រចនាសម្ព័ន្ធសោសាធារណៈ។ ការចេញវិញ្ញាបនបត្រក្នុងអំឡុងពេលដាច់ដោយឡែកពីគេ

របៀបដែលវាបានចាប់ផ្តើមទាំងអស់

នៅដើមដំបូងនៃរយៈពេលឯកោខ្លួនឯង ខ្ញុំបានទទួលសំបុត្រតាមសំបុត្រ៖

ប្រតិកម្មដំបូងគឺធម្មជាតិ៖ អ្នកត្រូវតែទៅរកសញ្ញាសម្ងាត់ ឬពួកគេត្រូវតែនាំយកមក ប៉ុន្តែចាប់តាំងពីថ្ងៃច័ន្ទមក យើងទាំងអស់គ្នាបានអង្គុយនៅផ្ទះ មានការរឹតបន្តឹងលើចលនា ហើយតើនរកនោះជាអ្នកណា? ដូច្នេះ ចម្លើយគឺពិតជាធម្មជាតិ៖

ហើយដូចដែលយើងដឹងស្រាប់ហើយថា ចាប់ពីថ្ងៃច័ន្ទ ទី 1 មេសា មក ដំណាក់កាលនៃការនៅដាច់ដោយឡែកពីគេយ៉ាងតឹងរ៉ឹងបានចាប់ផ្ដើម។ យើងទាំងអស់គ្នាក៏បានប្តូរទៅការងារពីចម្ងាយ ហើយយើងក៏ត្រូវការ VPN ផងដែរ។ VPN របស់យើងគឺផ្អែកលើ OpenVPN ប៉ុន្តែត្រូវបានកែប្រែដើម្បីគាំទ្រការគ្រីបភាសារុស្សី និងសមត្ថភាពក្នុងការធ្វើការជាមួយ PKCS#11 tokens និង PKCS#12 containers។ តាមធម្មជាតិ វាបានប្រែក្លាយថាយើងខ្លួនឯងមិនទាន់ត្រៀមខ្លួនរួចរាល់ដើម្បីធ្វើការតាមរយៈ VPN ទេ៖ មនុស្សជាច្រើនមិនមានវិញ្ញាបនបត្រទេ ហើយខ្លះទៀតបានផុតកំណត់។

តើដំណើរការបានទៅជាយ៉ាងណា?

ហើយនេះគឺជាកន្លែងដែលឧបករណ៍ប្រើប្រាស់មកជួយសង្គ្រោះ cryptoarmpkcs និងកម្មវិធី CAFL63 (មជ្ឈមណ្ឌលផ្ទៀងផ្ទាត់) ។

ឧបករណ៍ប្រើប្រាស់ cryptoarmpkcs បានអនុញ្ញាតឱ្យនិយោជិតដែលនៅដាច់ដោយឡែកពីគេ និងមានសញ្ញាសម្ងាត់នៅលើកុំព្យូទ័រផ្ទះរបស់ពួកគេ ដើម្បីបង្កើតសំណើវិញ្ញាបនបត្រ៖

បុគ្គលិកបានផ្ញើសំណើដែលបានរក្សាទុកតាមរយៈអ៊ីមែលមកខ្ញុំ។ នរណាម្នាក់អាចសួរថា: - ចុះទិន្នន័យផ្ទាល់ខ្លួន ប៉ុន្តែប្រសិនបើអ្នកមើលឱ្យជិត វាមិនស្ថិតនៅក្នុងសំណើនោះទេ។ ហើយសំណើខ្លួនវាត្រូវបានការពារដោយហត្ថលេខារបស់វា។

នៅពេលទទួលបាន សំណើវិញ្ញាបនបត្រត្រូវបាននាំចូលទៅក្នុងមូលដ្ឋានទិន្នន័យ CAFL63 CA៖

បន្ទាប់មកសំណើត្រូវតែបដិសេធ ឬយល់ព្រម។ ដើម្បីពិចារណាសំណើមួយ អ្នកត្រូវជ្រើសរើសវា ចុចកណ្ដុរស្ដាំ ហើយជ្រើសរើស "ធ្វើការសម្រេចចិត្ត" ពីម៉ឺនុយទម្លាក់ចុះ៖

នីតិវិធីធ្វើសេចក្តីសម្រេចដោយខ្លួនវាមានតម្លាភាពពិតប្រាកដ៖

វិញ្ញាបនបត្រត្រូវបានចេញតាមរបៀបដូចគ្នា មានតែធាតុម៉ឺនុយប៉ុណ្ណោះដែលត្រូវបានគេហៅថា "វិញ្ញាបនបត្របញ្ហា"៖

ដើម្បីមើលវិញ្ញាបនបត្រដែលបានចេញ អ្នកអាចប្រើម៉ឺនុយបរិបទ ឬគ្រាន់តែចុចពីរដងលើបន្ទាត់ដែលត្រូវគ្នា៖

ឥឡូវនេះមាតិកាអាចត្រូវបានមើលទាំងតាមរយៈ openssl (ផ្ទាំងអត្ថបទ OpenSSL) និងកម្មវិធីមើលដែលភ្ជាប់មកជាមួយនៃកម្មវិធី CAFL63 (ផ្ទាំងអត្ថបទវិញ្ញាបនបត្រ)។ ក្នុងករណីចុងក្រោយ អ្នកអាចប្រើម៉ឺនុយបរិបទ ដើម្បីចម្លងវិញ្ញាបនបត្រជាទម្រង់អត្ថបទ ជាដំបូងទៅកាន់ក្ដារតម្បៀតខ្ទាស់ ហើយបន្ទាប់មកទៅកាន់ឯកសារ។

នៅទីនេះវាគួរតែត្រូវបានកត់សម្គាល់ថាអ្វីដែលបានផ្លាស់ប្តូរនៅក្នុង CAFL63 បើប្រៀបធៀបទៅនឹងកំណែដំបូង? ចំពោះ​ការ​មើល​វិញ្ញាបនបត្រ យើង​បាន​កត់​សម្គាល់​រួច​ហើយ។ វាក៏អាចជ្រើសរើសក្រុមវត្ថុ (វិញ្ញាបនបត្រ សំណើ CRLs) និងមើលពួកវាក្នុងទម្រង់ទំព័រ (ប៊ូតុង "មើលដែលបានជ្រើសរើស ... ") ។

ប្រហែលជារឿងសំខាន់បំផុតគឺថាគម្រោងនេះអាចរកបានដោយសេរីនៅលើ github. បន្ថែមពីលើការចែកចាយសម្រាប់លីនុច ការចែកចាយសម្រាប់ Windows និង OS X ត្រូវបានរៀបចំ។ ការចែកចាយសម្រាប់ Android នឹងត្រូវបានចេញផ្សាយនៅពេលក្រោយបន្តិច។

បើប្រៀបធៀបទៅនឹងកំណែមុននៃកម្មវិធី CAFL63 មិនត្រឹមតែចំណុចប្រទាក់ខ្លួនឯងបានផ្លាស់ប្តូរប៉ុណ្ណោះទេ ប៉ុន្តែដូចដែលបានកត់សម្គាល់រួចហើយ មុខងារថ្មីៗត្រូវបានបន្ថែម។ ឧទាហរណ៍ ទំព័រពិពណ៌នាកម្មវិធីត្រូវបានរៀបចំឡើងវិញ ហើយតំណភ្ជាប់ផ្ទាល់ទៅកាន់ការចែកចាយការទាញយកត្រូវបានបន្ថែម៖

មនុស្សជាច្រើនបានសួរហើយនៅតែសួរកន្លែងដែលត្រូវយក GOST openssl ។ ជាប្រពៃណីខ្ញុំផ្តល់ឱ្យ តំណផ្តល់ដោយក្តីមេត្តា garex. របៀបប្រើ openssl នេះត្រូវបានសរសេរ នៅទីនេះ.
ប៉ុន្តែឥឡូវនេះឧបករណ៍ចែកចាយរួមមានកំណែសាកល្បងនៃ openssl ជាមួយនឹងការគ្រីបរុស្ស៊ី។

ដូច្នេះនៅពេលដំឡើង CA អ្នកអាចបញ្ជាក់ទាំង /tmp/lirssl_static សម្រាប់លីនុច ឬ $::env(TEMP)/lirssl_static.exe សម្រាប់ Windows ដូចដែល openssl បានប្រើ៖

ក្នុងករណីនេះ អ្នកនឹងត្រូវបង្កើតឯកសារ lirssl.cnf ទទេ ហើយបញ្ជាក់ផ្លូវទៅកាន់ឯកសារនេះនៅក្នុងបរិស្ថានអថេរ LIRSSL_CONF៖

ផ្ទាំង "ផ្នែកបន្ថែម" នៅក្នុងការកំណត់វិញ្ញាបនបត្រត្រូវបានបំពេញបន្ថែមជាមួយនឹងវាល "ការចូលប្រើព័ត៌មានសិទ្ធិអំណាច" ដែលអ្នកអាចកំណត់ចំណុចចូលដំណើរការទៅកាន់វិញ្ញាបនបត្រឫសគល់ CA និងទៅកាន់ម៉ាស៊ីនមេ OCSP៖

យើងតែងតែឮថា CAs មិនទទួលយកសំណើដែលបង្កើតដោយពួកគេ (PKCS#10) ពីអ្នកដាក់ពាក្យ ឬសូម្បីតែអាក្រក់ជាងនេះទៅទៀត បង្ខំឱ្យបង្កើតសំណើជាមួយនឹងការបង្កើតគូសំខាន់នៅលើក្រុមហ៊ុនដឹកជញ្ជូនតាមរយៈ CSP មួយចំនួន។ ហើយ​ពួកគេ​បដិសេធ​មិន​បង្កើត​សំណើ​លើ​សញ្ញាសម្ងាត់​ជាមួយ​នឹង​សោ​មិនអាច​ទាញ​យក​បាន (នៅលើ RuToken EDS-2.0 ដូចគ្នា) តាមរយៈ​ចំណុចប្រទាក់ PKCS#11។ ដូច្នេះវាត្រូវបានសម្រេចចិត្តបន្ថែមការបង្កើតសំណើទៅមុខងារនៃកម្មវិធី CAFL63 ដោយប្រើយន្តការគ្រីបគ្រីបនៃ PKCS#11 tokens។ ដើម្បីបើកយន្តការសញ្ញាសម្ងាត់ កញ្ចប់ត្រូវបានប្រើប្រាស់ TclPKCS11. នៅពេលបង្កើតសំណើទៅ CA (ទំព័រ "សំណើសម្រាប់វិញ្ញាបនបត្រ" មុខងារ "បង្កើតសំណើ/CSR") ឥឡូវនេះអ្នកអាចជ្រើសរើសពីរបៀបដែលគូសោនឹងត្រូវបានបង្កើត (ដោយប្រើ openssl ឬនៅលើសញ្ញាសម្ងាត់) ហើយសំណើខ្លួនឯងនឹងត្រូវបានចុះហត្ថលេខា៖

បណ្ណាល័យដែលត្រូវការដើម្បីធ្វើការជាមួយសញ្ញាសម្ងាត់ត្រូវបានបញ្ជាក់នៅក្នុងការកំណត់សម្រាប់វិញ្ញាបនបត្រ៖

ប៉ុន្តែ​យើង​បាន​ងាក​ចេញ​ពី​កិច្ចការ​ចម្បង​ក្នុង​ការ​ផ្តល់​វិញ្ញាបនបត្រ​ដល់​និយោជិត​ដើម្បី​ធ្វើ​ការ​ក្នុង​បណ្តាញ VPN របស់​ក្រុមហ៊ុន​ក្នុង​របៀប​ឯកោ​ខ្លួន​ឯង។ វាបានប្រែក្លាយថាបុគ្គលិកមួយចំនួនមិនមានសញ្ញាសម្ងាត់។ វាត្រូវបានសម្រេចចិត្តផ្តល់ឱ្យពួកគេនូវធុងការពារ PKCS#12 ចាប់តាំងពីកម្មវិធី CAFL63 អនុញ្ញាត។ ជាដំបូង សម្រាប់បុគ្គលិកបែបនេះ យើងធ្វើសំណើ PKCS#10 ដែលបង្ហាញពីប្រភេទ CIPF “OpenSSL” បន្ទាប់មកយើងចេញវិញ្ញាបនបត្រ និងវេចខ្ចប់វានៅក្នុង PKCS12។ ដើម្បីធ្វើដូចនេះនៅលើទំព័រ "វិញ្ញាបនបត្រ" ជ្រើសរើសវិញ្ញាបនបត្រដែលចង់បានចុចខាងស្តាំហើយជ្រើសរើស "នាំចេញទៅ PKCS #12"៖

ដើម្បីប្រាកដថាអ្វីៗគ្រប់យ៉ាងស្ថិតក្នុងលំដាប់ជាមួយកុងតឺន័រ សូមប្រើឧបករណ៍ប្រើប្រាស់ cryptoarmpkcs៖

ឥឡូវនេះអ្នកអាចផ្ញើវិញ្ញាបនបត្រដែលបានចេញទៅបុគ្គលិក។ មនុស្សមួយចំនួនត្រូវបានផ្ញើយ៉ាងសាមញ្ញនូវឯកសារដែលមានវិញ្ញាបនបត្រ (ទាំងនេះគឺជាម្ចាស់សញ្ញាសម្ងាត់ អ្នកដែលផ្ញើសំណើ) ឬ PKCS#12 containers ។ ក្នុងករណីទី XNUMX និយោជិតម្នាក់ៗត្រូវបានផ្តល់ពាក្យសម្ងាត់ទៅកុងតឺន័រតាមទូរស័ព្ទ។ បុគ្គលិកទាំងនេះគ្រាន់តែត្រូវការកែតម្រូវឯកសារកំណត់រចនាសម្ព័ន្ធ VPN ដោយបញ្ជាក់ផ្លូវទៅកាន់កុងតឺន័រយ៉ាងត្រឹមត្រូវ។

សម្រាប់ម្ចាស់សញ្ញាសម្ងាត់ ពួកគេក៏ត្រូវការនាំចូលវិញ្ញាបនបត្រសម្រាប់និមិត្តសញ្ញារបស់ពួកគេផងដែរ។ ដើម្បីធ្វើដូចនេះពួកគេបានប្រើឧបករណ៍ប្រើប្រាស់ cryptoarmpkcs ដូចគ្នា៖

ឥឡូវនេះមានការផ្លាស់ប្តូរតិចតួចបំផុតចំពោះការកំណត់រចនាសម្ព័ន្ធ VPN (ស្លាកវិញ្ញាបនបត្រនៅលើសញ្ញាសម្ងាត់ប្រហែលជាបានផ្លាស់ប្តូរ) ហើយនោះហើយជាវា បណ្តាញ VPN របស់ក្រុមហ៊ុនកំពុងដំណើរការ។

ការបញ្ចប់ដ៏រីករាយ

ហើយបន្ទាប់មកវាបានភ្លឺមកលើខ្ញុំ ហេតុអ្វីបានជាមនុស្សនាំយកសញ្ញាសម្ងាត់មកឱ្យខ្ញុំ ឬតើខ្ញុំគួរផ្ញើអ្នកនាំសារឱ្យពួកគេ។ ហើយខ្ញុំផ្ញើលិខិតមួយដែលមានខ្លឹមសារដូចខាងក្រោម៖

ចម្លើយនឹងមកដល់នៅថ្ងៃបន្ទាប់៖

ខ្ញុំផ្ញើតំណទៅឧបករណ៍ប្រើប្រាស់ cryptoarmpkcs ភ្លាមៗ៖

មុនពេលបង្កើតសំណើវិញ្ញាបនបត្រ ខ្ញុំបានណែនាំថាពួកគេសម្អាតសញ្ញាសម្ងាត់៖

បន្ទាប់មកសំណើសុំវិញ្ញាបនបត្រក្នុងទម្រង់ PKCS#10 ត្រូវបានផ្ញើតាមអ៊ីមែល ហើយខ្ញុំបានចេញវិញ្ញាបនបត្រ ដែលខ្ញុំបានផ្ញើទៅ៖

ហើយបន្ទាប់មកពេលវេលាដ៏រីករាយបានមកដល់៖

ហើយមានសំបុត្រនេះផងដែរ៖

ហើយបន្ទាប់ពីនោះអត្ថបទនេះបានកើត។

ការចែកចាយកម្មវិធី CAFL63 សម្រាប់វេទិកា Linux និង MS Windows អាចត្រូវបានរកឃើញ

នៅទីនេះ

• លីនុច ៤
• លីនុច ៤
• វីន ៩៨
• វីន ៩៨
• ប្រព័ន្ធប្រតិបត្តិការ X បាន

ការចែកចាយឧបករណ៍ប្រើប្រាស់ cryptoarmpkcs រួមទាំងប្រព័ន្ធប្រតិបត្តិការ Android មានទីតាំងនៅ

នៅទីនេះ

• លីនុច ៤
• លីនុច ៤
• វីន ៩៨
• វីន ៩៨
• ប្រព័ន្ធប្រតិបត្តិការ X បាន
• ប្រព័ន្ធប្រតិបត្តិការ Android

ប្រភព: www.habr.com