ProHoster > Blogs > Administrācija > Mākoņa marÄ·ieris PKCS#11 ā€“ mÄ«ts vai realitāte?

Mākoņa marÄ·ieris PKCS#11 ā€“ mÄ«ts vai realitāte?

PKCS#11 (Cryptoki) ir RSA Laboratories izstrādāts standarts programmu sadarboÅ”anai ar kriptogrāfijas marÄ·ieriem, viedkartēm un citām lÄ«dzÄ«gām ierÄ«cēm, izmantojot vienotu programmÄ“Å”anas interfeisu, kas tiek ieviests caur bibliotēkām.

PKCS#11 standartu Krievijas kriptogrāfijai atbalsta tehniskās standartizācijas komiteja "Kriptogrāfiskās informācijas aizsardzība" (TK 26).

Ja mēs runājam par tokeniem, kas atbalsta krievu kriptogrāfiju, tad mēs varam runāt par programmatūras marķieriem, programmatūras-aparatūras marķieriem un aparatūras marķieriem.

Kriptogrāfiskie marÄ·ieri nodroÅ”ina gan sertifikātu un atslēgu pāru (publisko un privāto atslēgu) glabāŔanu, gan kriptogrāfisko darbÄ«bu veikÅ”anu saskaņā ar PKCS#11 standartu. Vājais posms Å”eit ir privātās atslēgas glabāŔana. Ja publiskā atslēga ir pazaudēta, vienmēr varat to atgÅ«t, izmantojot privāto atslēgu vai izņemt to no sertifikāta. Privātās atslēgas nozaudÄ“Å”ana/iznÄ«cināŔana rada Å”ausmÄ«gas sekas, piemēram, jÅ«s nevarēsit atÅ”ifrēt failus, kas Å”ifrēti ar jÅ«su publisko atslēgu, un jÅ«s nevarēsit ievietot elektronisko parakstu (ES). Lai Ä£enerētu elektronisko parakstu, jums bÅ«s jāģenerē jauns atslēgu pāris un par nelielu naudu jāiegÅ«st jauns sertifikāts no vienas no sertifikācijas iestādēm.

IepriekÅ” mēs minējām programmatÅ«ras, programmaparatÅ«ras un aparatÅ«ras marÄ·ierus. Bet mēs varam apsvērt citu kriptogrāfijas marÄ·iera veidu - mākoni.

Å odien jÅ«s nevienu nepārsteigsiet mākoņa zibatmiņas disks. Viss PriekÅ”rocÄ«bas un trÅ«kumi mākoņa zibatmiņas diski ir gandrÄ«z identiski mākoņa marÄ·ieriem.

Å eit galvenais ir mākoņa marÄ·ierā saglabāto datu, galvenokārt privāto atslēgu, droŔība. Vai mākoņa marÄ·ieris to var nodroÅ”ināt? Mēs sakām - JĀ!

Tātad, kā darbojas mākoņa marÄ·ieris? Pirmais solis ir reÄ£istrēt klientu marÄ·ieru mākonÄ«. Lai to izdarÄ«tu, ir jānodroÅ”ina utilÄ«ta, kas ļauj piekļūt mākonim un reÄ£istrēt tajā savu pieteikumvārdu/segvārdu:
Mākoņa marÄ·ieris PKCS#11 ā€“ mÄ«ts vai realitāte?

Pēc reÄ£istrÄ“Å”anās mākonÄ« lietotājam ir jāinicializē savs marÄ·ieris, proti, jāiestata marÄ·iera etiÄ·ete un, pats galvenais, jāiestata SO-PIN un lietotāja PIN kodi. Å ie darÄ«jumi ir jāveic tikai droŔā/Å”ifrētā kanālā. Lai inicializētu marÄ·ieri, tiek izmantota utilÄ«ta pk11conf. Lai Å”ifrētu kanālu, tiek piedāvāts izmantot Å”ifrÄ“Å”anas algoritmu Magma-VKS (GOST R 34.13-2015).

Lai izstrādātu saskaņotu atslēgu, uz kuras pamata tiks aizsargāta/Å”ifrēta trafika starp klientu un serveri, tiek piedāvāts izmantot ieteicamo TK 26 protokolu. SESPAKE Sākot no koplietojamo atslēgu Ä£enerÄ“Å”anas protokols ar paroles autentifikāciju.

Tiek ierosināts izmantot kā paroli, uz kuras pamata tiks ģenerēta koplietotā atslēga vienreizējas paroles mehānisms. Tā kā mēs runājam par krievu kriptogrāfiju, ir dabiski ģenerēt vienreizējas paroles, izmantojot mehānismus CKM_GOSTR3411_12_256_HMAC, CKM_GOSTR3411_12_512_HMAC vai CKM_GOSTR3411_HMAC.

Å Ä« mehānisma izmantoÅ”ana nodroÅ”ina, ka piekļuve personÄ«gajiem marÄ·iera objektiem mākonÄ«, izmantojot SO un USER PIN kodus, ir pieejama tikai lietotājam, kurÅ” tos instalēja, izmantojot utilÄ«tu. pk11conf.

Tas arÄ« viss. Pēc Å”o darbÄ«bu veikÅ”anas mākoņa marÄ·ieris ir gatavs lietoÅ”anai. Lai piekļūtu mākoņa pilnvarai, datorā vienkārÅ”i jāinstalē bibliotēka LS11CLOUD. Izmantojot mākoņa marÄ·ieri Android un iOS platformu lietojumprogrammās, tiek nodroÅ”ināts atbilstoÅ”s SDK. TieÅ”i Ŕī bibliotēka tiks norādÄ«ta, pievienojot mākoņa marÄ·ieri Redfox pārlÅ«kprogrammā vai rakstÄ«ta failā pkcs11.txt. LS11CLOUD bibliotēka arÄ« mijiedarbojas ar mākonÄ« esoÅ”o marÄ·ieri, izmantojot droÅ”u kanālu, kura pamatā ir SESPAKE, kas izveidots, izsaucot funkciju PKCS#11 C_Initialize!

Mākoņa marÄ·ieris PKCS#11 ā€“ mÄ«ts vai realitāte?

Tas arī viss. Tagad varat pasūtīt sertifikātu, instalēt to savā mākoņa marķierā un doties uz valdības pakalpojumu vietni.

Avots: www.habr.com

Pievieno komentāru