ປະສົບການໃນການນໍາໃຊ້ເຕັກໂນໂລຊີ Rutoken ສໍາລັບການລົງທະບຽນແລະອະນຸຍາດໃຫ້ຜູ້ໃຊ້ໃນລະບົບ (ສ່ວນ 2)

ສະ​ບາຍ​ດີ​ຕອນ​ສວາຍ ໃຫ້ສືບຕໍ່ກັບຫົວຂໍ້ນີ້ສ່ວນທີ່ຜ່ານມາສາມາດພົບໄດ້ຢູ່ໃນການເຊື່ອມຕໍ່).

ມື້ນີ້ພວກເຮົາກ້າວໄປສູ່ພາກປະຕິບັດ. ເລີ່ມຕົ້ນໂດຍການຕັ້ງຄ່າ CA ຂອງພວກເຮົາໂດຍອີງໃສ່ຫ້ອງສະຫມຸດ cryptographic ແຫຼ່ງເປີດເຕັມຮູບແບບ openSSL. ສູດການຄິດໄລ່ນີ້ໄດ້ຖືກທົດສອບໂດຍໃຊ້ windows 7.

ດ້ວຍການຕິດຕັ້ງ openSSL, ພວກເຮົາສາມາດປະຕິບັດການເຂົ້າລະຫັດລັບຕ່າງໆ (ເຊັ່ນ: ການສ້າງລະຫັດແລະໃບຢັ້ງຢືນ) ຜ່ານເສັ້ນຄໍາສັ່ງ.

ສູດການຄິດໄລ່ຂອງການກະ ທຳ ແມ່ນມີດັ່ງນີ້:

1. ດາວໂຫລດການແຈກຢາຍການຕິດຕັ້ງ openssl-1.1.1g.
   openSSL ມີລຸ້ນທີ່ແຕກຕ່າງກັນ. ເອກະສານສໍາລັບ Rutoken ກ່າວວ່າ openSSL ຮຸ່ນ 1.1.0 ຫຼືໃຫມ່ກວ່າແມ່ນຕ້ອງການ. ຂ້ອຍໃຊ້ລຸ້ນ openssl-1.1.1g. ທ່ານສາມາດດາວໂຫລດ openSSL ຈາກເວັບໄຊທ໌ທາງການ, ແຕ່ສໍາລັບການຕິດຕັ້ງທີ່ງ່າຍຂຶ້ນ, ທ່ານຈໍາເປັນຕ້ອງຊອກຫາໄຟລ໌ການຕິດຕັ້ງສໍາລັບ windows ໃນສຸດທິ. ຂ້ອຍໄດ້ເຮັດອັນນີ້ສຳລັບເຈົ້າ: slproweb.com/products/Win32OpenSSL.html
   ເລື່ອນລົງຫນ້າແລະດາວໂຫລດ Win64 OpenSSL v1.1.1g EXE 63MB Installer.
2. ຕິດຕັ້ງ openssl-1.1.1g ໃນຄອມພິວເຕີ.
   ການຕິດຕັ້ງຕ້ອງໄດ້ດໍາເນີນໄປຕາມເສັ້ນທາງມາດຕະຖານ, ເຊິ່ງຖືກສະແດງໂດຍອັດຕະໂນມັດໃນໂຟນເດີ C: Program Files. ໂຄງການຈະຖືກຕິດຕັ້ງຢູ່ໃນໂຟນເດີ OpenSSL-Win64.
3. ເພື່ອຕັ້ງຄ່າ openSSL ໃນແບບທີ່ທ່ານຕ້ອງການ, ມີໄຟລ໌ openssl.cfg. ໄຟລ໌ນີ້ແມ່ນຢູ່ໃນເສັ້ນທາງ C:\Program Files\OpenSSL-Win64bin ຖ້າທ່ານຕິດຕັ້ງ openSSL ຕາມທີ່ອະທິບາຍໄວ້ໃນວັກທີ່ຜ່ານມາ. ໄປທີ່ໂຟນເດີທີ່ openssl.cfg ຖືກເກັບໄວ້ ແລະເປີດໄຟລ໌ນີ້ໂດຍໃຊ້ຕົວຢ່າງ, Notepad++.
4. ທ່ານອາດຈະຄາດເດົາວ່າເຈົ້າຫນ້າທີ່ການຢັ້ງຢືນຈະຖືກຕັ້ງຄ່າບາງຢ່າງໂດຍການປ່ຽນແປງເນື້ອຫາຂອງໄຟລ໌ openssl.cfg, ແລະທ່ານຖືກຕ້ອງແທ້ໆ. ອັນນີ້ຮຽກຮ້ອງໃຫ້ມີການປັບແຕ່ງຄຳສັ່ງ [ ca ]. ໃນໄຟລ໌ openssl.cfg, ຈຸດເລີ່ມຕົ້ນຂອງຂໍ້ຄວາມທີ່ພວກເຮົາຈະເຮັດການປ່ຽນແປງສາມາດພົບໄດ້ເປັນ: [ ca ].
5. ຕອນນີ້ຂ້ອຍຈະໃຫ້ຕົວຢ່າງຂອງການຕັ້ງຄ່າທີ່ມີຄໍາອະທິບາຍຂອງມັນ:

   [ ca ]
   default_ca	= CA_default		
   
    [ CA_default ]
   dir		= /Users/username/bin/openSSLca/demoCA		 
   certs		= $dir/certs		
   crl_dir		= $dir/crl		
   database	= $dir/index.txt	
   new_certs_dir	= $dir/newcerts	
   certificate	= $dir/ca.crt 	
   serial		= $dir/private/serial 		
   crlnumber	= $dir/crlnumber	
   					
   crl		= $dir/crl.pem 		
   private_key	= $dir/private/ca.key
   x509_extensions	= usr_cert
   

   ໃນປັດຈຸບັນພວກເຮົາຈໍາເປັນຕ້ອງສ້າງໄດເລກະທໍລີ demoCA ແລະໄດເລກະທໍລີຍ່ອຍດັ່ງທີ່ສະແດງຢູ່ໃນຕົວຢ່າງຂ້າງເທິງ. ແລະວາງມັນໄວ້ໃນໄດເລກະທໍລີນີ້ຕາມເສັ້ນທາງທີ່ລະບຸໄວ້ໃນ dir (ຂ້ອຍມີ /Users/username/bin/openSSLca/demoCA).

   ມັນເປັນສິ່ງສໍາຄັນຫຼາຍທີ່ຈະສະກົດ dir ຢ່າງຖືກຕ້ອງ - ນີ້ແມ່ນເສັ້ນທາງໄປຫາໄດເລກະທໍລີທີ່ສູນການຢັ້ງຢືນຂອງພວກເຮົາຈະຕັ້ງຢູ່. ໄດເລກະທໍລີນີ້ຕ້ອງຢູ່ໃນ / ຜູ້ໃຊ້ (ນັ້ນແມ່ນ, ໃນບັນຊີຂອງຜູ້ໃຊ້ບາງຄົນ). ຖ້າທ່ານວາງໄດເລກະທໍລີນີ້, ສໍາລັບການຍົກຕົວຢ່າງ, ໃນ C: Program Files, ລະບົບຈະບໍ່ເຫັນໄຟລ໌ທີ່ມີການຕັ້ງຄ່າ openssl.cfg (ຢ່າງຫນ້ອຍມັນເປັນແບບນັ້ນສໍາລັບຂ້ອຍ).

   $dir - ເສັ້ນທາງທີ່ລະບຸໄວ້ໃນ dir ຖືກປ່ຽນແທນທີ່ນີ້.

   ຈຸດສໍາຄັນອີກອັນຫນຶ່ງແມ່ນການສ້າງໄຟລ໌ index.txt ຫວ່າງເປົ່າ, ໂດຍບໍ່ມີໄຟລ໌ນີ້ຄໍາສັ່ງ "openSSL ca ..." ຈະບໍ່ເຮັດວຽກ.

   ນອກນັ້ນທ່ານຍັງຈໍາເປັນຕ້ອງມີໄຟລ໌ serial, ລະຫັດສ່ວນຕົວຂອງຮາກ (ca.key), ໃບຢັ້ງຢືນຮາກ (ca.crt). ຂັ້ນຕອນການໄດ້ຮັບໄຟລ໌ເຫຼົ່ານີ້ຈະຖືກອະທິບາຍຂ້າງລຸ່ມນີ້.

6. ພວກເຮົາເຊື່ອມຕໍ່ລະບົບການເຂົ້າລະຫັດທີ່ສະໜອງໃຫ້ໂດຍ Rutoken.
   ການເຊື່ອມຕໍ່ນີ້ເກີດຂຶ້ນໃນໄຟລ໌ openssl.cfg.
   • ກ່ອນອື່ນ ໝົດ, ທ່ານຈໍາເປັນຕ້ອງໄດ້ດາວໂຫລດ algorithms Rutoken ທີ່ຈໍາເປັນ. ເຫຼົ່ານີ້ແມ່ນໄຟລ໌ rtengine.dll, rtpkcs11ecp.dll.
     ເພື່ອເຮັດສິ່ງນີ້, ດາວໂຫລດ Rutoken SDK: www.rutoken.ru/developers/sdk.

     Rutoken SDK ແມ່ນທັງຫມົດທີ່ມີສໍາລັບນັກພັດທະນາທີ່ຕ້ອງການທົດລອງໃຊ້ Rutoken. ມີທັງສອງຕົວຢ່າງແຍກຕ່າງຫາກສໍາລັບການເຮັດວຽກກັບ Rutoken ໃນພາສາການຂຽນໂປຼແກຼມທີ່ແຕກຕ່າງກັນ, ແລະບາງຫ້ອງສະຫມຸດໄດ້ຖືກນໍາສະເຫນີ. ຫ້ອງສະຫມຸດຂອງພວກເຮົາ rtengine.dll ແລະ rtpkcs11ecp.dll ແມ່ນຢູ່ໃນ Rutoken sdk, ຕາມລໍາດັບ, ຢູ່ໃນສະຖານທີ່:

     sdk/openssl/rtengine/bin/windows-x86_64/lib/rtengine.dll
     sdk/pkcs11/lib/windows-x86_64/rtpkcs11ecp.dll

     ຈຸດສໍາຄັນຫຼາຍ. ຫ້ອງສະຫມຸດ rtengine.dll, rtpkcs11ecp.dll ບໍ່ເຮັດວຽກໂດຍບໍ່ມີການຕິດຕັ້ງໄດເວີສໍາລັບ Rutoken. ນອກຈາກນີ້ Rutoken ຕ້ອງໄດ້ຮັບການເຊື່ອມຕໍ່ກັບຄອມພິວເຕີ. (ສໍາລັບການຕິດຕັ້ງທຸກສິ່ງທີ່ທ່ານຕ້ອງການສໍາລັບ Rutoken, ເບິ່ງສ່ວນທີ່ຜ່ານມາຂອງບົດຄວາມ habr.com/ru/post/506450)

   • ຫ້ອງສະໝຸດ rtengine.dll ແລະ rtpkcs11ecp.dll ສາມາດຖືກເກັບຮັກສາໄວ້ທຸກບ່ອນໃນບັນຊີຜູ້ໃຊ້.
   • ພວກເຮົາຂຽນເສັ້ນທາງໄປຫາຫ້ອງສະຫມຸດເຫຼົ່ານີ້ໃນ openssl.cfg. ເພື່ອເຮັດສິ່ງນີ້, ເປີດໄຟລ໌ openssl.cfg, ໃສ່ເສັ້ນຢູ່ຈຸດເລີ່ມຕົ້ນຂອງໄຟລ໌ນີ້:

     openssl_conf = openssl_def

     ໃນຕອນທ້າຍຂອງໄຟລ໌ທີ່ທ່ານຕ້ອງການທີ່ຈະເພີ່ມ:

     [ openssl_def ]
     engines = engine_section
     [ engine_section ]
     rtengine = gost_section
     [ gost_section ]
     dynamic_path = /Users/username/bin/sdk-rutoken/openssl/rtengine/bin/windows-x86_64/lib/rtengine.dll
     MODULE_PATH = /Users/username/bin/sdk-rutoken/pkcs11/lib/windows-x86_64/rtpkcs11ecp.dll
     RAND_TOKEN = pkcs11:manufacturer=Aktiv%20Co.;model=Rutoken%20ECP
     default_algorithms = CIPHERS, DIGEST, PKEY, RAND
     

     dynamic_path - ທ່ານຕ້ອງລະບຸເສັ້ນທາງຂອງທ່ານໄປຫາຫ້ອງສະຫມຸດ rtengine.dll.
     MODULE_PATH - ທ່ານຈໍາເປັນຕ້ອງຂຽນເສັ້ນທາງຂອງເຈົ້າໄປຫາຫ້ອງສະຫມຸດ rtpkcs11ecp.dll.

7. ເພີ່ມຕົວແປສະພາບແວດລ້ອມ.

   ໃຫ້ແນ່ໃຈວ່າຈະເພີ່ມຕົວແປສະພາບແວດລ້ອມທີ່ລະບຸເສັ້ນທາງໄປຫາໄຟລ໌ການຕັ້ງຄ່າ openssl.cfg. ໃນກໍລະນີຂອງຂ້ອຍ, ຕົວແປ OPENSSL_CONF ຖືກສ້າງຂຶ້ນດ້ວຍເສັ້ນທາງ C:Program FilesOpenSSL-Win64binopenssl.cfg.

   ໃນຕົວແປເສັ້ນທາງ, ທ່ານຕ້ອງລະບຸເສັ້ນທາງໄປຫາໂຟນເດີທີ່ openssl.exe ຕັ້ງຢູ່, ໃນກໍລະນີຂອງຂ້ອຍມັນແມ່ນ: C: Program FilesOpenSSL-Win64bin.

8. ຕອນນີ້ທ່ານສາມາດກັບຄືນໄປຫາຂັ້ນຕອນ 5 ແລະສ້າງໄຟລ໌ທີ່ຂາດຫາຍໄປສໍາລັບໄດເລກະທໍລີ demoCA.
   1. ໄຟລ໌ທີ່ສໍາຄັນທໍາອິດໂດຍບໍ່ມີການທີ່ບໍ່ມີຫຍັງຈະເຮັດວຽກແມ່ນ serial. ນີ້ແມ່ນໄຟລ໌ທີ່ບໍ່ມີນາມສະກຸນ, ມູນຄ່າທີ່ຄວນຈະເປັນ 01. ທ່ານສາມາດສ້າງໄຟລ໌ນີ້ດ້ວຍຕົນເອງແລະຂຽນ 01 ພາຍໃນ. ທ່ານຍັງສາມາດດາວໂຫລດໄດ້ຈາກ Rutoken SDK ຕາມເສັ້ນທາງ sdk/openssl/rtengine/samples/tool/demoCA /.
      ໄດເລກະທໍລີ demoCA ປະກອບມີໄຟລ໌ serial, ຊຶ່ງເປັນສິ່ງທີ່ພວກເຮົາຕ້ອງການ.
   2. ສ້າງລະຫັດສ່ວນຕົວຂອງຮາກ.
      ເພື່ອເຮັດສິ່ງນີ້, ພວກເຮົາຈະໃຊ້ຄໍາສັ່ງ openSSL library, ເຊິ່ງຕ້ອງໄດ້ດໍາເນີນການໂດຍກົງໃນເສັ້ນຄໍາສັ່ງ:

      openssl genpkey -algorithm gost2012_256 -pkeyopt paramset:A -out ca.key

   3. ພວກເຮົາສ້າງໃບຢັ້ງຢືນຮາກ.
      ເພື່ອເຮັດສິ່ງນີ້, ໃຊ້ຄໍາສັ່ງຫ້ອງສະຫມຸດ openSSL ຕໍ່ໄປນີ້:

      openssl req -utf8 -x509 -key ca.key -out ca.crt

      ກະ​ລຸ​ນາ​ສັງ​ເກດ​ວ່າ​ລະ​ຫັດ​ສ່ວນ​ຕົວ​ຂອງ​ຮາກ​, ເຊິ່ງ​ໄດ້​ຖືກ​ສ້າງ​ຕັ້ງ​ຂຶ້ນ​ໃນ​ຂັ້ນ​ຕອນ​ທີ່​ຜ່ານ​ມາ​, ແມ່ນ​ຕ້ອງ​ການ​ເພື່ອ​ສ້າງ​ໃບ​ຢັ້ງ​ຢືນ​ຮາກ​. ດັ່ງນັ້ນ, ເສັ້ນຄໍາສັ່ງຕ້ອງໄດ້ຮັບການເປີດຕົວໃນໄດເລກະທໍລີດຽວກັນ.

   ທຸກສິ່ງທຸກຢ່າງໃນປັດຈຸບັນມີໄຟລ໌ທີ່ຂາດຫາຍໄປທັງຫມົດສໍາລັບການຕັ້ງຄ່າທີ່ສົມບູນຂອງໄດເລກະທໍລີ demoCA. ວາງໄຟລ໌ທີ່ສ້າງຂຶ້ນໃນໄດເລກະທໍລີທີ່ລະບຸໄວ້ໃນຈຸດ 5.

ພວກເຮົາຈະສົມມຸດວ່າຫຼັງຈາກສໍາເລັດທັງຫມົດ 8 ຈຸດ, ສູນການຢັ້ງຢືນຂອງພວກເຮົາຖືກຕັ້ງຄ່າຢ່າງເຕັມສ່ວນ.

ໃນສ່ວນຕໍ່ໄປ, ຂ້າພະເຈົ້າຈະອະທິບາຍວິທີການທີ່ພວກເຮົາຈະເຮັດວຽກກັບເຈົ້າຫນ້າທີ່ການຢັ້ງຢືນເພື່ອເຮັດສໍາເລັດສິ່ງທີ່ໄດ້ອະທິບາຍໄວ້ໃນ. ພາກສ່ວນທີ່ຜ່ານມາຂອງບົດຄວາມ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com