Erfarenhet av att använda RUTOKEN-teknologin för registrering och autentisering av användare i systemet (del 2)

God dag! Låt oss fortsätta att utforska detta ämne (den föregående delen kan du läsa här).

Idag går vi vidare till den praktiska delen. Vi börjar med att ställa in vårt eget certifikatutfärdande center baserat på det fullständiga kryptografiska biblioteket openSSL med öppen källkod. Denna algoritm har testats med Windows 7.

När vi har installerat openSSL kan vi utföra olika kryptografiska operationer (till exempel skapa nycklar och certifikat) via kommandoraden.

Stegen är som följer:

1. Ladda ner installationspaketet openssl-1.1.1g.
   Det finns olika versioner av openSSL. I dokumentationen för RookToken nämndes att version 1.1.0 eller nyare av openSSL krävs. Jag använde version openssl-1.1.1g. Du kan ladda ner openSSL från den officiella webbplatsen, men för att förenkla installationen är det nödvändigt att hitta installationsfilen för Windows på nätet. Jag har gjort detta åt dig: slproweb.com/products/Win32OpenSSL.html
   Du behöver bläddra ner sidan och ladda ner Win64 OpenSSL v1.1.1g EXE 63MB Installer.
2. Installera openssl-1.1.1g på datorn.
   Installationen bör genomföras enligt standardvägen som automatiskt anges i mappen C:Program Files. Programmet installeras i mappen OpenSSL-Win64.
3. För att konfigurera openSSL så som du behöver finns det en fil som heter openssl.cfg. Denna fil finns på vägen C:Program FilesOpenSSL-Win64bin om du har installerat openSSL som angivet i föregående punkt. Navigera till mappen där openssl.cfg ligger och öppna den med exempelvis Notepad++.
4. Du har säkert gissat att inställningen av certifikatutfärdande centret kommer att göras genom att ändra innehållet i filen openssl.cfg, och det har du helt rätt i. För detta krävs att kommandot [ ca ] konfigureras. I filen openssl.cfg kan du hitta början av texten där vi ska göra ändringar som: [ ca ].
5. Nu kommer jag att ge ett exempel på inställningen med beskrivning:

   [ ca ]
   default_ca	= CA_default		
   
    [ CA_default ]
   dir		= /Users/username/bin/openSSLca/demoCA		 
   certs		= $dir/certs		
   crl_dir		= $dir/crl		
   database	= $dir/index.txt	
   new_certs_dir	= $dir/newcerts	
   certificate	= $dir/ca.crt 	
   serial		= $dir/private/serial 		
   crlnumber	= $dir/crlnumber	
   					
   crl		= $dir/crl.pem 		
   private_key	= $dir/private/ca.key
   x509_extensions	= usr_cert
   

   Nu är det nödvändigt att skapa en katalog demoCA och underkataloger, som visas i exemplet ovan. Och placera i denna katalog på den angivna vägen i dir (i mitt fall /Users/username/bin/openSSLca/demoCA).

   Det är mycket viktigt att korrekt ange dir – det är sökvägen till katalogen där vår certifieringsmyndighet kommer att befinna sig. Denna katalog måste nödvändigtvis ligga i /Users (det vill säga i en användares konto). Om du placerar denna katalog till exempel i C:Program Files, kommer systemet inte att känna igen filen med inställningarna openssl.cfg (åtminstone var det så för mig).

   $dir – här sätts sökvägen som anges i dir.

   Ytterligare en viktig punkt är att skapa en tom fil index.txt, utan denna fil kommer kommandon som «openSSL ca …» inte att fungera.

   Det är också nödvändigt att ha en fil serial, en rotprivat nyckel (ca.key), en rotcertifikat (ca.crt). Processen för att få dessa filer kommer att beskrivas längre fram.

6. Vi ansluter krypteringsalgoritmerna som tillhandahålls av Rutoken.
   Denna anslutning sker i filen openssl.cfg.
   • Först och främst behöver vi ladda ner de nödvändiga algoritmerna från Rutoken. Det är filerna rtengine.dll, rtpkcs11ecp.dll.
     För att göra detta laddar vi ner Rutoken SDK: www.rutoken.ru/developers/sdk.

     Rutoken SDK – det är allt som finns för utvecklare som vill prova Rutoken. Där finns både särskilda exempel för arbete med Rutoken på olika programmeringsspråk och några bibliotek. Våra bibliotek rtengine.dll och rtpkcs11ecp.dll finns i Rutoken sdk på följande platser:

     sdk/openssl/rtengine/bin/windows-x86_64/lib/rtengine.dll
     sdk/pkcs11/lib/windows-x86_64/rtpkcs11ecp.dll

     En mycket viktig punkt. Biblioteken rtengine.dll, rtpkcs11ecp.dll fungerar inte utan installerad drivrutin för Rutoken. Rutoken måste också vara ansluten till datorn. (se installationen av allt som behövs för Rutoken i den föregående delen av artikeln habr.com/ru/post/506450)

   • Biblioteken rtengine.dll och rtpkcs11ecp.dll kan placeras var som helst i användarens konto.
   • Vi anger sökvägarna till dessa bibliotek i openssl.cfg. För detta öppnar vi filen openssl.cfg, i början av denna fil måste vi placera raden:

     openssl_conf = openssl_def

     I slutet av filen måste vi lägga till:

     [ openssl_def ]
     engines = engine_section
     [ engine_section ]
     rtengine = gost_section
     [ gost_section ]
     dynamic_path = /Users/username/bin/sdk-rutoken/openssl/rtengine/bin/windows-x86_64/lib/rtengine.dll
     MODULE_PATH = /Users/username/bin/sdk-rutoken/pkcs11/lib/windows-x86_64/rtpkcs11ecp.dll
     RAND_TOKEN = pkcs11:manufacturer=AktivCo.;model=RutokenECP
     default_algorithms = CIPHERS, DIGEST, PKEY, RAND
     

     dynamic_path – det är nödvändigt att ange din egen sökväg till biblioteket rtengine.dll.
     MODULE_PATH – det är nödvändigt att ange din egen sökväg till biblioteket rtpkcs11ecp.dll.

7. Vi lägger till miljövariabler.

   Det är nödvändigt att lägga till en miljövariabel som anger sökvägen till konfigurationsfilen openssl.cfg. I mitt fall skapades variabeln OPENSSL_CONF med sökvägen C:Program FilesOpenSSL-Win64binopenssl.cfg.

   I path-variabeln måste sökvägen till mappen där openssl.exe finns anges, i mitt fall: C:Program FilesOpenSSL-Win64bin.

8. Nu kan vi gå tillbaka till punkt 5 och skapa de saknade filerna för katalogen demoCA.
   1. Den första viktiga filen utan vilken inget kommer att fungera är serial. Detta är en fil utan filtillägg, vars värde ska vara 01. Du kan skapa denna fil själv och skriva in 01. Den kan också laddas ner från RUTOKEN SDK på sökvägen sdk/openssl/rtengine/samples/tool/demoCA/.
      I katalogen demoCA finns filen serial, som vi behöver.
   2. Vi skapar den rotprivata nyckeln.
      För detta kommer vi att använda kommandot från openSSL-biblioteket, som måste köras direkt i kommandoraden:

      openssl genpkey -algorithm gost2012_256 -pkeyopt paramset:A -out ca.key

   3. Vi skapar det rotcertifikatet.
      För detta kommer vi att använda följande kommando från openSSL-biblioteket:

      openssl req -utf8 -x509 -key ca.key -out ca.crt

      Observera att för att skapa rotcertifikatet krävs den rotprivata nyckeln som skapades i föregående steg. Därför måste kommandoraden köras i samma katalog.

   Nu finns alla saknade filer för att helt konfigurera katalogen demoCA. Placera de skapade filerna i de kataloger som angivits i punkt 5.

Vi kommer att anse att vårt certifikatmyndighet är helt konfigurerad efter att ha utfört alla 8 punkter.

I nästa del kommer jag att berätta hur vi ska arbeta med certifikatmyndigheten för att utföra det som beskrevs i den föregående delen av artikeln.

Källa: habr.com