אסימון ענן PKCS#11 - מיתוס או מציאות?

PKCS#11 (Cryptoki) הוא תקן שפותח על ידי RSA Laboratories עבור תוכניות פעולה הדדיות עם אסימוני הצפנה, כרטיסים חכמים והתקנים דומים אחרים באמצעות ממשק תכנות מאוחד המיושם באמצעות ספריות.

תקן PKCS#11 לקריפטוגרפיה רוסית נתמך על ידי ועדת התקינה הטכנית "הגנת מידע קריפטוגרפי" (TK 26).

אם אנחנו מדברים על אסימונים עם תמיכה בקריפטוגרפיה רוסית, אז אנחנו יכולים לדבר על אסימוני תוכנה, אסימוני תוכנה וחומרה ואסימוני חומרה.

אסימונים קריפטוגרפיים מספקים הן אחסון של תעודות וצמדי מפתחות (מפתחות ציבוריים ופרטיים) והן ביצועים של פעולות קריפטוגרפיות בהתאם לתקן PKCS#11. החוליה החלשה כאן היא אחסון המפתח הפרטי. אם המפתח הציבורי אבד, תמיד תוכל לשחזר אותו באמצעות המפתח הפרטי או לקחת אותו מהאישור. לאובדן/השמדה של מפתח פרטי יש השלכות קשות, למשל, לא תוכל לפענח קבצים מוצפנים במפתח הציבורי שלך, ולא תוכל לשים חתימה אלקטרונית (ES). כדי ליצור חתימה אלקטרונית, תצטרך ליצור זוג מפתחות חדש, ובעבור קצת כסף, לקבל אישור חדש מאחת מרשויות האישורים.

למעלה הזכרנו אסימוני תוכנה, קושחה וחומרה. אבל אנחנו יכולים לשקול סוג אחר של אסימון קריפטוגרפי - ענן.

היום לא תפתיע אף אחד כונן הבזק בענן. כל יתרונות וחסרונות כונני הבזק בענן זהים כמעט לאלה של אסימון ענן.

העיקר כאן הוא אבטחת הנתונים המאוחסנים באסימון הענן, בעיקר המפתחות הפרטיים. האם אסימון ענן יכול לספק זאת? אנחנו אומרים - כן!

אז איך עובד אסימון ענן? השלב הראשון הוא רישום הלקוח בענן האסימון. לשם כך, יש לספק כלי עזר המאפשר לך לגשת לענן ולרשום בו את הכניסה/כינוי שלך:


לאחר ההרשמה בענן, על המשתמש לאתחל את הטוקן שלו, כלומר להגדיר את תווית האסימון, והכי חשוב, להגדיר את ה-SO-PIN וקוד ה-PIN של המשתמש. עסקאות אלו חייבות להתבצע בערוץ מאובטח/מוצפן בלבד. כלי השירות pk11conf משמש לאתחול האסימון. כדי להצפין את הערוץ, מוצע להשתמש באלגוריתם הצפנה Magma-CTR (GOST R 34.13-2015).

כדי לפתח מפתח מוסכם שעל בסיסו תעבור תנועה בין הלקוח לשרת תהיה מוגנת/מוצפנת, מוצע להשתמש בפרוטוקול המומלץ TK 26 SESPAKE - פרוטוקול יצירת מפתח משותף עם אימות סיסמה.

מוצע להשתמש כסיסמה שעל בסיסה ייווצר המפתח המשותף מנגנון סיסמא חד פעמי. מכיוון שאנו מדברים על קריפטוגרפיה רוסית, טבעי ליצור סיסמאות חד פעמיות באמצעות מנגנונים CKM_GOSTR3411_12_256_HMAC, CKM_GOSTR3411_12_512_HMAC או CKM_GOSTR3411_HMAC.

השימוש במנגנון זה מבטיח שגישה לאובייקטים אסימונים אישיים בענן באמצעות קודי SO ו-USER PIN זמינה רק למשתמש שהתקין אותם באמצעות כלי השירות pk11conf.

זהו, לאחר השלמת השלבים הללו, אסימון הענן מוכן לשימוש. כדי לגשת לאסימון הענן, אתה רק צריך להתקין את ספריית LS11CLOUD במחשב האישי שלך. בעת שימוש באסימון ענן באפליקציות בפלטפורמות אנדרואיד ו-iOS, מסופק SDK תואם. ספריה זו היא שתצוין בעת ​​חיבור אסימון ענן בדפדפן Redfox או כתוב בקובץ pkcs11.txt עבור. ספריית LS11CLOUD גם מקיימת אינטראקציה עם האסימון בענן באמצעות ערוץ מאובטח המבוסס על SESPAKE, שנוצר בעת קריאה לפונקציה PKCS#11 C_Initialize!

זה הכל, עכשיו אתה יכול להזמין אישור, להתקין אותו באסימון הענן שלך ולעבור לאתר שירותי הממשלה.

מקור: www.habr.com