시스템에서 사용자 등록 및 권한 부여를 위한 Rutoken 기술 사용 경험(1부)

좋은 오후에요 나는 이 주제에 대한 내 경험을 공유하고 싶습니다.

Rutoken은 인증, 정보 보안 및 전자 서명 분야의 하드웨어 및 소프트웨어 솔루션입니다. 기본적으로 이는 사용자가 시스템에 로그인하는 데 사용하는 인증 데이터를 저장할 수 있는 플래시 드라이브입니다.

이 예에서는 Rutoken EDS 2.0이 사용되었습니다.

이 Rutoken을 사용하려면 다음이 필요합니다. 윈도우에 드라이버 설치.

Windows의 경우 하나의 드라이버만 설치하면 OS가 Rutoken을 확인하고 사용할 수 있도록 필요한 모든 것이 설치됩니다.

다양한 방법으로 Rutoken과 상호 작용할 수 있습니다. 애플리케이션의 서버 측에서 액세스하거나 클라이언트 측에서 직접 액세스할 수 있습니다. 이 예에서는 애플리케이션의 클라이언트 측에서 Rutoken과의 상호 작용을 살펴봅니다.

애플리케이션의 클라이언트 부분은 rutoken 플러그인을 통해 rutoken과 상호 작용합니다. 각 브라우저에 별도로 설치되는 프로그램입니다. Windows의 경우 플러그인을 다운로드하여 설치하기만 하면 됩니다. 이 링크에 위치.

이제 애플리케이션의 클라이언트 측에서 Rutoken과 상호 작용할 수 있습니다.

이 예에서는 시도-응답 체계를 사용하여 시스템에서 사용자 인증 알고리즘을 구현하는 아이디어를 논의합니다.

아이디어의 본질은 다음과 같습니다.

1. 클라이언트는 서버에 인증 요청을 보냅니다.
2. 서버는 임의의 문자열을 보내 클라이언트의 요청에 응답합니다.
3. 클라이언트는 이 문자열을 임의의 32비트로 채웁니다.
4. 클라이언트는 수신된 문자열을 인증서로 서명합니다.
5. 클라이언트는 수신된 암호화된 메시지를 서버로 보냅니다.
6. 서버는 암호화되지 않은 원본 메시지를 수신하여 서명을 확인합니다.
7. 서버는 수신된 암호화되지 않은 메시지에서 마지막 32비트를 제거합니다.
8. 서버는 수신된 결과를 인증 요청 시 전송된 메시지와 비교합니다.
9. 메시지가 동일하면 인증이 성공한 것으로 간주됩니다.

위의 알고리즘에는 인증서라는 것이 있습니다. 이 예에서는 몇 가지 암호화 이론을 이해해야 합니다. Habré에는 이 주제에 대한 훌륭한 기사.

이 예에서는 비대칭 암호화 알고리즘을 사용합니다. 비대칭 알고리즘을 구현하려면 키 쌍과 인증서가 있어야 합니다.

키 쌍은 개인 키와 공개 키라는 두 부분으로 구성됩니다. 개인 키는 이름에서 알 수 있듯이 비밀이어야 합니다. 우리는 이를 사용하여 정보를 해독합니다. 공개키는 누구에게나 배포될 수 있습니다. 이 키는 데이터를 암호화하는 데 사용됩니다. 따라서 모든 사용자는 공개 키를 사용하여 데이터를 암호화할 수 있지만, 개인 키의 소유자만이 이 정보를 해독할 수 있습니다.

인증서는 인증서를 소유한 사용자에 대한 정보와 공개 키가 포함된 전자 문서입니다. 인증서를 사용하면 사용자는 모든 데이터에 서명하고 이를 서버로 보낼 수 있으며 서버는 서명을 확인하고 데이터를 해독할 수 있습니다.

인증서로 메시지에 올바르게 서명하려면 인증서를 올바르게 생성해야 합니다. 이를 위해서는 먼저 Rutoken에서 키 쌍을 생성한 다음 인증서를 이 키 쌍의 공개 키에 연결해야 합니다. 인증서에는 Rutoken에 있는 공개 키가 정확하게 있어야 하며 이것이 중요합니다. 애플리케이션의 클라이언트 측에서 즉시 키 쌍과 인증서를 생성한다면 서버는 어떻게 이 암호화된 메시지를 해독할 수 있을까요? 결국 그는 키 쌍이나 인증서에 대해 전혀 알지 못합니다.

이 주제에 대해 더 자세히 알아보면 인터넷에서 흥미로운 정보를 찾을 수 있습니다. 우리가 확실히 신뢰하는 특정 인증 기관이 있습니다. 이러한 인증 기관은 사용자에게 인증서를 발급할 수 있으며 해당 인증서를 서버에 설치합니다. 그 후 클라이언트가 이 서버에 접속하면 바로 이 인증서를 보고 인증 기관에서 발급한 것임을 알 수 있으므로 이 서버를 신뢰할 수 있습니다. 모든 것을 올바르게 설정하는 방법에 대한 정보도 인터넷에 많이 있습니다. 예를 들어, 다음과 같이 시작할 수 있습니다..

문제로 돌아가면 해결책은 분명해 보입니다. 어떻게든 자신만의 인증 센터를 만들어야 합니다. 하지만 그 전에 인증 센터가 사용자에게 인증서를 발급해야 하는 기준이 무엇인지 파악해야 합니다. 왜냐하면 사용자는 인증서에 대해 아무것도 모르기 때문입니다. (예를 들어 이름, 성 등) 인증서 요청이라는 것이 있습니다. 이 표준에 대한 자세한 내용은 예를 들어 Wikipedia에서 확인할 수 있습니다. ru.wikipedia.org/wiki/PKCS
버전 1.7 - PKCS#10을 사용하겠습니다.

Rutoken에서 인증서를 생성하는 알고리즘을 설명하겠습니다(원본 출처: 문서):

1. 클라이언트에서 키 쌍을 생성하고 이를 Rutoken에 저장합니다. (자동으로 저장됩니다)
2. 클라이언트에서 인증서 요청을 생성합니다.
3. 클라이언트에서 우리는 이 요청을 서버로 보냅니다.
4. 서버에서 인증서 요청을 받으면 인증 기관에서 인증서를 발급합니다.
5. 우리는 이 인증서를 클라이언트에게 보냅니다.
6. Rutoken 인증서를 클라이언트에 저장합니다.
7. 인증서는 첫 번째 단계에서 생성된 키 쌍에 바인딩되어야 합니다.

이제 서버 자체가 클라이언트에게 인증서를 발급했기 때문에 서버가 어떻게 클라이언트의 서명을 해독할 수 있는지가 분명해졌습니다.

다음 부분에서는 본격적인 오픈 소스 암호화 라이브러리인 openSSL을 기반으로 인증 기관을 설정하는 방법을 자세히 살펴보겠습니다.

출처 : habr.com