सार्वजनिक कुञ्जी पूर्वाधार। सेल्फ आइसोलेसनको समयमा प्रमाणपत्र जारी गर्ने

यो सबै कसरी सुरु भयो

आत्म-अलगाव अवधिको सुरुमा, मैले मेलमा एउटा पत्र प्राप्त गरें:

पहिलो प्रतिक्रिया स्वाभाविक थियो: तपाई या त टोकन लिन जानु पर्छ, वा ती ल्याउनु पर्छ, तर सोमबारदेखि हामी सबै घरमा बसेका छौं, त्यहाँ आवतजावतमा प्रतिबन्धहरू छन्, र यो को हो? त्यसैले, जवाफ एकदम स्वाभाविक थियो:

र हामी सबैलाई थाहा छ, सोमबार, अप्रिल १ देखि, एकदम कडा आत्म-पृथकताको अवधि सुरु भयो। हामी सबै टाढाको काममा पनि स्विच गर्यौं र हामीलाई VPN पनि चाहिन्छ। हाम्रो VPN OpenVPN मा आधारित छ, तर रूसी क्रिप्टोग्राफी र PKCS#1 टोकन र PKCS#11 कन्टेनरहरूसँग काम गर्ने क्षमतालाई समर्थन गर्न परिमार्जन गरिएको छ। स्वाभाविक रूपमा, यो बाहिरियो कि हामी आफैं VPN मार्फत काम गर्न तयार थिएनौं: धेरैसँग मात्र प्रमाणपत्रहरू थिएनन्, र केहीको म्याद सकिएको थियो।

प्रक्रिया कसरी अघि बढ्यो ?

र यो जहाँ उपयोगिता उद्धार गर्न आउँछ cryptoarmpkcs र आवेदन CAFL63 (प्रमाणीकरण केन्द्र)।

cryptoarmpkcs युटिलिटीले सेल्फ आइसोलेसनमा रहेका र आफ्नो घरको कम्प्युटरमा टोकन भएका कर्मचारीहरूलाई प्रमाणपत्र अनुरोधहरू उत्पन्न गर्न अनुमति दियो:

कर्मचारीहरूले मलाई ईमेल मार्फत सुरक्षित अनुरोधहरू पठाए। कसैले सोध्न सक्छ: - व्यक्तिगत डाटाको बारेमा के हो, तर यदि तपाइँ नजिकबाट हेर्नुभयो भने, यो अनुरोधमा छैन। र अनुरोध आफै यसको हस्ताक्षर द्वारा सुरक्षित छ।

प्राप्त भएपछि, प्रमाणपत्र अनुरोध CAFL63 CA डाटाबेसमा आयात गरिन्छ:

त्यसपछि अनुरोध अस्वीकार वा स्वीकृत हुनुपर्छ। अनुरोध विचार गर्न, तपाईंले यसलाई चयन गर्न आवश्यक छ, दायाँ क्लिक गर्नुहोस् र ड्रप-डाउन मेनुबाट "निर्णय गर्नुहोस्" चयन गर्नुहोस्:

निर्णय प्रक्रिया आफैमा पूर्ण पारदर्शी छ:

प्रमाणपत्र उस्तै तरिकाले जारी गरिएको छ, केवल मेनु वस्तुलाई "इस्यू प्रमाणपत्र" भनिन्छ:

जारी गरिएको प्रमाणपत्र हेर्नको लागि, तपाइँ सन्दर्भ मेनु प्रयोग गर्न सक्नुहुन्छ वा केवल सम्बन्धित रेखामा डबल क्लिक गर्नुहोस्:

अब सामग्री openssl (OpenSSL Text ट्याब) र CAFL63 एप्लिकेसन (सर्टिफिकेट टेक्स्ट ट्याब) को बिल्ट-इन दर्शक दुवै मार्फत हेर्न सकिन्छ। पछिल्लो अवस्थामा, तपाइँ पाठ फारममा प्रमाणपत्र प्रतिलिपि गर्न सन्दर्भ मेनु प्रयोग गर्न सक्नुहुन्छ, पहिले क्लिपबोर्डमा, र त्यसपछि फाइलमा।

यहाँ यो ध्यान दिनुपर्छ कि CAFL63 मा पहिलो संस्करणको तुलनामा के परिवर्तन भएको छ? प्रमाणपत्रहरू हेर्नको लागि, हामीले यसलाई पहिले नै नोट गरिसकेका छौं। वस्तुहरूको समूह (प्रमाणपत्रहरू, अनुरोधहरू, CRLs) चयन गर्न र तिनीहरूलाई पृष्ठिङ मोडमा हेर्न पनि सम्भव भएको छ ("चयन गरिएको हेर्नुहोस् ..." बटन)।

सम्भवतः सबैभन्दा महत्त्वपूर्ण कुरा यो हो कि परियोजना स्वतन्त्र रूपमा उपलब्ध छ github। लिनक्सको लागि वितरणको अतिरिक्त, Windows र OS X को लागि वितरणहरू तयार गरिएको छ। एन्ड्रोइडको लागि वितरण केही समय पछि पोस्ट गरिनेछ।

CAFL63 अनुप्रयोगको अघिल्लो संस्करणको तुलनामा, इन्टरफेस मात्र परिवर्तन भएको छैन, तर पहिले नै उल्लेख गरिए अनुसार, नयाँ सुविधाहरू थपिएका छन्। उदाहरण को लागी, अनुप्रयोग विवरण सहितको पृष्ठ पुन: डिजाइन गरिएको छ र वितरण डाउनलोड गर्न प्रत्यक्ष लिङ्कहरू थपिएको छ:

धेरैले सोधेका छन् र अझै पनि GOST openssl कहाँ पाउने भनेर सोधिरहेका छन्। परम्परागत रूपमा म दिन्छु लिङ्क, कृपया प्रदान गरिएको छ garex। यो openssl कसरी प्रयोग गर्ने भनेर लेखिएको छ यहाँ.
तर अब वितरण किटहरूमा रूसी क्रिप्टोग्राफीको साथ openssl को परीक्षण संस्करण समावेश छ।

तसर्थ, CA सेटअप गर्दा, तपाईले लिनक्सको लागि /tmp/lirssl_static वा Windows को लागि $::env(TEMP)/lirssl_static.exe लाई openssl प्रयोग गरी निर्दिष्ट गर्न सक्नुहुन्छ:

यस अवस्थामा, तपाईंले एउटा खाली lirssl.cnf फाइल सिर्जना गर्न आवश्यक छ र वातावरण चल LIRSSL_CONF मा यो फाइलको मार्ग निर्दिष्ट गर्नुहोस्:

प्रमाणपत्र सेटिङहरूमा "विस्तारहरू" ट्याबलाई "अधिकार जानकारी पहुँच" फिल्डसँग पूरक गरिएको छ, जहाँ तपाइँ CA मूल प्रमाणपत्र र OCSP सर्भरमा पहुँच बिन्दुहरू सेट गर्न सक्नुहुन्छ:

CAs ले आवेदकहरूबाट उत्पन्न गरिएका अनुरोधहरू (PKCS#10) स्वीकार गर्दैनन् वा अझ नराम्रो कुरा, केही CSP मार्फत क्यारियरमा प्रमुख जोडीको उत्पादनका साथ अनुरोधहरू गठन गर्न बाध्य पार्छन् भन्ने कुरा हामी प्रायः सुन्छौं। र तिनीहरूले PKCS#2.0 इन्टरफेस मार्फत पुन: प्राप्त गर्न नमिल्ने कुञ्जी (एउटै RuToken EDS-11 मा) सँग टोकनहरूमा अनुरोधहरू उत्पन्न गर्न अस्वीकार गर्छन्। तसर्थ, PKCS#63 टोकनहरूको क्रिप्टोग्राफिक मेकानिजमहरू प्रयोग गरेर CAFL11 अनुप्रयोगको कार्यक्षमतामा अनुरोध उत्पादन थप्ने निर्णय गरियो। टोकन संयन्त्र सक्षम गर्न, प्याकेज प्रयोग गरिएको थियो TclPKCS11। CA मा अनुरोध सिर्जना गर्दा (पृष्ठ "प्रमाणपत्रका लागि अनुरोधहरू", प्रकार्य "अनुरोध सिर्जना गर्नुहोस्/CSR") तपाइँ अब कुञ्जी जोडी कसरी उत्पन्न हुन्छ (ओपनएसएसएल प्रयोग गरेर वा टोकनमा) छनौट गर्न सक्नुहुन्छ र अनुरोधमा हस्ताक्षर हुनेछ:

टोकनसँग काम गर्न आवश्यक पुस्तकालय प्रमाणपत्रको लागि सेटिङहरूमा निर्दिष्ट गरिएको छ:

तर हामीले कर्मचारीहरूलाई कर्पोरेट VPN नेटवर्कमा सेल्फ आइसोलेसन मोडमा काम गर्न प्रमाणपत्रहरू उपलब्ध गराउने मुख्य कार्यबाट विचलित भएका छौं। कतिपय कर्मचारीसँग टोकन नभएको पाइएको छ । उनीहरूलाई PKCS#12 सुरक्षित कन्टेनरहरू उपलब्ध गराउने निर्णय गरियो, किनकि CAFL63 अनुप्रयोगले यसलाई अनुमति दिन्छ। पहिले, त्यस्ता कर्मचारीहरूका लागि हामीले CIPF प्रकार "OpenSSL" जनाउने PKCS#10 अनुरोधहरू गर्छौं, त्यसपछि हामी प्रमाणपत्र जारी गर्छौं र PKCS12 मा प्याकेज गर्छौं। यो गर्नको लागि, "प्रमाणपत्रहरू" पृष्ठमा, इच्छित प्रमाणपत्र चयन गर्नुहोस्, राइट-क्लिक गर्नुहोस् र "PKCS#12 मा निर्यात गर्नुहोस्" चयन गर्नुहोस्:

सबै कुरा कन्टेनरसँग मिल्दोजुल्दो छ भनी सुनिश्चित गर्न, क्रिप्टोआरम्पकेसीएस उपयोगिता प्रयोग गरौं:

तपाईंले अब कर्मचारीहरूलाई जारी प्रमाणपत्रहरू पठाउन सक्नुहुन्छ। केही व्यक्तिहरूलाई प्रमाणपत्रहरू (यी टोकन मालिकहरू, अनुरोधहरू पठाउनेहरू) वा PKCS#12 कन्टेनरहरूका साथ फाइलहरू पठाइन्छ। दोस्रो अवस्थामा, प्रत्येक कर्मचारीलाई फोनमा कन्टेनरमा पासवर्ड दिइएको छ। यी कर्मचारीहरूले कन्टेनरको बाटो सही रूपमा निर्दिष्ट गरेर VPN कन्फिगरेसन फाइल सच्याउन आवश्यक छ।

टोकन मालिकहरूको लागि, तिनीहरूले पनि आफ्नो टोकनको लागि प्रमाणपत्र आयात गर्न आवश्यक छ। यो गर्नको लागि, तिनीहरूले उही क्रिप्टोआरम्पकेक्स उपयोगिता प्रयोग गरे:

अब त्यहाँ VPN कन्फिगरेसनमा न्यूनतम परिवर्तनहरू छन् (टोकनमा प्रमाणपत्र लेबल परिवर्तन भएको हुन सक्छ) र यो हो, कर्पोरेट VPN नेटवर्क कार्य क्रममा छ।

सुखद अन्त्य

र त्यसपछि मलाई थाहा भयो, किन मानिसहरूले मलाई टोकनहरू ल्याउछन् वा मैले तिनीहरूका लागि मेसेन्जर पठाउनुपर्छ। र म निम्न सामग्रीको साथ एक पत्र पठाउँछु:

जवाफ अर्को दिन आउँछ:

म तुरुन्तै cryptoarmpkcs उपयोगितामा लिङ्क पठाउँछु:

प्रमाणपत्र अनुरोधहरू सिर्जना गर्नु अघि, मैले उनीहरूलाई टोकनहरू खाली गर्न सिफारिस गरें:

त्यसपछि PKCS#10 ढाँचामा प्रमाणपत्रहरूको लागि अनुरोधहरू इमेलद्वारा पठाइयो र मैले प्रमाणपत्रहरू जारी गरें, जुन मैले पठाएको छु:

र त्यसपछि एक सुखद क्षण आयो:

र त्यहाँ यो पत्र पनि थियो:

र त्यसपछि यो लेख जन्म भएको थियो।

लिनक्स र एमएस विन्डोज प्लेटफर्महरूको लागि CAFL63 अनुप्रयोगको वितरण फेला पार्न सकिन्छ

यहाँ

• लिनक्स ४
• लिनक्स ४
• WIN32
• WIN64
• ओएस एक्स

एन्ड्रोइड प्लेटफर्म सहित cryptoarmpkcs उपयोगिताको वितरणहरू अवस्थित छन्

यहाँ

• लिनक्स ४
• लिनक्स ४
• WIN32
• WIN64
• ओएस एक्स
• Android

स्रोत: www.habr.com