ניסיון בשימוש בטכנולוגיית Rutoken לרישום והרשאה של משתמשים במערכת (חלק 1)

אחר הצהריים טובים אני רוצה לחלוק את הניסיון שלי בנושא זה.

Rutoken היא פתרונות חומרה ותוכנה בתחום האימות, אבטחת מידע וחתימה אלקטרונית. בעיקרו של דבר, זהו כונן הבזק שיכול לאחסן נתוני אימות שבהם המשתמש משתמש כדי להיכנס למערכת.

בדוגמה זו, נעשה שימוש ב- Rutoken EDS 2.0.

כדי לעבוד עם Rutoken זה אתה צריך להתקין דרייבר בווינדוס.

עבור Windows, התקנת מנהל התקן אחד בלבד מבטיחה שכל מה שצריך מותקן כך שמערכת ההפעלה תראה את Rutoken שלך ותוכל לעבוד איתו.

אתה יכול ליצור אינטראקציה עם Rutoken בדרכים שונות. אתה יכול לגשת אליו מצד השרת של האפליקציה, או ישירות מצד הלקוח. דוגמה זו תבחן את האינטראקציה עם Rutoken מצד הלקוח של האפליקציה.

חלק הלקוח של האפליקציה מקיים אינטראקציה עם ה-rutoken דרך תוסף rutoken. זוהי תוכנית שמותקנת בנפרד בכל דפדפן. עבור Windows אתה רק צריך להוריד ולהתקין את התוסף, ממוקם בקישור הזה.

זהו, עכשיו אנחנו יכולים ליצור אינטראקציה עם Rutoken מצד הלקוח של האפליקציה.

דוגמה זו דנה ברעיון של הטמעת אלגוריתם הרשאת משתמש במערכת באמצעות ערכת האתגר-תגובה.

מהות הרעיון היא כדלקמן:

1. הלקוח שולח בקשת הרשאה לשרת.
2. השרת מגיב לבקשה מהלקוח על ידי שליחת מחרוזת אקראית.
3. הלקוח מרפד את המחרוזת הזו ב-32 סיביות אקראית.
4. הלקוח חותם על המחרוזת שהתקבלה עם האישור שלו.
5. הלקוח שולח את ההודעה המוצפנת שהתקבלה לשרת.
6. השרת מאמת את החתימה על ידי קבלת ההודעה המקורית הלא מוצפנת.
7. השרת מסיר את 32 הסיביות האחרונות מההודעה הלא מוצפנת שהתקבלה.
8. השרת משווה את התוצאה שהתקבלה להודעה שנשלחה בעת בקשת ההרשאה.
9. אם ההודעות זהות, ההרשאה נחשבת כמוצלחת.

באלגוריתם הנ"ל יש דבר כזה תעודה. עבור דוגמה זו, אתה צריך להבין תיאוריה קריפטוגרפית כלשהי. על האברה יש מאמר נהדר בנושא זה.

בדוגמה זו, נשתמש באלגוריתמי הצפנה אסימטריים. כדי ליישם אלגוריתמים אסימטריים, עליך להיות בעל זוג מפתחות ותעודה.

זוג מפתחות מורכב משני חלקים: מפתח פרטי ומפתח ציבורי. המפתח הפרטי, כפי שמעיד שמו, חייב להיות סודי. אנו משתמשים בו כדי לפענח מידע. ניתן להפיץ את המפתח הציבורי לכל אחד. מפתח זה משמש להצפנת נתונים. לפיכך, כל משתמש יכול להצפין נתונים באמצעות המפתח הציבורי, אך רק הבעלים של המפתח הפרטי יכול לפענח מידע זה.

תעודה היא מסמך אלקטרוני המכיל מידע על המשתמש שבבעלותו התעודה, וכן מפתח ציבורי. באמצעות תעודה, המשתמש יכול לחתום על כל נתונים ולשלוח אותם לשרת, שיכול לאמת את החתימה ולפענח את הנתונים.

כדי לחתום נכון על הודעה עם תעודה, עליך ליצור אותה בצורה נכונה. לשם כך, נוצר תחילה זוג מפתחות ב- Rutoken, ולאחר מכן יש לקשר אישור למפתח הציבורי של זוג מפתחות זה. על האישור להיות בדיוק המפתח הציבורי שנמצא על Rutoken, זה חשוב. אם פשוט ניצור זוג מפתחות ואישור מיד בצד הלקוח של האפליקציה, אז איך השרת יכול לפענח את ההודעה המוצפנת הזו? אחרי הכל, הוא לא יודע כלום לא על צמד המפתחות ולא על התעודה.

אם אתה צולל עמוק יותר לתוך נושא זה, אתה יכול למצוא מידע מעניין באינטרנט. ישנן רשויות אישורים מסוימות שאנו כמובן סומכים עליהן. רשויות אישורים אלה יכולות להנפיק אישורים למשתמשים; הם מתקינים אישורים אלה בשרת שלהם. לאחר מכן, כאשר הלקוח ניגש לשרת הזה, הוא רואה את התעודה הזו, ורואה שהיא הונפקה על ידי רשות אישורים, מה שאומר שניתן לסמוך על השרת הזה. יש גם מידע רב באינטרנט על איך להגדיר הכל נכון. לדוגמה, אתה יכול להתחיל עם זה.

אם נחזור לבעיה שלנו, הפתרון נראה ברור. אתה צריך איכשהו ליצור מרכז הסמכה משלך. אבל לפני כן, אתה צריך להבין על סמך מה מרכז ההסמכה צריך להנפיק אישור למשתמש, כי הוא לא יודע דבר על זה. (למשל שם פרטי, שם משפחה וכו') יש דבר כזה שנקרא בקשת תעודה. מידע נוסף על תקן זה ניתן למצוא, למשל, בוויקיפדיה ru.wikipedia.org/wiki/PKCS
נשתמש בגרסה 1.7 - PKCS#10.

הבה נתאר את האלגוריתם להפקת אישור על Rutoken (מקור מקורי: תיעוד):

1. אנו יוצרים זוג מפתחות על הלקוח ושומרים אותו על Rutoken. (השמירה מתבצעת באופן אוטומטי)
2. אנו יוצרים בקשת אישור על הלקוח.
3. מהלקוח אנחנו שולחים בקשה זו לשרת.
4. כאשר אנו מקבלים בקשה לאישור בשרת, אנו מוציאים אישור מרשות האישורים שלנו.
5. אנו שולחים אישור זה ללקוח.
6. אנו שומרים את תעודת Rutoken בלקוח.
7. האישור חייב להיות קשור לזוג המפתחות שנוצר בשלב הראשון.

כעת מתברר כיצד השרת יוכל לפענח את חתימת הלקוח, מכיוון שהוא עצמו הנפיק לו את האישור.

בחלק הבא, נסקור מקרוב כיצד להגדיר את רשות האישורים שלך בהתבסס על ספריית ההצפנה המלאה בקוד פתוח openSSL.

מקור: www.habr.com