सार्वजनिक मुख्य बुनियादी सुविधा। सेल्फ-आइसोलेशन के दौरान प्रमाणपत्र जारी करना

कैसे यह सब शुरू हुआ

आत्म-अलगाव अवधि की शुरुआत में, मुझे मेल में एक पत्र मिला:

पहली प्रतिक्रिया स्वाभाविक थी: या तो आपको टोकन के लिए जाना होगा, या उन्हें लाना होगा, लेकिन सोमवार से हम सभी घर पर बैठे हैं, आवाजाही पर प्रतिबंध है, और वह कौन है? इसलिए, उत्तर बिल्कुल स्वाभाविक था:

और जैसा कि हम सभी जानते हैं, सोमवार, 1 अप्रैल से, सख्त आत्म-अलगाव की अवधि शुरू हुई। हम सभी भी दूरस्थ कार्य पर चले गए और हमें वीपीएन की भी आवश्यकता थी। हमारा वीपीएन ओपनवीपीएन पर आधारित है, लेकिन रूसी क्रिप्टोग्राफी और पीकेसीएस#11 टोकन और पीकेसीएस#12 कंटेनरों के साथ काम करने की क्षमता का समर्थन करने के लिए इसे संशोधित किया गया है। स्वाभाविक रूप से, यह पता चला कि हम स्वयं वीपीएन के माध्यम से काम करने के लिए बिल्कुल तैयार नहीं थे: कई के पास प्रमाण पत्र नहीं थे, और कुछ की समय सीमा समाप्त हो गई थी।

प्रक्रिया कैसे चली?

और यहीं पर उपयोगिता बचाव के लिए आती है क्रिप्टोआर्मपकेसीएस और आवेदन सीएएफएल63 (सत्यापन केंद्र).

क्रिप्टोआर्मपकेसीएस उपयोगिता ने उन कर्मचारियों को प्रमाणपत्र अनुरोध उत्पन्न करने की अनुमति दी है जो आत्म-अलगाव में हैं और जिनके पास अपने घरेलू कंप्यूटर पर टोकन हैं:

कर्मचारियों ने मुझे ईमेल के माध्यम से सहेजे गए अनुरोध भेजे। कोई पूछ सकता है: - व्यक्तिगत डेटा के बारे में क्या, लेकिन अगर आप बारीकी से देखें, तो यह अनुरोध में नहीं है। और अनुरोध स्वयं उसके हस्ताक्षर द्वारा सुरक्षित है।

प्राप्त होने पर, प्रमाणपत्र अनुरोध CAFL63 CA डेटाबेस में आयात किया जाता है:

जिसके बाद अनुरोध को या तो अस्वीकार कर दिया जाना चाहिए या स्वीकृत किया जाना चाहिए। किसी अनुरोध पर विचार करने के लिए, आपको उसे चुनना होगा, राइट-क्लिक करना होगा और ड्रॉप-डाउन मेनू से "निर्णय लें" का चयन करना होगा:

निर्णय लेने की प्रक्रिया स्वयं बिल्कुल पारदर्शी है:

प्रमाणपत्र उसी प्रकार जारी किया जाता है, केवल मेनू आइटम को "प्रमाणपत्र जारी करना" कहा जाता है:

जारी प्रमाणपत्र देखने के लिए, आप संदर्भ मेनू का उपयोग कर सकते हैं या बस संबंधित पंक्ति पर डबल-क्लिक कर सकते हैं:

अब सामग्री को ओपनएसएल (ओपनएसएसएल टेक्स्ट टैब) और सीएएफएल63 एप्लिकेशन के अंतर्निहित व्यूअर (सर्टिफिकेट टेक्स्ट टैब) दोनों के माध्यम से देखा जा सकता है। बाद के मामले में, आप प्रमाणपत्र को टेक्स्ट फॉर्म में कॉपी करने के लिए संदर्भ मेनू का उपयोग कर सकते हैं, पहले क्लिपबोर्ड पर, और फिर फ़ाइल में।

यहां यह ध्यान दिया जाना चाहिए कि पहले संस्करण की तुलना में CAFL63 में क्या बदलाव आया है? जहाँ तक प्रमाण पत्र देखने का प्रश्न है, हम यह पहले ही नोट कर चुके हैं। वस्तुओं के समूह (प्रमाण पत्र, अनुरोध, सीआरएल) का चयन करना और उन्हें पेजिंग मोड ("चयनित देखें ..." बटन) में देखना भी संभव हो गया है।

संभवतः सबसे महत्वपूर्ण बात यह है कि यह प्रोजेक्ट मुफ़्त में उपलब्ध है GitHub. लिनक्स के लिए वितरण के अलावा, विंडोज और ओएस एक्स के लिए वितरण तैयार किया गया है। एंड्रॉइड के लिए वितरण थोड़ी देर बाद जारी किया जाएगा।

CAFL63 एप्लिकेशन के पिछले संस्करण की तुलना में, न केवल इंटरफ़ेस ही बदल गया है, बल्कि, जैसा कि पहले ही उल्लेख किया गया है, नई सुविधाएँ भी जोड़ी गई हैं। उदाहरण के लिए, एप्लिकेशन विवरण वाले पृष्ठ को फिर से डिज़ाइन किया गया है और वितरण डाउनलोड करने के लिए सीधे लिंक जोड़े गए हैं:

कई लोगों ने पूछा है और अभी भी पूछ रहे हैं कि GOST ओपनएसएल कहां से प्राप्त करें। परंपरागत रूप से मैं देता हूं लिंक, कृपया प्रदान करें गारेक्स. इस openingsl का उपयोग कैसे करें लिखा है यहां.
लेकिन अब वितरण किट में रूसी क्रिप्टोग्राफी के साथ ओपनएसएल का एक परीक्षण संस्करण शामिल है।

इसलिए, CA सेट करते समय, आप Linux के लिए /tmp/lirssl_static या Windows के लिए $::env(TEMP)/lirssl_static.exe को उपयोग किए गए ओपनएसएल के रूप में निर्दिष्ट कर सकते हैं:

इस स्थिति में, आपको एक खाली lirssl.cnf फ़ाइल बनाने और पर्यावरण चर LIRSSL_CONF में इस फ़ाइल का पथ निर्दिष्ट करने की आवश्यकता होगी:

प्रमाणपत्र सेटिंग्स में "एक्सटेंशन" टैब को "प्राधिकरण जानकारी एक्सेस" फ़ील्ड के साथ पूरक किया गया है, जहां आप सीए रूट प्रमाणपत्र और ओसीएसपी सर्वर तक पहुंच बिंदु सेट कर सकते हैं:

हम अक्सर सुनते हैं कि सीए आवेदकों से उनके द्वारा उत्पन्न अनुरोधों (पीकेसीएस#10) को स्वीकार नहीं करते हैं या इससे भी बदतर, कुछ सीएसपी के माध्यम से वाहक पर एक कुंजी जोड़ी की पीढ़ी के साथ अनुरोधों के गठन को मजबूर करते हैं। और वे PKCS#2.0 इंटरफ़ेस के माध्यम से गैर-पुनर्प्राप्ति योग्य कुंजी (उसी RuToken EDS-11 पर) के साथ टोकन पर अनुरोध उत्पन्न करने से इनकार करते हैं। इसलिए, PKCS#63 टोकन के क्रिप्टोग्राफ़िक तंत्र का उपयोग करके CAFL11 एप्लिकेशन की कार्यक्षमता में अनुरोध पीढ़ी को जोड़ने का निर्णय लिया गया। टोकन तंत्र को सक्षम करने के लिए पैकेज का उपयोग किया गया था टीसीएलपीकेसीएस11. सीए के लिए अनुरोध बनाते समय (पेज "प्रमाणपत्रों के लिए अनुरोध", फ़ंक्शन "अनुरोध/सीएसआर बनाएं") अब आप चुन सकते हैं कि कुंजी जोड़ी कैसे उत्पन्न होगी (ओपनएसएल या टोकन का उपयोग करके) और अनुरोध स्वयं हस्ताक्षरित किया जाएगा:

टोकन के साथ काम करने के लिए आवश्यक लाइब्रेरी प्रमाणपत्र की सेटिंग्स में निर्दिष्ट है:

लेकिन हम कर्मचारियों को सेल्फ-आइसोलेशन मोड में कॉर्पोरेट वीपीएन नेटवर्क में काम करने के लिए प्रमाण पत्र प्रदान करने के मुख्य कार्य से भटक गए हैं। पता चला कि कुछ कर्मचारियों के पास टोकन नहीं हैं। उन्हें PKCS#12 संरक्षित कंटेनर प्रदान करने का निर्णय लिया गया, क्योंकि CAFL63 एप्लिकेशन इसकी अनुमति देता है। सबसे पहले, ऐसे कर्मचारियों के लिए हम सीआईपीएफ प्रकार "ओपनएसएसएल" दर्शाते हुए PKCS#10 अनुरोध करते हैं, फिर हम एक प्रमाणपत्र जारी करते हैं और इसे PKCS12 में पैकेज करते हैं। ऐसा करने के लिए, "प्रमाणपत्र" पृष्ठ पर, वांछित प्रमाणपत्र का चयन करें, राइट-क्लिक करें और "पीकेसीएस#12 पर निर्यात करें" चुनें:

यह सुनिश्चित करने के लिए कि कंटेनर के साथ सब कुछ क्रम में है, आइए क्रिप्टोआर्मपकेसीएस उपयोगिता का उपयोग करें:

अब आप कर्मचारियों को जारी प्रमाणपत्र भेज सकते हैं। कुछ लोगों को केवल प्रमाणपत्रों के साथ फ़ाइलें भेजी जाती हैं (ये टोकन स्वामी हैं, जिन्होंने अनुरोध भेजा है), या PKCS#12 कंटेनर। दूसरे मामले में, प्रत्येक कर्मचारी को फोन पर कंटेनर का पासवर्ड दिया जाता है। इन कर्मचारियों को बस कंटेनर के पथ को सही ढंग से निर्दिष्ट करके वीपीएन कॉन्फ़िगरेशन फ़ाइल को सही करने की आवश्यकता है।

जहां तक ​​टोकन मालिकों की बात है, उन्हें अपने टोकन के लिए एक प्रमाणपत्र आयात करने की भी आवश्यकता होती है। ऐसा करने के लिए, उन्होंने उसी क्रिप्टोआर्मपकेसीएस उपयोगिता का उपयोग किया:

अब वीपीएन कॉन्फ़िगरेशन में न्यूनतम परिवर्तन हैं (टोकन पर प्रमाणपत्र लेबल बदल गया है) और यही है, कॉर्पोरेट वीपीएन नेटवर्क कार्य क्रम में है।

सुखद अंत

और फिर मुझे ख्याल आया कि लोग मेरे पास टोकन क्यों लाएंगे या मुझे उनके लिए एक दूत भेजना चाहिए। और मैं निम्नलिखित सामग्री के साथ एक पत्र भेजता हूं:

अगले दिन उत्तर आता है:

मैं तुरंत क्रिप्टोआर्मपकेसीएस उपयोगिता के लिए एक लिंक भेजता हूं:

प्रमाणपत्र अनुरोध बनाने से पहले, मैंने अनुशंसा की थी कि वे टोकन साफ़ कर दें:

फिर पीकेसीएस#10 प्रारूप में प्रमाणपत्रों के लिए अनुरोध ईमेल द्वारा भेजे गए और मैंने प्रमाणपत्र जारी किए, जिन्हें मैंने यहां भेजा:

और फिर एक सुखद क्षण आया:

और यह पत्र भी था:

और उसके बाद इस लेख का जन्म हुआ.

Linux और MS Windows प्लेटफ़ॉर्म के लिए CAFL63 एप्लिकेशन के वितरण पाए जा सकते हैं

यहां

• Linux32
• Linux64
• WIN32
• WIN64
• ओएस एक्स

एंड्रॉइड प्लेटफॉर्म सहित क्रिप्टोआर्मपकेसीएस उपयोगिता के वितरण स्थित हैं

यहां

• Linux32
• Linux64
• WIN32
• WIN64
• ओएस एक्स
• Android

स्रोत: www.habr.com