Искуство у коришћењу Рутокен технологије за регистрацију и ауторизацију корисника у систему (1. део)

Добар дан Желим да поделим своје искуство на ову тему.

Рутокен је хардверска и софтверска решења у области аутентификације, безбедности информација и електронског потписа. У суштини, ово је флеш диск који може да чува податке о аутентификацији које корисник користи за пријаву на систем.

У овом примеру се користи Рутокен ЕДС 2.0.

Да бисте радили са овим Рутокеном, потребан вам је инсталирати драјвер на Виндовс.

За Виндовс, инсталирање само једног драјвера осигурава да је све што је потребно инсталирано тако да ОС види ваш Рутокен и може да ради са њим.

Можете комуницирати са Рутокеном на различите начине. Можете му приступити са серверске стране апликације или директно са стране клијента. Овај пример ће размотрити интеракцију са Рутокеном са стране клијента апликације.

Клијентски део апликације комуницира са рутокеном преко рутокен додатка. Ово је програм који се засебно инсталира на сваком претраживачу. За Виндовс само треба да преузмете и инсталирате додатак, налази се на овом линку.

То је то, сада можемо да комуницирамо са Рутокеном са стране клијента апликације.

Овај пример говори о идеји имплементације алгоритма ауторизације корисника у систем користећи шему изазов-одговор.

Суштина идеје је следећа:

1. Клијент шаље захтев за ауторизацију серверу.
2. Сервер одговара на захтев клијента тако што шаље насумични низ.
3. Клијент попуњава овај низ насумичних 32 бита.
4. Клијент потписује примљени низ својим сертификатом.
5. Клијент шаље примљену шифровану поруку серверу.
6. Сервер верификује потпис примањем оригиналне нешифроване поруке.
7. Сервер уклања последња 32 бита из примљене нешифроване поруке.
8. Сервер упоређује примљени резултат са поруком која је послата приликом захтева за ауторизацију.
9. Ако су поруке исте, онда се ауторизација сматра успешном.

У горњем алгоритму постоји таква ствар као сертификат. За овај пример, морате разумети неку криптографску теорију. На Хабреу постоји одличан чланак на ову тему.

У овом примеру користићемо асиметричне алгоритме шифровања. Да бисте имплементирали асиметричне алгоритме, морате имати пар кључева и сертификат.

Пар кључева се састоји од два дела: приватног кључа и јавног кључа. Приватни кључ, као што му име каже, мора бити тајан. Користимо га за дешифровање информација. Јавни кључ се може дистрибуирати било коме. Овај кључ се користи за шифровање података. Дакле, сваки корисник може да шифрује податке користећи јавни кључ, али само власник приватног кључа може да дешифрује ову информацију.

Сертификат је електронски документ који садржи податке о кориснику који поседује сертификат, као и јавни кључ. Са сертификатом корисник може да потпише било које податке и пошаље их на сервер, који може да провери потпис и дешифрује податке.

Да бисте исправно потписали поруку са сертификатом, потребно је да је правилно креирате. Да бисте то урадили, прво се креира пар кључева на Рутокену, а затим сертификат мора бити повезан са јавним кључем овог пара кључева. Сертификат мора имати тачно јавни кључ који се налази на Рутокену, ово је важно. Ако једноставно креирамо пар кључева и сертификат одмах на страни клијента апликације, како онда сервер може дешифровати ову шифровану поруку? На крају крајева, он не зна ништа ни о пару кључева ни о сертификату.

Ако дубље зароните у ову тему, можете пронаћи занимљиве информације на Интернету. Постоје одређени ауторитети за сертификацију којима очигледно верујемо. Ови ауторитети за сертификацију могу да издају сертификате корисницима; они инсталирају те сертификате на свој сервер. Након тога, када клијент приступи овом серверу, види управо овај сертификат и види да га је издао ауторитет за сертификацију, што значи да се овом серверу може веровати. Такође на Интернету има доста информација о томе како све правилно подесити. На пример, можете почети са овим.

Ако се вратимо на наш проблем, решење изгледа очигледно. Морате некако да направите сопствени центар за сертификацију. Али пре тога треба да схватите на основу чега би сертификациони центар требало да изда сертификат кориснику, јер он о томе не зна ништа. (На пример, његово име, презиме, итд.) Постоји тако нешто што се зове захтев за сертификат. Више информација о овом стандарду може се наћи, на пример, на Википедији ру.википедиа.орг/вики/ПКЦС
Користићемо верзију 1.7 - ПКЦС#10.

Хајде да опишемо алгоритам за генерисање сертификата на Рутокену (оригинални извор: документацију):

1. Креирамо пар кључева на клијенту и чувамо га на Рутокену. (чување се дешава аутоматски)
2. Креирамо захтев за сертификат на клијенту.
3. Од клијента шаљемо овај захтев серверу.
4. Када примимо захтев за сертификат на серверу, издајемо сертификат од нашег ауторитета за сертификацију.
5. Овај сертификат шаљемо клијенту.
6. Чувамо Рутокен сертификат на клијенту.
7. Сертификат мора бити везан за пар кључева који је креиран у првом кораку.

Сада постаје јасно како ће сервер моћи да дешифрује потпис клијента, пошто му је сам издао сертификат.

У следећем делу ћемо детаљније погледати како да подесите свој ауторитет за сертификате на основу пуноправне библиотеке криптографије отвореног кода опенССЛ.

Извор: ввв.хабр.цом