Ключевое слово в защите информации
КЛЮЧЕВОЕ СЛОВО
в защите информации
Получить ГОСТ TLS-сертификат для домена (SSL-сертификат)
Добро пожаловать, Гость! Чтобы использовать все возможности Вход или Регистрация.

Уведомление

Icon
Error

Опции
К последнему сообщению К первому непрочитанному
Offline serpentcross  
#1 Оставлено : 6 ноября 2015 г. 17:58:41(UTC)
serpentcross

Статус: Новичок

Группы: Участники
Зарегистрирован: 06.11.2015(UTC)
Сообщений: 6
Российская Федерация
Откуда: Москва

Добрый день уважаемые форумчане.

Я являюсь java-разработчиком. Разработал для своей компании некую платформу в виде java web-приложения.
Далее в ТЗ поступило, реализовать кнопку - войти по ЭЦП.

Перелопатил гору ссылок и море документации. С каждым новым прочитанным мануалом - становится только ещё сумбурнее.
Я если честно уже голову сломал, что тут к чему: есть плагин для браузера, есть РуТокен, есть какие то сертификаты, есть ключи, контейнеры блабла...
Вообщем каша в голове дикая, ничего не понимаю.

Ну хорошо, я попытался максимально абстрагировать, то мне нужно для работы:

1) Кнопка, которая будет вызвать некий метод, который будет обращаться на сервер Tomcat;

2) Сервер Tomcat, который будет являться хранилищем сертификатов;

3) Флеш-носители с ключами (Или ЭЦП, не знаю как правильно);

Если я где то не прав, поправьте меня пожалуйста.

Я сделал следующее -

- настроил виртуальную машину под Centos OS 6.7 64 bit;
- установил jdk7_21.x86_64;
- установил по инструкции: jcp.1.0.54 и jtls.1.0.54
- скопировал куда нужно файлы jce_policy-6.zip;
- установил CryptoPro плагин для браузера Firefox;

далее из этого мануала - https://www.cryptopro.ru...t.aspx?g=posts&t=877

совсем не понятно:

Что такое "C:\store.store" ? А если у меня линукс, а не Windows, как быть?
Цитата:
keystoreFile="C:\store.store"
keystorePass="123"


Как тоже самое сделать под Linux ? Или это вообще не нужно?
Цитата:
2) настраиваем tomcat под свою учетную запись
(Панель управления -> Администрирование -> Службы и приложения -> Службы -> Apache Tomcat свойства -> вход в систему: с учетной записью (указать имя и пароль))
или следуем инструкциям в руководстве.


Как быть дальше? В правильном ли я направлении двигаюсь?

Помогите пожалуйста!
Offline Евгений Афанасьев  
#2 Оставлено : 6 ноября 2015 г. 19:47:35(UTC)
Евгений Афанасьев

Статус: Сотрудник

Группы: Участники
Зарегистрирован: 06.12.2008(UTC)
Сообщений: 3,927
Российская Федерация
Откуда: Крипто-Про

Сказал(а) «Спасибо»: 20 раз
Поблагодарили: 691 раз в 652 постах
Здравствуйте.

Автор: serpentcross Перейти к цитате

Что такое "C:\store.store" ? А если у меня линукс, а не Windows, как быть?
keystoreFile="C:\store.store"
keystorePass="123"


Аналогично, /home/<user>/store.store
store.store - хранилище доверенных корневых сертификатов. Список subject сертификатов будет передаваться клиенту для выбора им правильного сертификата, если на сервере настроена клиентская аутентификация. Имя файла неважно. Создается хранилище в панели JCP с добавлением в него сертификатов или программно.

Автор: serpentcross Перейти к цитате

Как тоже самое сделать под Linux ? Или это вообще не нужно?
2) настраиваем tomcat под свою учетную запись
(Панель управления -> Администрирование -> Службы и приложения -> Службы -> Apache Tomcat свойства -> вход в систему: с учетной записью (указать имя и пароль))
или следуем инструкциям в руководстве.

Для линукса эта настройка опускается. Вообще она нужна, т.к. генерация/установка контейнера происходит под управлением какой-то учетной записи в папку пользователя, потому важен доступ к ключевому контейнеру для сервера в эту папку, т.е. сервер должен работать под нужным пользователем.

Все остальное верно, следуйте инструкции, смотрите руководство по настройке JTLS (в папке Doc дистрибутива).


Offline serpentcross  
#3 Оставлено : 7 ноября 2015 г. 0:06:05(UTC)
serpentcross

Статус: Новичок

Группы: Участники
Зарегистрирован: 06.11.2015(UTC)
Сообщений: 6
Российская Федерация
Откуда: Москва

ок. с этим понятно. у меня следующая проблема, через интерфейс JCP я создаю хранилище на жестком диске. на выходе после этого получается файл с соделжимым
НАЧАЛО СЕРТИФИКАТА

djehsjsusidjdjdidjjdfjfj

КОНЕЦ СЕРТИФИКАТА

Я беру, копирую эту последовательность из середины, вставляю это на сайт криптопро и получаю сертификат .pem

Скачиваю этот файл, загружаю в JCP, пытаюсь задать пароль сертификату и мне пишется : IO Error! Unable to create storage!

не знаю большая это проблема или нет.


И еще я так и не понял - если у меня будет кнопка на сайте, зачем мне нужен свой tomcat?

К нему будет обращаться обработчик событий моей кнопки и томкат будет далее общаться с удостоверяющим центром или как?

Прошу прощения если горожу бред, но пока я реально нуб))
Offline serpentcross  
#4 Оставлено : 9 ноября 2015 г. 10:03:17(UTC)
serpentcross

Статус: Новичок

Группы: Участники
Зарегистрирован: 06.11.2015(UTC)
Сообщений: 6
Российская Федерация
Откуда: Москва

Тут кто-нибудь есть? Проблема всё ещё актуальна!
Offline Евгений Афанасьев  
#5 Оставлено : 9 ноября 2015 г. 11:45:49(UTC)
Евгений Афанасьев

Статус: Сотрудник

Группы: Участники
Зарегистрирован: 06.12.2008(UTC)
Сообщений: 3,927
Российская Федерация
Откуда: Крипто-Про

Сказал(а) «Спасибо»: 20 раз
Поблагодарили: 691 раз в 652 постах
Автор: serpentcross Перейти к цитате
ок. с этим понятно. у меня следующая проблема, через интерфейс JCP я создаю хранилище на жестком диске. на выходе после этого получается файл с соделжимым
НАЧАЛО СЕРТИФИКАТА

djehsjsusidjdjdidjjdfjfj

КОНЕЦ СЕРТИФИКАТА

Я беру, копирую эту последовательность из середины, вставляю это на сайт криптопро и получаю сертификат .pem

Скачиваю этот файл, загружаю в JCP, пытаюсь задать пароль сертификату и мне пишется : IO Error! Unable to create storage!

не знаю большая это проблема или нет.

Вы добавляете сертификат в контейнер или trus store? Формат der у сертификата?

Автор: serpentcross Перейти к цитате

И еще я так и не понял - если у меня будет кнопка на сайте, зачем мне нужен свой tomcat?

Не знаю, вам нужно определиться с требованиями к системе.

Автор: serpentcross Перейти к цитате

К нему будет обращаться обработчик событий моей кнопки и томкат будет далее общаться с удостоверяющим центром или как?

Не знаю, вам нужно определиться с требованиями к системе. По идее, ваш обработчик может сам обращаться, куда нужно, как java-клиент, зачем в этом случае томкат - сложно сказать. Томкат - это сервер приложений, сам он никуда не обращается.

Offline serpentcross  
#6 Оставлено : 9 ноября 2015 г. 12:31:58(UTC)
serpentcross

Статус: Новичок

Группы: Участники
Зарегистрирован: 06.11.2015(UTC)
Сообщений: 6
Российская Федерация
Откуда: Москва

Вот что я пытаюсь сделать.

1) На вкладке Ключи и сертификаты создаю новое HDImageStore

Задаю имя, ставлю пароль, выбираю Client Authentication (Я кстати даже не знаю что это такое и зачем)

screen2.png (36kb) загружен 5 раз(а).

2) Далее система мне указывает какие то параметры справа вверху и просит выбрать конфигурацию.
Выбираю BASE64.

screen4.png (33kb) загружен 5 раз(а).

3) Далее я сохраняю файл vladimir на диск по пути /tmp/str

screen5.png (41kb) загружен 6 раз(а).

4) Что делать дальше? Нужно получатт сертификат или как? Пытаюсь создать хранилище сертификатов, выбирая через опцию ниже свежесозданный файл vladimir, получаю ошибку

screen.png (46kb) загружен 3 раз(а).

Я полностью запутан, я не понимаю например - нужно ли мне создавать это хранилище опцией ниже?

В чём разница между client authentication и server authentication?

Так же пробовал брать содержимое файла vladimir, вставлял по ссылке на http://cryptopro.ru/certsrv/certrqxt.asp, выбирал BASE64.
Мне система выдавала файл *.pem. Его тоже пытался импортировать и та же IO Error.

Ничего вообще не понимаю =((
Offline serpentcross  
#7 Оставлено : 9 ноября 2015 г. 12:42:45(UTC)
serpentcross

Статус: Новичок

Группы: Участники
Зарегистрирован: 06.11.2015(UTC)
Сообщений: 6
Российская Федерация
Откуда: Москва

Может поступим проще?
У меня есть задача - создать кнопку войти по ЭЦП.

Задача считается выполненой, если исполняется следующий алгоритм:

Цитата:
1) Пользователь заходит в веб-приложение.
2) Вставляет в компьютер флэшку с ЭЦП.
3) Нажимает на кнопку - "Войти по ЭЦП".
4) Система аутентифицирует пользователя и пропускает его на дальнейшие страницы.


Мой вопрос, что для этого нужно? Я не прошу для меня писать код или сложного описания настроек.

Пожалуйста, напишите хотя бы схематичный список шагов, которые для этого нужно проделать.

Например:

Цитата:
1) Установить плагин CryptoPro для браузера
2) Создать ключи и хранилище
3) Получить сертификат..
4) Настроить сервер
5) ...



Заранее благодарен. Жду помощи!
Offline Евгений Афанасьев  
#8 Оставлено : 9 ноября 2015 г. 13:49:33(UTC)
Евгений Афанасьев

Статус: Сотрудник

Группы: Участники
Зарегистрирован: 06.12.2008(UTC)
Сообщений: 3,927
Российская Федерация
Откуда: Крипто-Про

Сказал(а) «Спасибо»: 20 раз
Поблагодарили: 691 раз в 652 постах
По первому сообщению:
client или server authentication определяет клиентскую или серверную политику использования сертификата. Например, при использовании в tomcat требуется server authentication. Тот файл, что вы сохраняете после генерации в base64 - это запрос на сертификат, который нужно передать в УЦ и получить там сертификат (например, в https://www.cryptopro.ru/certsrv/certrqxt.asp) и установить его в контейнер. В trust store надо класть корневые сертификаты, не клиентские (или серверные), тем более не запросы. Обратитесь к руководству программиста JTLS в дистрибутиве JCP.
По второму сообщению:
флешка и т.п. с контейнерами находятся на машине клиента, как и его JCP в его JRE. Ваше приложение, опубликованное на сервере, сможет получить к ним доступ? Если не ошибаюсь, код выполняется на сервере, т.е. доступа к ресурсам машина клиента нет. Передавать же ключи (не сертификаты) по сети запрещено правилами безопасности.
Offline serpentcross  
#9 Оставлено : 9 ноября 2015 г. 13:52:20(UTC)
serpentcross

Статус: Новичок

Группы: Участники
Зарегистрирован: 06.11.2015(UTC)
Сообщений: 6
Российская Федерация
Откуда: Москва

Цитата:
Ваше приложение, опубликованное на сервере, сможет получить к ним доступ?


Если такое в природе возможно, то да. Так и должно быть.

Вы можете мне указать схематические шаги, которые мне нужно проделать?

p.s.

Почему я не могу создать хранилище сертификатов? Может я что-то не то выбираю?
RSS Лента  Atom Лента
Пользователи, просматривающие эту тему
Guest
Быстрый переход  
Вы не можете создавать новые темы в этом форуме.
Вы не можете отвечать в этом форуме.
Вы не можете удалять Ваши сообщения в этом форуме.
Вы не можете редактировать Ваши сообщения в этом форуме.
Вы не можете создавать опросы в этом форуме.
Вы не можете голосовать в этом форуме.