ໂຄງສ້າງພື້ນຖານຫຼັກສາທາລະນະ. ການອອກໃບຢັ້ງຢືນໃນລະຫວ່າງການໂດດດ່ຽວຕົນເອງ

ມັນໄດ້ເລີ່ມຕົ້ນແນວໃດ

ໃນຕອນເລີ່ມຕົ້ນຂອງໄລຍະການໂດດດ່ຽວຕົນເອງ, ຂ້ອຍໄດ້ຮັບຈົດໝາຍໃນຈົດໝາຍວ່າ:

ປະຕິກິລິຍາທໍາອິດແມ່ນທໍາມະຊາດ: ເຈົ້າຕ້ອງໄປຫາໂທເຄັນ, ຫຼືພວກເຂົາຕ້ອງຖືກນໍາມາ, ແຕ່ຕັ້ງແຕ່ວັນຈັນທີ່ພວກເຮົາທຸກຄົນໄດ້ນັ່ງຢູ່ເຮືອນ, ມີຂໍ້ຈໍາກັດໃນການເຄື່ອນໄຫວ, ແລະແມ່ນໃຜ? ເພາະສະນັ້ນ, ຄໍາຕອບແມ່ນຂ້ອນຂ້າງທໍາມະຊາດ:

ແລະດັ່ງທີ່ພວກເຮົາທຸກຄົນຮູ້, ຈາກວັນຈັນທີ 1 ເດືອນເມສາ, ໄລຍະເວລາຂອງການໂດດດ່ຽວຕົນເອງຢ່າງເຂັ້ມງວດໄດ້ເລີ່ມຕົ້ນ. ພວກເຮົາທຸກຄົນໄດ້ປ່ຽນໄປເຮັດວຽກທາງໄກ ແລະພວກເຮົາຍັງຕ້ອງການ VPN. VPN ຂອງພວກເຮົາແມ່ນອີງໃສ່ OpenVPN, ແຕ່ຖືກແກ້ໄຂເພື່ອຮອງຮັບການເຂົ້າລະຫັດພາສາລັດເຊຍ ແລະຄວາມສາມາດໃນການເຮັດວຽກກັບ PKCS#11 tokens ແລະ PKCS#12 containers. ຕາມທໍາມະຊາດ, ມັນໄດ້ຫັນອອກວ່າພວກເຮົາເອງບໍ່ພ້ອມທີ່ຈະເຮັດວຽກຜ່ານ VPN: ຫຼາຍຄົນບໍ່ມີໃບຢັ້ງຢືນ, ແລະບາງຄົນໄດ້ຫມົດອາຍຸ.

ຂະບວນການໄປແນວໃດ?

ແລະນີ້ແມ່ນບ່ອນທີ່ຜົນປະໂຫຍດມາກູ້ໄພ cryptoarmpkcs ແລະຄໍາຮ້ອງສະຫມັກ CAFL63 (ສູນຢັ້ງຢືນ).

ຜົນປະໂຫຍດຂອງ cryptoarmpkcs ໄດ້ອະນຸຍາດໃຫ້ພະນັກງານທີ່ຢູ່ໃນຕົວໂດດດ່ຽວແລະມີ tokens ໃນຄອມພິວເຕີຢູ່ເຮືອນຂອງພວກເຂົາເພື່ອສ້າງຄໍາຮ້ອງຂໍໃບຢັ້ງຢືນ:

ພະນັກງານໄດ້ສົ່ງຄໍາຮ້ອງຂໍທີ່ບັນທຶກໄວ້ຜ່ານທາງອີເມວຫາຂ້ອຍ. ບາງຄົນອາດຈະຖາມວ່າ: - ແມ່ນຫຍັງກ່ຽວກັບຂໍ້ມູນສ່ວນຕົວ, ແຕ່ຖ້າທ່ານເບິ່ງຢ່າງໃກ້ຊິດ, ມັນບໍ່ແມ່ນຢູ່ໃນຄໍາຮ້ອງຂໍ. ແລະການຮ້ອງຂໍຕົວຂອງມັນເອງຖືກປົກປ້ອງໂດຍລາຍເຊັນຂອງມັນ.

ເມື່ອໄດ້ຮັບ, ຄໍາຮ້ອງຂໍໃບຢັ້ງຢືນຖືກນໍາເຂົ້າເຂົ້າໄປໃນຖານຂໍ້ມູນ CAFL63 CA:

ຫຼັງຈາກນັ້ນ, ການຮ້ອງຂໍຕ້ອງຖືກປະຕິເສດຫຼືອະນຸມັດ. ເພື່ອພິຈາລະນາຄໍາຮ້ອງຂໍ, ທ່ານຈໍາເປັນຕ້ອງເລືອກມັນ, ຄລິກຂວາແລະເລືອກ "ເຮັດການຕັດສິນໃຈ" ຈາກເມນູເລື່ອນລົງ:

ຂັ້ນຕອນການຕັດສິນໃຈຕົວມັນເອງມີຄວາມໂປ່ງໃສຢ່າງແທ້ຈິງ:

ໃບ​ຢັ້ງ​ຢືນ​ການ​ອອກ​ໃນ​ວິ​ທີ​ການ​ດຽວ​ກັນ​, ພຽງ​ແຕ່​ລາຍ​ການ​ເມ​ນູ​ທີ່​ມີ​ຊື່​ວ່າ "ໃບ​ຢັ້ງ​ຢືນ​ການ​"​:

ເພື່ອ​ເບິ່ງ​ໃບ​ຢັ້ງ​ຢືນ​ການ​ອອກ​ໃຫ້​, ທ່ານ​ສາ​ມາດ​ນໍາ​ໃຊ້​ເມ​ນູ​ສະ​ພາບ​ການ​ຫຼື​ພຽງ​ແຕ່​ຄລິກ​ສອງ​ຄັ້ງ​ໃສ່​ເສັ້ນ​ທີ່​ສອດ​ຄ້ອງ​ກັນ​:

ຕອນນີ້ເນື້ອຫາສາມາດເບິ່ງໄດ້ທັງຜ່ານ openssl (ແຖບຂໍ້ຄວາມ OpenSSL) ແລະຕົວເບິ່ງໃນຕົວຂອງແອັບພລິເຄຊັນ CAFL63 (ແຖບຂໍ້ຄວາມໃບຢັ້ງຢືນ). ໃນກໍລະນີສຸດທ້າຍ, ທ່ານສາມາດນໍາໃຊ້ເມນູສະພາບການເພື່ອຄັດລອກໃບຢັ້ງຢືນໃນຮູບແບບຂໍ້ຄວາມ, ທໍາອິດໃສ່ clipboard, ແລະຫຼັງຈາກນັ້ນໄປຫາໄຟລ໌.

ໃນທີ່ນີ້ມັນຄວນຈະສັງເກດເຫັນສິ່ງທີ່ມີການປ່ຽນແປງໃນ CAFL63 ເມື່ອທຽບກັບຮຸ່ນທໍາອິດ? ສໍາລັບການເບິ່ງໃບຢັ້ງຢືນ, ພວກເຮົາໄດ້ສັງເກດເຫັນແລ້ວ. ມັນຍັງເປັນໄປໄດ້ທີ່ຈະເລືອກເອົາກຸ່ມຂອງວັດຖຸ (ໃບຢັ້ງຢືນ, ການຮ້ອງຂໍ, CRLs) ແລະເບິ່ງພວກມັນຢູ່ໃນໂຫມດຫນ້າເວັບ (ປຸ່ມ "ເບິ່ງເລືອກ ... ").

ອາດຈະເປັນສິ່ງທີ່ສໍາຄັນທີ່ສຸດແມ່ນວ່າໂຄງການແມ່ນມີຢູ່ໃນ freely github. ນອກເຫນືອໄປຈາກການແຈກຢາຍສໍາລັບ Linux, ການແຈກຢາຍສໍາລັບ Windows ແລະ OS X ໄດ້ຖືກກະກຽມ.

ເມື່ອປຽບທຽບກັບສະບັບທີ່ຜ່ານມາຂອງຄໍາຮ້ອງສະຫມັກ CAFL63, ບໍ່ພຽງແຕ່ການໂຕ້ຕອບຕົວມັນເອງມີການປ່ຽນແປງ, ແຕ່ຍັງ, ດັ່ງທີ່ໄດ້ບັນທຶກໄວ້ແລ້ວ, ຄຸນນະສົມບັດໃຫມ່ໄດ້ຖືກເພີ່ມ. ຕົວຢ່າງ, ຫນ້າທີ່ມີຄໍາອະທິບາຍຄໍາຮ້ອງສະຫມັກໄດ້ຖືກອອກແບບໃຫມ່ແລະການເຊື່ອມຕໍ່ໂດຍກົງກັບການແຈກຢາຍການດາວໂຫຼດໄດ້ຖືກເພີ່ມ:

ຫຼາຍຄົນໄດ້ຖາມແລະຍັງຖາມວ່າບ່ອນໃດທີ່ຈະໄດ້ຮັບ GOST openssl. ຕາມປະເພນີຂ້າພະເຈົ້າໃຫ້ ເຊື່ອມຕໍ່, ສະຫນອງໃຫ້ດ້ວຍຄວາມກະລຸນາ garex. ວິທີການນໍາໃຊ້ openssl ນີ້ແມ່ນຂຽນ ທີ່ນີ້.
ແຕ່ດຽວນີ້ຊຸດການແຈກຢາຍລວມມີລຸ້ນທົດສອບຂອງ openssl ດ້ວຍການເຂົ້າລະຫັດພາສາລັດເຊຍ.

ດັ່ງນັ້ນ, ເມື່ອຕັ້ງຄ່າ CA, ທ່ານສາມາດລະບຸໄດ້ທັງ /tmp/lirssl_static ສໍາລັບ Linux ຫຼື $::env(TEMP)/lirssl_static.exe ສໍາລັບ Windows ເປັນ openssl ທີ່ໃຊ້:

ໃນກໍລະນີນີ້, ທ່ານຈະຕ້ອງສ້າງໄຟລ໌ lirssl.cnf ຫວ່າງເປົ່າ ແລະລະບຸເສັ້ນທາງໄປຫາໄຟລ໌ນີ້ໃນຕົວແປສະພາບແວດລ້ອມ LIRSSL_CONF:

ແຖບ "ສ່ວນຂະຫຍາຍ" ໃນການຕັ້ງຄ່າໃບຮັບຮອງໄດ້ຮັບການເສີມດ້ວຍຊ່ອງຂໍ້ມູນ "ການເຂົ້າເຖິງຂໍ້ມູນສິດອໍານາດ", ບ່ອນທີ່ທ່ານສາມາດກໍານົດຈຸດເຂົ້າເຖິງກັບໃບຢັ້ງຢືນຮາກຂອງ CA ແລະກັບເຄື່ອງແມ່ຂ່າຍ OCSP:

ພວກເຮົາມັກຈະໄດ້ຍິນວ່າ CAs ບໍ່ຍອມຮັບຄໍາຮ້ອງຂໍທີ່ສ້າງຂຶ້ນໂດຍພວກເຂົາ (PKCS#10) ຈາກຜູ້ສະຫມັກຫຼື, ຮ້າຍແຮງກວ່າເກົ່າ, ບັງຄັບການສ້າງຄໍາຮ້ອງຂໍທີ່ມີການສ້າງຄູ່ທີ່ສໍາຄັນໃນຜູ້ໃຫ້ບໍລິການຜ່ານ CSP ບາງ. ແລະພວກເຂົາປະຕິເສດທີ່ຈະສ້າງການຮ້ອງຂໍກ່ຽວກັບ tokens ທີ່ມີລະຫັດທີ່ບໍ່ສາມາດດຶງຄືນໄດ້ (ຢູ່ໃນ RuToken EDS-2.0 ດຽວກັນ) ຜ່ານ PKCS#11 interface. ດັ່ງນັ້ນ, ມັນໄດ້ຖືກຕັດສິນໃຈທີ່ຈະເພີ່ມການສ້າງຄໍາຮ້ອງຂໍໃຫ້ກັບການເຮັດວຽກຂອງແອັບພລິເຄຊັນ CAFL63 ໂດຍໃຊ້ກົນໄກການເຂົ້າລະຫັດລັບຂອງ PKCS#11 tokens. ເພື່ອເປີດໃຊ້ກົນໄກຂອງ token, ຊຸດໄດ້ຖືກໃຊ້ TclPKCS11. ເມື່ອສ້າງຄໍາຮ້ອງຂໍໄປຫາ CA (ຫນ້າ "ຄໍາຮ້ອງຂໍໃບຢັ້ງຢືນ", ຫນ້າທີ່ "ສ້າງຄໍາຮ້ອງຂໍ / CSR") ຕອນນີ້ທ່ານສາມາດເລືອກວິທີການສ້າງຄູ່ທີ່ສໍາຄັນ (ໂດຍໃຊ້ openssl ຫຼືໃນ token) ແລະຄໍາຮ້ອງຂໍຕົວມັນເອງຈະຖືກເຊັນ:

ຫ້ອງສະຫມຸດທີ່ຈໍາເປັນເພື່ອເຮັດວຽກກັບ token ໄດ້ຖືກລະບຸໄວ້ໃນການຕັ້ງຄ່າສໍາລັບໃບຢັ້ງຢືນ:

ແຕ່ພວກເຮົາໄດ້ devied ຈາກວຽກງານຕົ້ນຕໍຂອງການສະຫນອງພະນັກງານທີ່ມີໃບຢັ້ງຢືນການເຮັດວຽກໃນເຄືອຂ່າຍ VPN ຂອງບໍລິສັດໃນຮູບແບບການໂດດດ່ຽວຕົນເອງ. ມັນໄດ້ຫັນອອກວ່າພະນັກງານບາງຄົນບໍ່ມີ tokens. ມັນໄດ້ຖືກຕັດສິນໃຈໃຫ້ພວກເຂົາມີພາຊະນະປ້ອງກັນ PKCS#12, ນັບຕັ້ງແຕ່ຄໍາຮ້ອງສະຫມັກ CAFL63 ອະນຸຍາດໃຫ້ມັນ. ທໍາອິດ, ສໍາລັບພະນັກງານດັ່ງກ່າວພວກເຮົາເຮັດຄໍາຮ້ອງຂໍ PKCS #10 ທີ່ຊີ້ບອກປະເພດ CIPF "OpenSSL", ຫຼັງຈາກນັ້ນພວກເຮົາອອກໃບຢັ້ງຢືນແລະຫຸ້ມຫໍ່ມັນຢູ່ໃນ PKCS12. ເພື່ອເຮັດສິ່ງນີ້, ໃນຫນ້າ "ໃບຢັ້ງຢືນ", ເລືອກໃບຢັ້ງຢືນທີ່ຕ້ອງການ, ຄລິກຂວາແລະເລືອກ "ສົ່ງອອກໄປຍັງ PKCS#12":

ເພື່ອໃຫ້ແນ່ໃຈວ່າທຸກຢ່າງເປັນລະບຽບຮຽບຮ້ອຍ, ໃຫ້ໃຊ້ປະໂຫຍດຂອງ cryptoarmpkcs:

ດຽວນີ້ທ່ານສາມາດສົ່ງໃບຢັ້ງຢືນທີ່ອອກໃຫ້ພະນັກງານ. ບາງຄົນພຽງແຕ່ຖືກສົ່ງໄຟລ໌ທີ່ມີໃບຢັ້ງຢືນ (ເຫຼົ່ານີ້ແມ່ນເຈົ້າຂອງ token, ຜູ້ທີ່ສົ່ງຄໍາຮ້ອງຂໍ), ຫຼື PKCS#12 containers. ໃນກໍລະນີທີສອງ, ພະນັກງານແຕ່ລະຄົນແມ່ນໃຫ້ລະຫັດຜ່ານກັບຖັງຜ່ານໂທລະສັບ. ພະນັກງານເຫຼົ່ານີ້ພຽງແຕ່ຕ້ອງການແກ້ໄຂໄຟລ໌ການຕັ້ງຄ່າ VPN ໂດຍການລະບຸເສັ້ນທາງໄປຫາພາຊະນະຢ່າງຖືກຕ້ອງ.

ສໍາລັບເຈົ້າຂອງ token, ພວກເຂົາຍັງຕ້ອງການນໍາເຂົ້າໃບຢັ້ງຢືນສໍາລັບ token ຂອງເຂົາເຈົ້າ. ເພື່ອເຮັດສິ່ງນີ້, ພວກເຂົາເຈົ້າໄດ້ນໍາໃຊ້ຜົນປະໂຫຍດ cryptoarmpkcs ດຽວກັນ:

ໃນປັດຈຸບັນມີການປ່ຽນແປງຫນ້ອຍທີ່ສຸດຕໍ່ກັບການຕັ້ງຄ່າ VPN (ປ້າຍໃບຢັ້ງຢືນໃນ token ອາດຈະມີການປ່ຽນແປງ) ແລະນັ້ນແມ່ນ, ເຄືອຂ່າຍ VPN ຂອງບໍລິສັດແມ່ນຢູ່ໃນຄໍາສັ່ງ.

ການສິ້ນສຸດທີ່ມີຄວາມສຸກ

ແລະ​ແລ້ວ​ມັນ​ກໍ​ຮຸ່ງ​ຂຶ້ນ​ເທິງ​ຂ້າ​ພະ​ເຈົ້າ, ເປັນ​ຫຍັງ​ຜູ້​ຄົນ​ຈະ​ເອົາ​ໂທ​ເຄັນ​ມາ​ໃຫ້​ຂ້າ​ພະ​ເຈົ້າ ຫຼື​ຄວນ​ສົ່ງ​ຂ່າວ​ໃຫ້​ເຂົາ​ເຈົ້າ. ແລະຂ້າພະເຈົ້າສົ່ງຈົດຫມາຍທີ່ມີເນື້ອໃນດັ່ງຕໍ່ໄປນີ້:

ຄໍາຕອບມາໃນມື້ຕໍ່ມາ:

ຂ້າພະເຈົ້າທັນທີສົ່ງການເຊື່ອມຕໍ່ໄປຫາຜົນປະໂຫຍດ cryptoarmpkcs:

ກ່ອນທີ່ຈະສ້າງການຮ້ອງຂໍໃບຢັ້ງຢືນ, ຂ້າພະເຈົ້າແນະນໍາໃຫ້ພວກເຂົາລ້າງ tokens:

ຫຼັງຈາກນັ້ນ, ການຮ້ອງຂໍສໍາລັບໃບຢັ້ງຢືນໃນຮູບແບບ PKCS#10 ຖືກສົ່ງໄປທາງອີເມວແລະຂ້ອຍໄດ້ອອກໃບຢັ້ງຢືນ, ເຊິ່ງຂ້ອຍຖືກສົ່ງໄປຫາ:

ແລະ​ຈາກ​ນັ້ນ​ໄດ້​ມາ​ເປັນ​ປັດ​ຈຸ​ບັນ​ທີ່​ດີ​:

ແລະຍັງມີຈົດໝາຍສະບັບນີ້:

ແລະ​ຫຼັງ​ຈາກ​ນັ້ນ​ບົດ​ຄວາມ​ນີ້​ໄດ້​ເກີດ​ຂຶ້ນ​.

ການແຜ່ກະຈາຍຂອງແອັບພລິເຄຊັນ CAFL63 ສໍາລັບແພລະຕະຟອມ Linux ແລະ MS Windows ສາມາດພົບໄດ້

ທີ່ນີ້

• Linux32
• Linux64
• ຊະນະ 32
• ຊະນະ 64
• OS X

ການແຜ່ກະຈາຍຂອງຜົນປະໂຫຍດ cryptoarmpkcs, ລວມທັງເວທີ Android, ແມ່ນຕັ້ງຢູ່

ທີ່ນີ້

• Linux32
• Linux64
• ຊະນະ 32
• ຊະນະ 64
• OS X
• Android

ແຫຼ່ງຂໍ້ມູນ: www.habr.com