendre une certaine théorie cryptographique. Sur Habr, il y a un excellent article à ce sujet..

Dans cet exemple, nous allons utiliser des algorithmes de chiffrement asymétriques. Pour mettre en œuvre des algorithmes asymétriques, il est nécessaire de disposer d'une paire de clés et d'un certificat.

Une paire de clés se compose de deux parties : une clé privée et une clé publique. La clé privée, comme son nom l'indique, doit rester secrète. Nous l'utilisons pour déchiffrer des informations. La clé publique peut être distribuée à quiconque. Cette clé est utilisée pour chiffrer les données. Ainsi, tout utilisateur peut chiffrer des données en utilisant la clé publique, mais seul le propriétaire de la clé privée peut déchiffrer ces informations.

Un certificat est un document électronique qui contient des informations sur l'utilisateur auquel appartient le certificat, ainsi qu'une clé publique. Avec un certificat, l'utilisateur peut signer toutes les données et les envoyer à un serveur, qui peut vérifier cette signature et déchiffrer les données.

Pour qu'il soit possible de signer correctement un message avec un certificat, il faut le créer correctement. Pour cela, sur le Rutoken, une paire de clés est d'abord créée, puis le certificat doit être lié à la clé publique de cette paire de clés. Le certificat doit contenir exactement la clé publique qui se trouve sur le Rutoken, c'est important. Si nous créons simplement une paire de clés et un certificat immédiatement sur le côté client de l'application, comment le serveur pourra-t-il ensuite déchiffrer ce message chiffré ? En effet, il ne sait rien de la paire de clés ou du certificat.

Si nous plongeons plus profondément dans ce sujet, nous pouvons trouver des informations intéressantes sur Internet. Il existe certains centres de certification auxquels nous faisons confiance. Ces centres de certification peuvent délivrer des certificats aux utilisateurs, et ils installent ces certificats sur leur serveur. Ensuite, lorsque le client se connecte à ce serveur, il voit ce certificat et constate qu'il a été délivré par un centre de certification, ce qui signifie qu'il peut faire confiance à ce serveur. Il y a également beaucoup d'informations sur Internet sur la manière de tout configurer correctement. Par exemple, vous pouvez commencer par ça.

Si nous revenons à notre tâche, la solution semble évidente. Il faut d'une certaine manière créer son propre centre de certification. Mais avant cela, il faut comprendre sur quelle base le centre de certification doit délivrer un certificat à l'utilisateur, car il ne le connaît pas. (Par exemple, son prénom, son nom de famille, etc.) Il existe une chose qui s'appelle une demande de certificat. Vous pouvez en savoir plus sur cette norme, par exemple, sur Wikipédia. fr.wikipedia.org/wiki/PKCS
Nous utiliserons la version 1.7 — PKCS#10.

Décrivons l'algorithme de formation d'un certificat sur Rutoken (source originale — documentation):

1. Sur le client, nous créons une paire de clés et l'enregistrons sur Rutoken. (l'enregistrement se fait automatiquement)
2. Sur le client, nous créons une demande de certificat.
3. Nous envoyons cette demande au serveur depuis le client.
4. Lors de la réception de la demande de certificat sur le serveur, nous délivrons le certificat avec notre propre centre de certification.
5. Nous envoyons ce certificat au client.
6. Sur le client, nous enregistrons le certificat sur Rutoken.
7. Le certificat doit être lié à la paire de clés qui a été créée à l'étape précédente.

Il devient maintenant évident comment le serveur pourra déchiffrer la signature du client, puisqu'il lui a lui-même délivré le certificat.

Dans la prochaine partie, nous examinerons en détail comment configurer son propre centre de certification basé sur une bibliothèque cryptographique complète et open-source comme OpenSSL.

Source : habr.com