Искуство во користење на технологијата Рутокен за регистрирање и овластување корисници во системот (дел 1)

Добар ден Сакам да го споделам моето искуство на оваа тема.

Рутокен е хардверски и софтверски решенија во областа на автентикација, безбедност на информации и електронски потпис. Во суштина, ова е флеш-уред што може да складира податоци за автентикација што корисникот ги користи за да се најави во системот.

Во овој пример, се користи Rutoken EDS 2.0.

За да работите со овој Рутокен ви треба инсталирај драјвер на Windows.

За Windows, инсталирањето само еден двигател осигурува дека се што е потребно е инсталирано, така што оперативниот систем го гледа вашиот Rutoken и може да работи со него.

Можете да комуницирате со Рутокен на различни начини. Можете да му пристапите од страната на серверот на апликацијата или директно од страната на клиентот. Овој пример ќе ја разгледа интеракцијата со Rutoken од клиентската страна на апликацијата.

Клиентскиот дел од апликацијата комуницира со рутокенот преку рутокен приклучокот. Ова е програма што се инсталира посебно на секој прелистувач. За Windows, само треба да го преземете и инсталирате приклучокот, се наоѓа на овој линк.

Тоа е сè, сега можеме да комуницираме со Rutoken од клиентската страна на апликацијата.

Овој пример ја разгледува идејата за имплементација на алгоритам за овластување на корисникот во системот користејќи ја шемата за одговор-предизвик.

Суштината на идејата е како што следува:

1. Клиентот испраќа барање за авторизација до серверот.
2. Серверот одговара на барање од клиентот со испраќање случаен стринг.
3. Клиентот ја пополнува оваа низа со случајни 32 бита.
4. Клиентот го потпишува добиениот стринг со неговиот сертификат.
5. Клиентот ја испраќа добиената шифрирана порака до серверот.
6. Серверот го потврдува потписот со примање на оригиналната нешифрирана порака.
7. Серверот ги отстранува последните 32 бита од примената нешифрирана порака.
8. Серверот го споредува добиениот резултат со пораката што била испратена при барањето овластување.
9. Ако пораките се исти, тогаш овластувањето се смета за успешно.

Во горенаведениот алгоритам постои такво нешто како сертификат. За овој пример, треба да разберете некоја криптографска теорија. На Хабре има одлична статија на оваа тема.

Во овој пример, ќе користиме асиметрични алгоритми за шифрирање. За да имплементирате асиметрични алгоритми, мора да имате пар клучеви и сертификат.

Парот клучеви се состои од два дела: приватен клуч и јавен клуч. Приватниот клуч, како што сугерира неговото име, мора да биде таен. Ние го користиме за дешифрирање информации. Јавниот клуч може да се дистрибуира до секого. Овој клуч се користи за шифрирање на податоците. Така, секој корисник може да ги шифрира податоците користејќи го јавниот клуч, но само сопственикот на приватниот клуч може да ги дешифрира овие информации.

Сертификатот е електронски документ кој содржи информации за корисникот кој го поседува сертификатот, како и јавен клуч. Со сертификат, корисникот може да потпише какви било податоци и да ги испрати на серверот, кој може да го потврди потписот и да ги дешифрира податоците.

За правилно да потпишете порака со сертификат, треба правилно да ја креирате. За да го направите ова, прво се креира пар клучеви на Rutoken, а потоа сертификатот мора да биде поврзан со јавниот клуч на овој пар клучеви. Сертификатот мора да го има токму јавниот клуч што се наоѓа на Рутокен, ова е важно. Ако едноставно креираме пар клучеви и сертификат веднаш на клиентската страна на апликацијата, тогаш како може серверот потоа да ја дешифрира оваа шифрирана порака? На крајот на краиштата, тој воопшто не знае ништо ниту за парот клучеви ниту за сертификатот.

Ако се нурнете подлабоко во оваа тема, можете да најдете интересни информации на Интернет. Има одредени органи за сертификација на кои очигледно им веруваме. Овие власти за сертификација можат да издаваат сертификати на корисниците; тие ги инсталираат овие сертификати на нивниот сервер. По ова, кога клиентот пристапува до овој сервер, тој го гледа токму овој сертификат и гледа дека е издаден од орган за сертификација, што значи дека на овој сервер може да му се верува. Исто така, на Интернет има многу информации за тоа како правилно да поставите сè. На пример, можете да започнете со ова.

Ако се вратиме на нашиот проблем, решението изгледа очигледно. Треба некако да креирате сопствен центар за сертификација. Но, пред тоа, треба да откриете на која основа центарот за сертификација треба да му издаде сертификат на корисникот, бидејќи тој не знае ништо за тоа. (На пример, неговото име, презиме итн.) Постои такво нешто што се нарекува барање за сертификат. Повеќе информации за овој стандард може да се најдат, на пример, на Википедија ru.wikipedia.org/wiki/PKCS
Ќе ја користиме верзијата 1.7 - PKCS#10.

Дозволете ни да го опишеме алгоритмот за генерирање сертификат на Rutoken (оригинален извор: документацијата):

1. Ние создаваме пар клучеви на клиентот и го зачувуваме на Rutoken. (зачувувањето се случува автоматски)
2. Ние креираме барање за сертификат за клиентот.
3. Од клиентот го испраќаме ова барање до серверот.
4. Кога ќе добиеме барање за сертификат на серверот, издаваме сертификат од нашиот орган за сертификација.
5. Овој сертификат го испраќаме до клиентот.
6. Ние го зачувуваме сертификатот Rutoken на клиентот.
7. Сертификатот мора да биде врзан за парот клучеви што беше создаден во првиот чекор.

Сега станува јасно како серверот ќе може да го дешифрира потписот на клиентот, бидејќи самиот му го издал сертификатот.

Во следниот дел, ќе разгледаме подетално како да го поставите вашиот авторитет за сертификати врз основа на целосната библиотека за криптографија со отворен код openSSL.

Извор: www.habr.com