പബ്ലിക് കീ ഇൻഫ്രാസ്ട്രക്ചർ. സെൽഫ് ഐസൊലേഷൻ സമയത്ത് സർട്ടിഫിക്കറ്റുകൾ നൽകുന്നു

അത് എങ്ങനെ ആരംഭിച്ചു

സ്വയം ഒറ്റപ്പെടൽ കാലഘട്ടത്തിന്റെ തുടക്കത്തിൽ, എനിക്ക് മെയിലിൽ ഒരു കത്ത് ലഭിച്ചു:

ആദ്യ പ്രതികരണം സ്വാഭാവികമായിരുന്നു: ഒന്നുകിൽ നിങ്ങൾ ടോക്കണുകൾക്കായി പോകണം, അല്ലെങ്കിൽ അവ കൊണ്ടുവരണം, എന്നാൽ തിങ്കളാഴ്ച മുതൽ ഞങ്ങൾ എല്ലാവരും വീട്ടിൽ ഇരിക്കുകയാണ്, ചലനത്തിന് നിയന്ത്രണങ്ങളുണ്ട്, അത് ആരാണ്? അതിനാൽ, ഉത്തരം തികച്ചും സ്വാഭാവികമായിരുന്നു:

നമുക്കെല്ലാവർക്കും അറിയാവുന്നതുപോലെ, ഏപ്രിൽ 1 തിങ്കളാഴ്ച മുതൽ, വളരെ കർശനമായ സ്വയം ഒറ്റപ്പെടലിന്റെ ഒരു കാലഘട്ടം ആരംഭിച്ചു. ഞങ്ങൾ എല്ലാവരും വിദൂര ജോലിയിലേക്ക് മാറി, ഞങ്ങൾക്ക് ഒരു VPN കൂടി ആവശ്യമാണ്. ഞങ്ങളുടെ VPN OpenVPN അടിസ്ഥാനമാക്കിയുള്ളതാണ്, എന്നാൽ റഷ്യൻ ക്രിപ്‌റ്റോഗ്രഫിയെ പിന്തുണയ്‌ക്കുന്നതിനും PKCS#11 ടോക്കണുകൾ, PKCS#12 കണ്ടെയ്‌നറുകൾ എന്നിവയ്‌ക്കൊപ്പം പ്രവർത്തിക്കാനുള്ള കഴിവിനും പരിഷ്‌ക്കരിച്ചു. സ്വാഭാവികമായും, VPN വഴി പ്രവർത്തിക്കാൻ ഞങ്ങൾ സ്വയം തയ്യാറല്ലെന്ന് തെളിഞ്ഞു: പലർക്കും സർട്ടിഫിക്കറ്റുകൾ ഇല്ലായിരുന്നു, ചിലത് കാലഹരണപ്പെട്ടവയാണ്.

പ്രക്രിയ എങ്ങനെ പോയി?

ഇവിടെയാണ് യൂട്ടിലിറ്റി രക്ഷാപ്രവർത്തനത്തിലേക്ക് വരുന്നത് cryptoarmpkcs അപേക്ഷയും CAFL63 (സ്ഥിരീകരണ കേന്ദ്രം).

Cryptoarmpkcs യൂട്ടിലിറ്റി, സെൽഫ് ഐസൊലേഷനിൽ കഴിയുന്ന ജീവനക്കാർക്ക് സർട്ടിഫിക്കറ്റ് അഭ്യർത്ഥനകൾ സൃഷ്ടിക്കാൻ അവരുടെ ഹോം കമ്പ്യൂട്ടറുകളിൽ ടോക്കണുകൾ അനുവദിച്ചു:

ജീവനക്കാർ എനിക്ക് ഇമെയിൽ വഴി സംരക്ഷിച്ച അഭ്യർത്ഥനകൾ അയച്ചു. ആരെങ്കിലും ചോദിച്ചേക്കാം: - സ്വകാര്യ ഡാറ്റയെക്കുറിച്ച് എന്താണ്, എന്നാൽ നിങ്ങൾ സൂക്ഷ്മമായി നോക്കുകയാണെങ്കിൽ, അത് അഭ്യർത്ഥനയിൽ ഇല്ല. കൂടാതെ അഭ്യർത്ഥന തന്നെ അതിന്റെ ഒപ്പ് ഉപയോഗിച്ച് പരിരക്ഷിച്ചിരിക്കുന്നു.

രസീത് ലഭിച്ചുകഴിഞ്ഞാൽ, സർട്ടിഫിക്കറ്റ് അഭ്യർത്ഥന CAFL63 CA ഡാറ്റാബേസിലേക്ക് ഇമ്പോർട്ടുചെയ്യുന്നു:

അതിനുശേഷം അഭ്യർത്ഥന നിരസിക്കുകയോ അംഗീകരിക്കുകയോ ചെയ്യണം. ഒരു അഭ്യർത്ഥന പരിഗണിക്കുന്നതിന്, നിങ്ങൾ അത് തിരഞ്ഞെടുക്കേണ്ടതുണ്ട്, വലത്-ക്ലിക്കുചെയ്ത് ഡ്രോപ്പ്-ഡൗൺ മെനുവിൽ നിന്ന് "തീരുമാനമെടുക്കുക" തിരഞ്ഞെടുക്കുക:

തീരുമാനമെടുക്കൽ നടപടിക്രമം തന്നെ തികച്ചും സുതാര്യമാണ്:

ഒരു സർട്ടിഫിക്കറ്റ് അതേ രീതിയിൽ ഇഷ്യൂ ചെയ്യുന്നു, മെനു ഇനത്തെ മാത്രമേ "ഇഷ്യൂ സർട്ടിഫിക്കറ്റ്" എന്ന് വിളിക്കൂ:

ഇഷ്യൂ ചെയ്ത സർട്ടിഫിക്കറ്റ് കാണുന്നതിന്, നിങ്ങൾക്ക് സന്ദർഭ മെനു ഉപയോഗിക്കാം അല്ലെങ്കിൽ അനുബന്ധ വരിയിൽ ഡബിൾ ക്ലിക്ക് ചെയ്യുക:

ഇപ്പോൾ ഉള്ളടക്കം openssl (OpenSSL ടെക്സ്റ്റ് ടാബ്) വഴിയും CAFL63 ആപ്ലിക്കേഷന്റെ ബിൽറ്റ്-ഇൻ വ്യൂവർ വഴിയും (സർട്ടിഫിക്കറ്റ് ടെക്സ്റ്റ് ടാബ്) കാണാൻ കഴിയും. പിന്നീടുള്ള സന്ദർഭത്തിൽ, സർട്ടിഫിക്കറ്റ് ടെക്സ്റ്റ് രൂപത്തിൽ പകർത്താൻ സന്ദർഭ മെനു ഉപയോഗിക്കാം, ആദ്യം ക്ലിപ്പ്ബോർഡിലേക്കും പിന്നീട് ഒരു ഫയലിലേക്കും.

ആദ്യ പതിപ്പിനെ അപേക്ഷിച്ച് CAFL63-ൽ എന്താണ് മാറിയതെന്ന് ഇവിടെ ശ്രദ്ധിക്കേണ്ടതാണ്? സർട്ടിഫിക്കറ്റുകൾ കാണുന്നതിന്, ഞങ്ങൾ ഇത് ഇതിനകം ശ്രദ്ധിച്ചു. ഒരു കൂട്ടം ഒബ്‌ജക്‌റ്റുകൾ (സർട്ടിഫിക്കറ്റുകൾ, അഭ്യർത്ഥനകൾ, CRL-കൾ) തിരഞ്ഞെടുത്ത് പേജിംഗ് മോഡിൽ (“തിരഞ്ഞെടുത്ത കാണുക ...” ബട്ടൺ) കാണാനും ഇത് സാധ്യമായി.

ഒരുപക്ഷേ ഏറ്റവും പ്രധാനപ്പെട്ട കാര്യം പദ്ധതി സൗജന്യമായി ലഭ്യമാണ് എന്നതാണ് ഗിത്തബ്. ലിനക്സിനുള്ള വിതരണത്തിന് പുറമെ വിൻഡോസ്, ഒഎസ് എക്സ് എന്നിവയ്ക്കുള്ള വിതരണങ്ങളും തയ്യാറാക്കിയിട്ടുണ്ട്.ആൻഡ്രോയിഡിനുള്ള വിതരണം അൽപ്പം കഴിഞ്ഞ് പുറത്തിറങ്ങും.

CAFL63 ആപ്ലിക്കേഷന്റെ മുൻ പതിപ്പുമായി താരതമ്യപ്പെടുത്തുമ്പോൾ, ഇന്റർഫേസ് തന്നെ മാറിയിരിക്കുന്നു, മാത്രമല്ല, ഇതിനകം സൂചിപ്പിച്ചതുപോലെ, പുതിയ സവിശേഷതകളും ചേർത്തു. ഉദാഹരണത്തിന്, ആപ്ലിക്കേഷൻ വിവരണമുള്ള പേജ് പുനർരൂപകൽപ്പന ചെയ്യുകയും വിതരണങ്ങൾ ഡൗൺലോഡ് ചെയ്യുന്നതിനുള്ള നേരിട്ടുള്ള ലിങ്കുകൾ ചേർക്കുകയും ചെയ്തു:

GOST openssl എവിടെ നിന്ന് ലഭിക്കുമെന്ന് പലരും ചോദിച്ചിട്ടുണ്ട്, ഇപ്പോഴും ചോദിക്കുന്നു. പരമ്പരാഗതമായി ഞാൻ നൽകുന്നു ലിങ്ക്, ദയയോടെ നൽകി ഗാരക്സ്. ഈ openssl എങ്ങനെ ഉപയോഗിക്കണം എന്ന് എഴുതിയിരിക്കുന്നു ഇവിടെ.
എന്നാൽ ഇപ്പോൾ വിതരണ കിറ്റുകളിൽ റഷ്യൻ ക്രിപ്‌റ്റോഗ്രഫിയോടുകൂടിയ openssl-ന്റെ ഒരു ടെസ്റ്റ് പതിപ്പ് ഉൾപ്പെടുന്നു.

അതിനാൽ, CA സജ്ജീകരിക്കുമ്പോൾ, നിങ്ങൾക്ക് Linux-നുള്ള /tmp/lirssl_static അല്ലെങ്കിൽ Windows-നായി $::env(TEMP)/lirssl_static.exe എന്നിവ ഓപ്പൺഎസ്എൽ ഉപയോഗിക്കുന്നതുപോലെ വ്യക്തമാക്കാം:

ഈ സാഹചര്യത്തിൽ, നിങ്ങൾ ഒരു ശൂന്യമായ lirssl.cnf ഫയൽ സൃഷ്‌ടിക്കുകയും പരിസ്ഥിതി വേരിയബിളായ LIRSSL_CONF-ൽ ഈ ഫയലിലേക്കുള്ള പാത വ്യക്തമാക്കുകയും ചെയ്യേണ്ടതുണ്ട്:

സർട്ടിഫിക്കറ്റ് ക്രമീകരണങ്ങളിലെ “വിപുലീകരണങ്ങൾ” ടാബ് “അതോറിറ്റി ഇൻഫോ ആക്‌സസ്” ഫീൽഡിനൊപ്പം അനുബന്ധമായി നൽകിയിട്ടുണ്ട്, അവിടെ നിങ്ങൾക്ക് CA റൂട്ട് സർട്ടിഫിക്കറ്റിലേക്കും OCSP സെർവറിലേക്കും ആക്‌സസ് പോയിന്റുകൾ സജ്ജീകരിക്കാനാകും:

CA-കൾ അപേക്ഷകരിൽ നിന്ന് സൃഷ്ടിച്ച അഭ്യർത്ഥനകൾ (PKCS#10) സ്വീകരിക്കുന്നില്ലെന്നും അല്ലെങ്കിൽ അതിലും മോശമായത്, ചില CSP മുഖേന കാരിയറിൽ ഒരു കീ ജോഡി ജനറേറ്റ് ചെയ്യാനുള്ള അഭ്യർത്ഥനകൾ രൂപീകരിക്കാൻ നിർബന്ധിതരാണെന്നും ഞങ്ങൾ പലപ്പോഴും കേൾക്കാറുണ്ട്. PKCS#2.0 ഇന്റർഫേസ് വഴി വീണ്ടെടുക്കാനാകാത്ത കീ ഉപയോഗിച്ച് (അതേ RuToken EDS-11-ൽ) ടോക്കണുകളിൽ അഭ്യർത്ഥനകൾ സൃഷ്ടിക്കാൻ അവർ വിസമ്മതിക്കുന്നു. അതിനാൽ, PKCS#63 ടോക്കണുകളുടെ ക്രിപ്‌റ്റോഗ്രാഫിക് മെക്കാനിസങ്ങൾ ഉപയോഗിച്ച് CAFL11 ആപ്ലിക്കേഷന്റെ പ്രവർത്തനക്ഷമതയിലേക്ക് അഭ്യർത്ഥന ജനറേഷൻ ചേർക്കാൻ തീരുമാനിച്ചു. ടോക്കൺ മെക്കാനിസങ്ങൾ പ്രവർത്തനക്ഷമമാക്കാൻ, പാക്കേജ് ഉപയോഗിച്ചു TclPKCS11. ഒരു CA-യിലേക്ക് ഒരു അഭ്യർത്ഥന സൃഷ്ടിക്കുമ്പോൾ (പേജ് "സർട്ടിഫിക്കറ്റുകൾക്കായുള്ള അഭ്യർത്ഥനകൾ", ഫംഗ്‌ഷൻ "അഭ്യർത്ഥന/CSR സൃഷ്‌ടിക്കുക") നിങ്ങൾക്ക് ഇപ്പോൾ കീ ജോഡി എങ്ങനെ ജനറേറ്റുചെയ്യണമെന്ന് തിരഞ്ഞെടുക്കാം (ഓപ്പൺഎസ്എൽ അല്ലെങ്കിൽ ടോക്കണിൽ) കൂടാതെ അഭ്യർത്ഥന തന്നെ ഒപ്പിടും:

ടോക്കണിനൊപ്പം പ്രവർത്തിക്കാൻ ആവശ്യമായ ലൈബ്രറി സർട്ടിഫിക്കറ്റിനായുള്ള ക്രമീകരണങ്ങളിൽ വ്യക്തമാക്കിയിരിക്കുന്നു:

എന്നാൽ സെൽഫ് ഐസൊലേഷൻ മോഡിൽ കോർപ്പറേറ്റ് വിപിഎൻ നെറ്റ്‌വർക്കിൽ ജോലി ചെയ്യുന്നതിനുള്ള സർട്ടിഫിക്കറ്റുകൾ ജീവനക്കാർക്ക് നൽകുന്ന പ്രധാന ദൗത്യത്തിൽ നിന്ന് ഞങ്ങൾ വ്യതിചലിച്ചു. ചില ജീവനക്കാർക്ക് ടോക്കണുകൾ ഇല്ലെന്ന് തെളിഞ്ഞു. CAFL12 ആപ്ലിക്കേഷൻ ഇത് അനുവദിക്കുന്നതിനാൽ അവർക്ക് PKCS#63 പരിരക്ഷിത കണ്ടെയ്‌നറുകൾ നൽകാൻ തീരുമാനിച്ചു. ആദ്യം, അത്തരം ജീവനക്കാർക്കായി ഞങ്ങൾ CIPF തരം "OpenSSL" സൂചിപ്പിക്കുന്ന PKCS#10 അഭ്യർത്ഥനകൾ നടത്തുന്നു, തുടർന്ന് ഞങ്ങൾ ഒരു സർട്ടിഫിക്കറ്റ് നൽകുകയും PKCS12-ൽ പാക്കേജ് ചെയ്യുകയും ചെയ്യുന്നു. ഇത് ചെയ്യുന്നതിന്, "സർട്ടിഫിക്കറ്റുകൾ" പേജിൽ, ആവശ്യമുള്ള സർട്ടിഫിക്കറ്റ് തിരഞ്ഞെടുക്കുക, വലത്-ക്ലിക്കുചെയ്ത് "PKCS#12-ലേക്ക് കയറ്റുമതി ചെയ്യുക" തിരഞ്ഞെടുക്കുക:

കണ്ടെയ്‌നറിനൊപ്പം എല്ലാം ക്രമത്തിലാണെന്ന് ഉറപ്പാക്കാൻ, നമുക്ക് cryptoarmpkcs യൂട്ടിലിറ്റി ഉപയോഗിക്കാം:

ഇഷ്യൂ ചെയ്ത സർട്ടിഫിക്കറ്റുകൾ നിങ്ങൾക്ക് ഇപ്പോൾ ജീവനക്കാർക്ക് അയയ്ക്കാം. ചില ആളുകൾക്ക് സർട്ടിഫിക്കറ്റുകൾ (ഇവർ ടോക്കൺ ഉടമകൾ, അഭ്യർത്ഥനകൾ അയച്ചവർ) അല്ലെങ്കിൽ PKCS#12 കണ്ടെയ്‌നറുകൾ ഉള്ള ഫയലുകൾ അയയ്‌ക്കുന്നു. രണ്ടാമത്തെ കേസിൽ, ഓരോ ജീവനക്കാരനും ഫോണിലൂടെ കണ്ടെയ്നറിലേക്ക് പാസ്വേഡ് നൽകുന്നു. ഈ ജീവനക്കാർക്ക് കണ്ടെയ്‌നറിലേക്കുള്ള പാത കൃത്യമായി വ്യക്തമാക്കി VPN കോൺഫിഗറേഷൻ ഫയൽ ശരിയാക്കേണ്ടതുണ്ട്.

ടോക്കൺ ഉടമകളെ സംബന്ധിച്ചിടത്തോളം, അവർക്ക് അവരുടെ ടോക്കണിനായി ഒരു സർട്ടിഫിക്കറ്റ് ഇറക്കുമതി ചെയ്യേണ്ടതുണ്ട്. ഇത് ചെയ്യുന്നതിന്, അവർ അതേ cryptoarmpkcs യൂട്ടിലിറ്റി ഉപയോഗിച്ചു:

ഇപ്പോൾ VPN കോൺഫിഗറിലേക്ക് കുറഞ്ഞ മാറ്റങ്ങളുണ്ട് (ടോക്കണിലെ സർട്ടിഫിക്കറ്റ് ലേബൽ മാറിയിരിക്കാം) അത്രയേയുള്ളൂ, കോർപ്പറേറ്റ് VPN നെറ്റ്‌വർക്ക് പ്രവർത്തന ക്രമത്തിലാണ്.

സന്തോഷകരമായ ഒരു അന്ത്യം

അപ്പോൾ എനിക്ക് മനസ്സിലായി, ആളുകൾ എന്തിനാണ് എനിക്ക് ടോക്കണുകൾ കൊണ്ടുവരുന്നത് അല്ലെങ്കിൽ അവർക്കായി ഞാൻ ഒരു ദൂതനെ അയയ്ക്കണം. ഞാൻ ഇനിപ്പറയുന്ന ഉള്ളടക്കമുള്ള ഒരു കത്ത് അയയ്ക്കുന്നു:

ഉത്തരം അടുത്ത ദിവസം വരുന്നു:

ഞാൻ ഉടൻ തന്നെ cryptoarmpkcs യൂട്ടിലിറ്റിയിലേക്ക് ഒരു ലിങ്ക് അയയ്ക്കുന്നു:

സർട്ടിഫിക്കറ്റ് അഭ്യർത്ഥനകൾ സൃഷ്‌ടിക്കുന്നതിന് മുമ്പ്, ടോക്കണുകൾ മായ്‌ക്കാൻ ഞാൻ ശുപാർശ ചെയ്‌തു:

തുടർന്ന് PKCS#10 ഫോർമാറ്റിലുള്ള സർട്ടിഫിക്കറ്റുകൾക്കായുള്ള അഭ്യർത്ഥനകൾ ഇമെയിൽ വഴി അയച്ചു, ഞാൻ സർട്ടിഫിക്കറ്റുകൾ ഇഷ്യൂ ചെയ്തു, അത് ഞാൻ അയച്ചത്:

പിന്നെ ഒരു സന്തോഷകരമായ നിമിഷം വന്നു:

കൂടാതെ ഈ കത്തും ഉണ്ടായിരുന്നു:

അതിനുശേഷം ഈ ലേഖനം പിറന്നു.

Linux, MS Windows പ്ലാറ്റ്‌ഫോമുകൾക്കുള്ള CAFL63 ആപ്ലിക്കേഷന്റെ വിതരണങ്ങൾ കണ്ടെത്താനാകും

ഇവിടെ

• ലിനക്സ് 32
• ലിനക്സ് 64
• WIN32
• WIN64
• OS X

ആൻഡ്രോയിഡ് പ്ലാറ്റ്‌ഫോം ഉൾപ്പെടെയുള്ള cryptoarmpkcs യൂട്ടിലിറ്റിയുടെ വിതരണങ്ങൾ സ്ഥിതിചെയ്യുന്നു

ഇവിടെ

• ലിനക്സ് 32
• ലിനക്സ് 64
• WIN32
• WIN64
• OS X
• ആൻഡ്രോയിഡ്

അവലംബം: www.habr.com