Erfarenhet av att använda Rutoken-teknologin för registrering och autentisering av användare i systemet (del 3)

God dag!

I den föregående delen Vi har framgångsrikt skapat vårt certifikatutfärdande centrum. Hur kan det egentligen vara till nytta för våra syften?

Med hjälp av det lokala certifikatutfärdande centret kan vi utfärda certifikat samt verifiera signaturer på dessa certifikat.

Vid utfärdandet av ett certifikat använder certifikatutfärdande centrum en speciell begäran om certifikatutfärdande PKCS#10, som har formatet ‘.csr’. Denna begäran innehåller en kodad sekvens som certifikatutfärdande centrum vet hur man korrekt analyserar. Begäran innehåller både användarens offentliga nyckel och data för att skapa certifikatet (ett associerat array med användardata).

Hur man får en begäran om certifikatutfärdande, kommer vi att titta på i nästa artikel, men i denna artikel vill jag ge de grundläggande kommandona för certifikatutfärdande centrum som hjälper oss att utföra vår uppgift på backend-sidan.

Så, först måste vi skapa certifikatet. För detta använder vi kommandot:

openssl ca -batch -in user.csr -out user.crt

ca — kommandot openSSL som hänvisar till certifikatutfärdande centrum,
-batch — avbryter bekräftelsebegäran vid certifikatgenerering.
user.csr — begäran om certifikatutfärdande (fil av formatet .csr).
user.crt — certifikat (resultatet av kommandot).

För att detta kommando ska fungera måste certifikatutfärdande centrum vara konfigurerat exakt som beskrivits i föregående del av artikeln. Om inte, måste man ytterligare ange platsen för rotcertifikatet för certifikatutfärdande centrum.

Kommandot för verifiering av certifikat:

openssl cms -verify -in authenticate.cms -inform PEM -CAfile /Users/……/demoCA/ca.crt -out data.file

cms — kommandot openSSL som används för signering, verifiering, kryptering av data och andra kryptografiska operationer med openSSL.

-verify — i detta fall utför vi verifieringen av certifikatet.

authenticate.cms — filen som innehåller de signerade data som certifikatet som utfärdats av föregående kommando.

-inform PEM — används för PEM-format.

-CAfile /Users/……/demoCA/ca.crt — vägen till rotcertifikatet. (utan detta fungerade inte mitt kommando, trots att vägarna till ca.crt är angivna i filen openssl.cfg)

-out data.file — avkrypterade data skickar jag till filen data.file.

Algoritmen för att använda certifikatutfärdande centrum på backend-sidan är följande:

• Registrering av användare:
  1. Vi får en begäran om att skapa ett certifikat och sparar det i filen user.csr.
  2. Vi sparar den första kommandot från denna artikel i en fil med filändelsen .bat eller .cmd. Vi kör denna fil från koden, efter att ha sparat begäran om att skapa certifikatet i filen user.csr. Vi får filen med certifikatet user.crt.
  3. Vi läser filen user.crt och skickar den till klienten.

• Användarautentisering:
  1. Vi får de signerade uppgifterna från klienten och sparar dem i filen authenticate.cms.
  2. Vi sparar den andra kommandot från denna artikel i en fil med filändelsen .bat eller .cmd. Vi kör denna fil från koden, efter att ha sparat de signerade uppgifterna från servern i authenticate.cms. Vi får filen med avkrypterade uppgifter data.file.
  3. Vi läser data.file och kontrollerar dessa uppgifter för giltighet. Vad som exakt ska kontrolleras beskrivs i den första artikeln. Om uppgifterna är giltiga anses användarautentiseringen vara framgångsrik.

För att implementera dessa algoritmer kan vilket programmeringsspråk som helst som används för att skriva backend användas.

I nästa artikel kommer vi att gå igenom hur man arbetar med Retoken-plugin.

Tack för uppmärksamheten!

Källa: habr.com