클라우드 토큰 PKCS#11 – 신화인가 현실인가?

PKCS#11(Cryptoki)은 라이브러리를 통해 구현되는 통합 프로그래밍 인터페이스를 사용하여 암호화 토큰, 스마트 카드 및 기타 유사한 장치와 프로그램을 상호 운용하기 위해 RSA Laboratories에서 개발한 표준입니다.

러시아 암호화에 대한 PKCS#11 표준은 기술 표준화 위원회 "암호화 정보 보호"(TK 26).

러시아 암호화를 지원하는 토큰에 관해 이야기한다면 소프트웨어 토큰, 소프트웨어 하드웨어 토큰 및 하드웨어 토큰에 대해 이야기할 수 있습니다.

암호화 토큰은 인증서와 키 쌍(공개 및 개인 키)의 저장 기능과 PKCS#11 표준에 따른 암호화 작업 성능을 모두 제공합니다. 여기서 약한 연결고리는 개인 키의 저장입니다. 공개 키를 분실한 경우 언제든지 개인 키를 사용하여 복구하거나 인증서에서 가져올 수 있습니다. 개인 키의 분실/파괴는 심각한 결과를 초래합니다. 예를 들어, 공개 키로 암호화된 파일을 해독할 수 없고 전자 서명(ES)을 넣을 수 없게 됩니다. 전자 서명을 생성하려면 새 키 쌍을 생성하고 약간의 비용을 들여 인증 기관 중 한 곳에서 새 인증서를 받아야 합니다.

위에서 우리는 소프트웨어, 펌웨어 및 하드웨어 토큰을 언급했습니다. 그러나 우리는 또 다른 유형의 암호화 토큰인 클라우드를 고려할 수 있습니다.

오늘은 누구도 놀라지 않을 것입니다 클라우드 플래시 드라이브. 모든 장점과 단점 클라우드 플래시 드라이브는 클라우드 토큰과 거의 동일합니다.

여기서 가장 중요한 것은 클라우드 토큰에 저장된 데이터, 주로 개인 키의 보안입니다. 클라우드 토큰이 이를 제공할 수 있나요? 우리는 말합니다 – 그렇습니다!

그렇다면 클라우드 토큰은 어떻게 작동하나요? 첫 번째 단계는 토큰 클라우드에 클라이언트를 등록하는 것입니다. 이렇게 하려면 클라우드에 액세스하고 클라우드에 로그인/닉네임을 등록할 수 있는 유틸리티를 제공해야 합니다.


클라우드에 등록한 후 사용자는 자신의 토큰을 초기화해야 합니다. 즉, 토큰 레이블을 설정하고 가장 중요한 것은 SO-PIN 및 사용자 PIN 코드를 설정해야 합니다. 이러한 거래는 보안/암호화된 채널을 통해서만 수행되어야 합니다. pk11conf 유틸리티는 토큰을 초기화하는 데 사용됩니다. 채널을 암호화하려면 암호화 알고리즘을 사용하는 것이 좋습니다. 마그마-CTR (GOST R 34.13-2015).

클라이언트와 서버 간의 트래픽을 보호/암호화하는 기반으로 합의된 키를 개발하려면 권장되는 TK 26 프로토콜을 사용하는 것이 좋습니다. 세스페이크 - 비밀번호 인증이 포함된 공유 키 생성 프로토콜.

공유 키가 생성되는 기반이 되는 비밀번호로 사용하는 것이 좋습니다. 일회용 비밀번호 메커니즘. 러시아 암호화에 대해 이야기하고 있으므로 메커니즘을 사용하여 일회용 비밀번호를 생성하는 것은 당연합니다. CKM_GOSTR3411_12_256_HMAC, CKM_GOSTR3411_12_512_HMAC 또는 CKM_GOSTR3411_HMAC.

이 메커니즘을 사용하면 유틸리티를 사용하여 이를 설치한 사용자만 SO 및 USER PIN 코드를 통해 클라우드의 개인 토큰 개체에 액세스할 수 있습니다. pk11conf.

이제 이 단계를 완료하면 클라우드 토큰을 사용할 수 있습니다. 클라우드 토큰에 액세스하려면 PC에 LS11CLOUD 라이브러리를 설치하기만 하면 됩니다. Android 및 iOS 플랫폼의 애플리케이션에서 클라우드 토큰을 사용할 때 해당 SDK가 제공됩니다. Redfox 브라우저에서 클라우드 토큰을 연결할 때 지정되거나 pkcs11.txt 파일에 작성되는 것이 바로 이 라이브러리입니다. LS11CLOUD 라이브러리는 또한 PKCS#11 C_Initialize! 호출 시 생성된 SESPAKE 기반의 보안 채널을 통해 클라우드의 토큰과 상호 작용합니다.

그게 전부입니다. 이제 인증서를 주문하고 클라우드 토큰에 설치한 후 정부 서비스 웹사이트로 이동할 수 있습니다.

출처 : habr.com