Облак токен PKCS#11 – мит или реалност?

PKCS#11 (Cryptoki) е стандард развиен од RSA Laboratories за интероперативни програми со криптографски токени, паметни картички и други слични уреди со користење на унифициран програмски интерфејс што се имплементира преку библиотеки.

Стандардот PKCS#11 за руска криптографија е поддржан од комитетот за техничка стандардизација „Заштита на криптографски информации“ (ТК 26).

Ако зборуваме за токени кои поддржуваат руска криптографија, тогаш можеме да зборуваме за софтверски токени, софтверско-хардверски токени и хардверски токени.

Криптографските токени обезбедуваат и складирање на сертификати и парови на клучеви (јавни и приватни клучеви) и извршување на криптографски операции во согласност со стандардот PKCS#11. Слабата алка овде е складирањето на приватниот клуч. Ако јавниот клуч е изгубен, секогаш можете да го вратите користејќи го приватниот клуч или да го земете од сертификатот. Губењето/уништувањето на приватен клуч има страшни последици, на пример, нема да можете да ги дешифрирате датотеките шифрирани со вашиот јавен клуч и нема да можете да ставите електронски потпис (ES). За да генерирате електронски потпис, ќе треба да генерирате нов пар клучеви и, за некои пари, да добиете нов сертификат од еден од органите за сертификација.

Погоре споменавме софтвер, фирмвер и хардверски токени. Но, можеме да разгледаме друг тип на криптографски токен - облак.

Денес нема да изненадите никого облак флеш диск. Сите предности и недостатоци облак флеш-уреди се речиси идентични со оние на облак токен.

Главната работа овде е безбедноста на податоците зачувани во токенот на облакот, првенствено приватните клучеви. Може ли облак токен да го обезбеди ова? Ние велиме - ДА!

Значи, како функционира облак токен? Првиот чекор е да го регистрирате клиентот во облакот за токени. За да го направите ова, мора да се обезбеди алатка која ви овозможува да пристапите до облакот и да го регистрирате вашето најавување/прекар во него:


Откако ќе се регистрира во облакот, корисникот мора да го иницијализира својот токен, имено да ја постави ознаката на токенот и што е најважно, да ги постави SO-PIN и корисничките PIN кодови. Овие трансакции мора да се вршат само преку безбеден/шифриран канал. Услужната алатка pk11conf се користи за иницијализирање на токенот. За шифрирање на каналот, се предлага да се користи алгоритам за шифрирање Магма-CTR (ГОСТ Р 34.13-2015).

За да се развие договорен клуч врз основа на кој сообраќајот помеѓу клиентот и серверот ќе биде заштитен/шифриран, се предлага да се користи препорачаниот протокол TK 26 СЕСПЕЈК - протокол за генерирање споделен клуч со автентикација на лозинка.

Се предлага да се користи како лозинка врз основа на која ќе се генерира споделениот клуч механизам за еднократна лозинка. Бидејќи зборуваме за руска криптографија, природно е да се генерираат еднократни лозинки користејќи механизми CKM_GOSTR3411_12_256_HMAC, CKM_GOSTR3411_12_512_HMAC или CKM_GOSTR3411_HMAC.

Употребата на овој механизам осигурува дека пристапот до личните токени објекти во облакот преку SO и КОРИСНИЧКИ ПИН-кодови е достапен само за корисникот кој ги инсталирал користејќи ја алатката pk11conf.

Откако ќе ги завршите овие чекори, вашиот cloud токен е подготвен за употреба. За да пристапите до вашиот cloud токен, едноставно инсталирајте ја библиотеката LS11CLOUD на вашиот компјутер. Кога го користите вашиот cloud токен во апликации на платформи Android Обезбеден е соодветен SDK за iOS и iOS. Оваа библиотека ќе биде наведена при поврзување на токен во облак во прелистувачот Redfox или наведена во датотеката pkcs11.txt. Библиотеката LS11CLOUD, исто така, комуницира со токенот во облак преку безбеден канал базиран на SESPAKE, креиран при повикување на функцијата PKCS#11 C_Initialize!

Тоа е сè, сега можете да нарачате сертификат, да го инсталирате во вашиот облак токен и да отидете на веб-страницата на владините служби.

Извор: www.habr.com