និមិត្តសញ្ញាពពក PKCS #11 - ទេវកថាឬការពិត?

PKCS#11 (Cryptoki) គឺជាស្តង់ដារមួយដែលត្រូវបានបង្កើតឡើងដោយ RSA ​​Laboratories សម្រាប់កម្មវិធីអន្តរកម្មជាមួយកូដសម្ងាត់ កាតឆ្លាតវៃ និងឧបករណ៍ស្រដៀងគ្នាផ្សេងទៀតដោយប្រើចំណុចប្រទាក់កម្មវិធីបង្រួបបង្រួមដែលត្រូវបានអនុវត្តតាមរយៈបណ្ណាល័យ។

ស្តង់ដារ PKCS #11 សម្រាប់ការគ្រីបរុស្ស៊ីត្រូវបានគាំទ្រដោយគណៈកម្មាធិការស្តង់ដារបច្ចេកទេស "ការការពារព័ត៌មានគ្រីបតូ" (TK ២៦).

ប្រសិនបើយើងនិយាយអំពីថូខឹនដែលគាំទ្រការគ្រីបភាសារុស្សី នោះយើងអាចនិយាយអំពីសូហ្វវែរ ថូខឹនផ្នែករឹងផ្នែកទន់ និងថូខឹនផ្នែករឹង។

សញ្ញាសម្ងាត់គ្រីបតូផ្ដល់ទាំងការផ្ទុកវិញ្ញាបនបត្រ និងគូសោ (សោសាធារណៈ និងឯកជន) និងការអនុវត្តប្រតិបត្តិការគ្រីបគ្រីបស្របតាមស្តង់ដារ PKCS#11 ។ តំណភ្ជាប់ខ្សោយនៅទីនេះគឺការផ្ទុកសោឯកជន។ ប្រសិនបើសោសាធារណៈត្រូវបានបាត់បង់ អ្នកតែងតែអាចយកវាមកវិញដោយប្រើសោឯកជន ឬយកវាចេញពីវិញ្ញាបនបត្រ។ ការបាត់បង់/បំផ្លាញសោឯកជនមានផលវិបាកធ្ងន់ធ្ងរ ឧទាហរណ៍ អ្នកនឹងមិនអាចឌិគ្រីបឯកសារដែលបានអ៊ិនគ្រីបដោយប្រើសោសាធារណៈរបស់អ្នក ហើយអ្នកនឹងមិនអាចដាក់ហត្ថលេខាអេឡិចត្រូនិក (ES) បានទេ។ ដើម្បីបង្កើតហត្ថលេខាអេឡិចត្រូនិក អ្នកនឹងត្រូវបង្កើតគូសោថ្មី ហើយសម្រាប់លុយខ្លះ ទទួលបានវិញ្ញាបនបត្រថ្មីពីអាជ្ញាធរបញ្ជាក់មួយ។

ខាងលើយើងបានរៀបរាប់អំពីសូហ្វវែរ កម្មវិធីបង្កប់ និងថូខឹនផ្នែករឹង។ ប៉ុន្តែយើងអាចពិចារណាប្រភេទមួយផ្សេងទៀតនៃសញ្ញាសម្ងាត់គ្រីប - ពពក។

ថ្ងៃនេះអ្នកនឹងមិនធ្វើឱ្យនរណាម្នាក់ភ្ញាក់ផ្អើលទេ។ cloud flash drive... ទាំងអស់ គុណសម្បត្តិ​និង​គុណវិបត្តិ cloud flash drives ស្ទើរតែដូចគ្នាទៅនឹង cloud token។

ចំណុចសំខាន់នៅទីនេះគឺសុវត្ថិភាពនៃទិន្នន័យដែលបានរក្សាទុកក្នុង cloud token ជាចម្បង សោឯកជន។ តើ cloud token អាចផ្តល់វាបានទេ? យើងនិយាយថា - បាទ!

ដូច្នេះតើ cloud token ដំណើរការយ៉ាងដូចម្តេច? ជំហានដំបូងគឺត្រូវចុះឈ្មោះអតិថិជននៅក្នុងពពកនិមិត្តសញ្ញា។ ដើម្បីធ្វើដូច្នេះ ឧបករណ៍ប្រើប្រាស់ត្រូវតែត្រូវបានផ្តល់ជូនដែលអនុញ្ញាតឱ្យអ្នកចូលប្រើពពក និងចុះឈ្មោះចូល/ឈ្មោះហៅក្រៅរបស់អ្នកនៅក្នុងវា៖


បន្ទាប់ពីចុះឈ្មោះក្នុងពពក អ្នកប្រើប្រាស់ត្រូវតែចាប់ផ្តើមនិមិត្តសញ្ញារបស់គាត់ ពោលគឺកំណត់ស្លាកសញ្ញាសម្ងាត់ ហើយសំខាន់បំផុតគឺកំណត់ SO-PIN និងលេខកូដ PIN អ្នកប្រើប្រាស់។ ប្រតិបត្តិការទាំងនេះត្រូវតែធ្វើឡើងលើបណ្តាញសុវត្ថិភាព/អ៊ិនគ្រីបតែប៉ុណ្ណោះ។ ឧបករណ៍ប្រើប្រាស់ pk11conf ត្រូវបានប្រើដើម្បីចាប់ផ្តើមសញ្ញាសម្ងាត់។ ដើម្បីអ៊ិនគ្រីបឆានែល វាត្រូវបានស្នើឱ្យប្រើក្បួនដោះស្រាយការអ៊ិនគ្រីប Magma-CTR (GOST R 34.13-2015) ។

ដើម្បីបង្កើតកូនសោដែលបានព្រមព្រៀងគ្នាលើមូលដ្ឋានដែលចរាចររវាងម៉ាស៊ីនភ្ញៀវ និងម៉ាស៊ីនមេនឹងត្រូវបានការពារ/អ៊ិនគ្រីប វាត្រូវបានស្នើឱ្យប្រើពិធីការ TK 26 ដែលបានណែនាំ សេស្ប៉ាក - ពិធីការបង្កើតកូនសោដែលបានចែករំលែកជាមួយនឹងការផ្ទៀងផ្ទាត់ពាក្យសម្ងាត់.

វាត្រូវបានស្នើឱ្យប្រើជាពាក្យសម្ងាត់ដោយផ្អែកលើមូលដ្ឋានដែលសោដែលបានចែករំលែកនឹងត្រូវបានបង្កើត យន្តការពាក្យសម្ងាត់តែម្តង. ដោយសារយើងកំពុងនិយាយអំពីការគ្រីបភាសារុស្សី វាជារឿងធម្មតាទេក្នុងការបង្កើតពាក្យសម្ងាត់តែម្តងដោយប្រើយន្តការ CKM_GOSTR3411_12_256_HMAC, CKM_GOSTR3411_12_512_HMAC ឬ CKM_GOSTR3411_HMAC.

ការប្រើប្រាស់យន្តការនេះធានាថាការចូលប្រើវត្ថុនិមិត្តសញ្ញាផ្ទាល់ខ្លួននៅក្នុងពពកតាមរយៈលេខកូដ SO និង USER PIN គឺអាចប្រើបានសម្រាប់តែអ្នកប្រើប្រាស់ដែលបានដំឡើងពួកវាដោយប្រើឧបករណ៍ប្រើប្រាស់ប៉ុណ្ណោះ។ pk11conf.

នោះហើយជាវា បន្ទាប់ពីបញ្ចប់ជំហានទាំងនេះ និមិត្តសញ្ញាពពកគឺរួចរាល់សម្រាប់ប្រើប្រាស់។ ដើម្បីចូលប្រើ cloud token អ្នកគ្រាន់តែត្រូវដំឡើងបណ្ណាល័យ LS11CLOUD នៅលើកុំព្យូទ័ររបស់អ្នក។ នៅពេលប្រើ cloud token នៅក្នុងកម្មវិធីនៅលើប្រព័ន្ធប្រតិបត្តិការ Android និង iOS នោះ SDK ដែលត្រូវគ្នាត្រូវបានផ្តល់ជូន។ វាគឺជាបណ្ណាល័យនេះដែលនឹងត្រូវបានបញ្ជាក់នៅពេលភ្ជាប់និមិត្តសញ្ញាពពកនៅក្នុងកម្មវិធីរុករក Redfox ឬសរសេរក្នុងឯកសារ pkcs11.txt សម្រាប់។ បណ្ណាល័យ LS11CLOUD ក៏ធ្វើអន្តរកម្មជាមួយសញ្ញាសម្ងាត់នៅក្នុងពពកតាមរយៈឆានែលសុវត្ថិភាពដោយផ្អែកលើ SESPAKE ដែលបង្កើតឡើងនៅពេលហៅមុខងារ PKCS#11 C_Initialize!

នោះហើយជាទាំងអស់ ឥឡូវនេះអ្នកអាចបញ្ជាទិញវិញ្ញាបនបត្រ ដំឡើងវានៅក្នុង cloud token របស់អ្នក ហើយចូលទៅកាន់គេហទំព័រសេវាកម្មរដ្ឋាភិបាល។

ប្រភព: www.habr.com