Rutoken ტექნოლოგიის გამოყენების გამოცდილება სისტემაში მომხმარებლების რეგისტრაციისა და ავტორიზაციისთვის (ნაწილი 1)

Საღამო მშვიდობისა მინდა ჩემი გამოცდილება გაგიზიაროთ ამ თემაზე.

Rutoken არის აპარატურა და პროგრამული გადაწყვეტილებები ავტორიზაციის, ინფორმაციის უსაფრთხოებისა და ელექტრონული ხელმოწერის სფეროში. არსებითად, ეს არის ფლეშ დრაივი, რომელსაც შეუძლია შეინახოს ავტორიზაციის მონაცემები, რომელსაც მომხმარებელი იყენებს სისტემაში შესასვლელად.

ამ მაგალითში გამოყენებულია Rutoken EDS 2.0.

ამ Rutoken-თან მუშაობისთვის გჭირდებათ დააინსტალირეთ დრაივერი Windows-ზე.

Windows-ისთვის, მხოლოდ ერთი დრაივერის დაყენება უზრუნველყოფს, რომ ყველაფერი, რაც საჭიროა, დაინსტალირებულია ისე, რომ OS დაინახოს თქვენი Rutoken და შეძლოს მასთან მუშაობა.

შეგიძლიათ რუტოკენთან ურთიერთობა სხვადასხვა გზით. მასზე წვდომა შეგიძლიათ აპლიკაციის სერვერის მხრიდან, ან პირდაპირ კლიენტის მხრიდან. ეს მაგალითი განიხილავს Rutoken-თან ურთიერთქმედებას აპლიკაციის კლიენტის მხრიდან.

აპლიკაციის კლიენტის ნაწილი ურთიერთქმედებს რუტოკენთან რუტოკენის მოდულის მეშვეობით. ეს არის პროგრამა, რომელიც დაინსტალირებულია ცალკე თითოეულ ბრაუზერზე. Windows-ისთვის თქვენ უბრალოდ უნდა ჩამოტვირთოთ და დააინსტალიროთ დანამატი, მდებარეობს ამ ბმულზე.

ესე იგი, ახლა ჩვენ შეგვიძლია რუტოკენთან ურთიერთობა აპლიკაციის კლიენტის მხრიდან.

ეს მაგალითი განიხილავს სისტემაში მომხმარებლის ავტორიზაციის ალგორითმის დანერგვის იდეას გამოწვევა-პასუხის სქემის გამოყენებით.

იდეის არსი შემდეგია:

1. კლიენტი აგზავნის ავტორიზაციის მოთხოვნას სერვერზე.
2. სერვერი პასუხობს კლიენტის მოთხოვნას შემთხვევითი სტრიქონის გაგზავნით.
3. კლიენტი ავსებს ამ სტრიქონს შემთხვევითი 32 ბიტით.
4. კლიენტი ხელს აწერს მიღებულ სტრიქონს თავისი სერტიფიკატით.
5. კლიენტი აგზავნის მიღებულ დაშიფრულ შეტყობინებას სერვერზე.
6. სერვერი ამოწმებს ხელმოწერას ორიგინალური დაშიფრული შეტყობინების მიღებით.
7. სერვერი აშორებს ბოლო 32 ბიტს მიღებული დაშიფრული შეტყობინებისგან.
8. სერვერი მიღებულ შედეგს ადარებს შეტყობინებას, რომელიც გაიგზავნა ავტორიზაციის მოთხოვნისას.
9. თუ შეტყობინებები იგივეა, მაშინ ავტორიზაცია წარმატებულად ითვლება.

ზემოხსენებულ ალგორითმში არის სერთიფიკატი. ამ მაგალითისთვის, თქვენ უნდა გესმოდეთ კრიპტოგრაფიული თეორია. ჰაბრეზე არის შესანიშნავი სტატია ამ თემაზე.

ამ მაგალითში ჩვენ გამოვიყენებთ ასიმეტრიული დაშიფვრის ალგორითმებს. ასიმეტრიული ალგორითმების განსახორციელებლად, თქვენ უნდა გქონდეთ გასაღების წყვილი და სერთიფიკატი.

გასაღების წყვილი შედგება ორი ნაწილისგან: პირადი და საჯარო გასაღები. პირადი გასაღები, როგორც მისი სახელიდან ჩანს, საიდუმლო უნდა იყოს. ჩვენ ვიყენებთ მას ინფორმაციის გასაშიფრად. საჯარო გასაღები შეიძლება ნებისმიერს გადაეცეს. ეს გასაღები გამოიყენება მონაცემთა დაშიფვრისთვის. ამრიგად, ნებისმიერ მომხმარებელს შეუძლია მონაცემთა დაშიფვრა საჯარო გასაღების გამოყენებით, მაგრამ მხოლოდ პირადი გასაღების მფლობელს შეუძლია ამ ინფორმაციის გაშიფვრა.

სერტიფიკატი არის ელექტრონული დოკუმენტი, რომელიც შეიცავს ინფორმაციას მომხმარებლის შესახებ, რომელიც ფლობს სერტიფიკატს, ასევე საჯარო გასაღებს. სერთიფიკატის საშუალებით მომხმარებელს შეუძლია ხელი მოაწეროს ნებისმიერ მონაცემს და გაგზავნოს სერვერზე, რომელსაც შეუძლია ხელმოწერის გადამოწმება და მონაცემების გაშიფვრა.

იმისათვის, რომ სწორად მოაწეროთ შეტყობინება სერტიფიკატით, თქვენ უნდა შექმნათ ის სწორად. ამისათვის ჯერ Rutoken-ზე იქმნება გასაღების წყვილი, შემდეგ კი სერთიფიკატი უნდა იყოს მიბმული ამ გასაღების წყვილის საჯარო გასაღებთან. სერტიფიკატს ზუსტად უნდა ჰქონდეს საჯარო გასაღები, რომელიც მდებარეობს რუტოკენზე, ეს მნიშვნელოვანია. თუ ჩვენ უბრალოდ შევქმნით გასაღების წყვილს და სერთიფიკატს დაუყოვნებლივ აპლიკაციის კლიენტის მხარეს, მაშინ როგორ შეუძლია სერვერს ამ დაშიფრული შეტყობინების გაშიფვრა? ბოლოს და ბოლოს, მან საერთოდ არაფერი იცის არც გასაღების წყვილზე და არც სერთიფიკატზე.

თუ ამ თემას უფრო ღრმად ჩაუღრმავდებით, ინტერნეტში შეგიძლიათ იპოვოთ საინტერესო ინფორმაცია. არსებობს გარკვეული სერტიფიცირების ორგანოები, რომლებსაც ჩვენ აშკარად ვენდობით. ამ სერტიფიკაციის ორგანოებს შეუძლიათ გასცენ სერთიფიკატები მომხმარებლებს; ისინი დააინსტალირებენ ამ სერტიფიკატებს მათ სერვერზე. ამის შემდეგ, როდესაც კლიენტი შედის ამ სერვერზე, ის ხედავს სწორედ ამ სერტიფიკატს და ხედავს, რომ იგი გაცემულია სერტიფიკაციის ორგანოს მიერ, რაც ნიშნავს, რომ ამ სერვერს შეიძლება ენდობოდეს. ინტერნეტში ასევე არის უამრავი ინფორმაცია იმის შესახებ, თუ როგორ უნდა დააყენოთ ყველაფერი სწორად. მაგალითად, შეგიძლიათ დაიწყოთ ამით.

თუ ჩვენს პრობლემას დავუბრუნდებით, გამოსავალი აშკარად ჩანს. თქვენ როგორმე უნდა შექმნათ თქვენი საკუთარი სერტიფიცირების ცენტრი. მანამდე კი, თქვენ უნდა გაარკვიოთ, რის საფუძველზე უნდა გასცეს სერტიფიკაციის ცენტრმა მომხმარებელს სერტიფიკატი, რადგან მან არაფერი იცის ამის შესახებ. (მაგალითად, მისი სახელი, გვარი და ა.შ.) არის ასეთი რამ, რასაც ჰქვია მოწმობის მოთხოვნა. ამ სტანდარტის შესახებ მეტი ინფორმაცია შეგიძლიათ ნახოთ, მაგალითად, ვიკიპედიაში ru.wikipedia.org/wiki/PKCS
ჩვენ გამოვიყენებთ ვერსიას 1.7 - PKCS#10.

მოდით აღვწეროთ რუტოკენზე სერთიფიკატის გენერირების ალგორითმი (ორიგინალური წყარო: დოკუმენტაცია):

1. ჩვენ ვქმნით გასაღების წყვილს კლიენტზე და ვინახავთ მას Rutoken-ზე. (შენახვა ხდება ავტომატურად)
2. ჩვენ ვქმნით სერთიფიკატის მოთხოვნას კლიენტზე.
3. კლიენტისგან ჩვენ ვუგზავნით ამ მოთხოვნას სერვერზე.
4. როდესაც სერვერზე ვიღებთ მოთხოვნას სერტიფიკატის შესახებ, ჩვენ გავცემთ სერთიფიკატს ჩვენი სერტიფიკაციის ორგანოდან.
5. ჩვენ ვუგზავნით ამ სერთიფიკატს კლიენტს.
6. ჩვენ ვინახავთ Rutoken სერთიფიკატს კლიენტზე.
7. სერთიფიკატი უნდა იყოს მიბმული გასაღების წყვილთან, რომელიც შეიქმნა პირველ ეტაპზე.

ახლა ცხადი ხდება, თუ როგორ შეძლებს სერვერი კლიენტის ხელმოწერის გაშიფვრას, რადგან მან თავად გასცა მას სერტიფიკატი.

შემდეგ ნაწილში, ჩვენ უფრო დეტალურად განვიხილავთ, თუ როგორ უნდა დააყენოთ თქვენი სერტიფიკატის ავტორიტეტი სრულფასოვანი ღია კოდის კრიპტოგრაფიული ბიბლიოთეკის openSSL-ზე დაყრდნობით.

წყარო: www.habr.com