Статус: Новичок
Группы: Участники
Зарегистрирован: 23.08.2011(UTC)
Сообщений: 8
Откуда: РФ
|
Добрый день форумчане!
Если рассматривать возможность или не возможность изготовления потенциальным владельцем ЭП закрытого ключа и формирования файла запроса на сертификат и выдача сертификата УЦ с последующей передачей владельцу (владелец сам установит в контейнер).
Так вот в чём собственно вопросы:
Каким образом установить сам ли владелец создаёт закрытый ключ?
Возможно ли изготовление закрытого ключа при помощи стороннего ПО ?(Не средства КриптоПро УЦ, своя разработка).
Какие требования будут применяться к такому ПО?
У кого-какие есть мысли господа....
p.s. Файл запроса будет пересылаться по открытым каналам связи (т.к. не содержит секретной информации)
|
|
|
|
|
|
Статус: Активный участник
Группы: Участники
Зарегистрирован: 21.10.2014(UTC)
Сообщений: 90
Сказал(а) «Спасибо»: 25 раз
Поблагодарили: 8 раз в 8 постах
|
ИМХО.
УЦ выдаёт только сертификат - ответственность УЦ это то, что он выдал сертификат тому, кто в нём указан.
Секретный ключ - ответственность самого владельца, если он сам не считает его скомпрометированным, значит всё ОК.
Для собственно генерации ключей и подписи запроса должны применяться только сертифицированные СКЗИ.
Просто хотя бы потому что для разработки СКЗИ требуется лицензия ФСБ.
Вряд ли кто-то просто так займётся "своей разработкой".
Каким ПО на открытый ключ будет создаваться сам запрос - это уже не важно, т.к. запрос - это просто набор XML-полей.
Требования к такому ПО только такие что оно может создать запрос, который ПО УЦ может обработать надлежащим образом, чтобы выдать квалифицированный сертификат по всем требованиям.
Вот такое моё скромное мнение. :)
|
|
|
|
|
|
Статус: Новичок
Группы: Участники
Зарегистрирован: 23.08.2011(UTC)
Сообщений: 8
Откуда: РФ
|
В случае, если ПО создаёт закрытый ключ и файл запроса и не более, сертификация ФСБ не требуется полагается, т.к. выпуск сертификата будет производиться на сертифицированном ПО.
И остаётся вопрос, как достоверно определить получает сертификат (по открытым каналам связи) именно тот, кто в нём указан.... появляется необходимость в "удалённой" идентификации владельца сертификата.
|
|
|
|
|
|
Статус: Сотрудник
Группы: Участники
Зарегистрирован: 26.07.2011(UTC) Сообщений: 14,211   Сказал «Спасибо»: 622 раз
Поблагодарили: 2399 раз в 1888 постах
|
Автор: oleg16943  В случае, если ПО создаёт закрытый ключ и файл запроса и не более, сертификация ФСБ не требуется полагается, т.к. выпуск сертификата будет производиться на сертифицированном ПО.
И остаётся вопрос, как достоверно определить получает сертификат (по открытым каналам связи) именно тот, кто в нём указан.... появляется необходимость в "удалённой" идентификации владельца сертификата. Зачем? Сертификат публичен или что у Вас за ИС ...? |
|
|
|
|
|
|
Статус: Новичок
Группы: Участники
Зарегистрирован: 23.08.2011(UTC)
Сообщений: 8
Откуда: РФ
|
Возьмём к примеру для госуслуг для ФЛ, он при помощи ПО (самописного)генерирует закрытый ключ и формирует файл запроса на сертификат, отправляет в УЦ соответственно файл запроса (оплачивает это дело через он-лайн) и получает сам сертификат, устанавливает в контейнер и пользуется. К примеру любое лицо имеющее данные другого лица, может таким способом приобрести КЭП и пользоваться им (по сути лицо становится обладателем подписи другого лица....). В данном случае ответственность ложится на УЦ или на лицо, которое заведомо предоставило ложные данные о себе?
|
|
|
|
|
|
Статус: Активный участник
Группы: Участники
Зарегистрирован: 21.10.2014(UTC)
Сообщений: 90
Сказал(а) «Спасибо»: 25 раз
Поблагодарили: 8 раз в 8 постах
|
Автор: oleg16943 В случае, если ПО создаёт закрытый ключ и файл запроса и не более, сертификация ФСБ не требуется полагается, т.к. выпуск сертификата будет производиться на сертифицированном ПО.
Генерация криптографических ключей - это таки криптографическая функция! Это очень важный момент с т.з. стойкости криптографии вообще! Создание эл. подписи под запросом - тоже криптографическое преобразование! Создание самого запроса как набора полей - это сколько угодно можно писать самому. Автор: oleg16943 И остаётся вопрос, как достоверно определить получает сертификат (по открытым каналам связи) именно тот, кто в нём указан.... появляется необходимость в "удалённой" идентификации владельца сертификата. Сертификат - это открытая, свободно распространяемая информация! Его должны получать все участники системы, а не только владелец сертификата! УЦ только лишь при выдаче должен убедиться что запрос на сертификат подаёт тот кто он на самом деле.
|
|
|
|
|
|
Статус: Новичок
Группы: Участники
Зарегистрирован: 23.08.2011(UTC)
Сообщений: 8
Откуда: РФ
|
Благодарю за ответы господа, осталось только понять по каким критериям убедиться что запрос на сертификат подаёт тот кто он на самом деле.
|
|
|
|
|
|
Статус: Активный участник
Группы: Участники
Зарегистрирован: 24.03.2008(UTC) Сообщений: 142 Сказал «Спасибо»: 18 раз
Поблагодарили: 22 раз в 17 постах
|
Автор: oleg16943 Благодарю за ответы господа, осталось только понять по каким критериям убедиться что запрос на сертификат подаёт тот кто он на самом деле. Надо договориться на берегу, что при удаленной идентификации гражданина будет использоваться некий механизм и стороны признают его адекватной идентификацией/аутентификацией (ключ/PIN/пароль/одноразовый пароль и т.п.), и выдать этот "механизм" при встрече.
|
|
|
|
|
|
Статус: Сотрудник
Группы: Участники
Зарегистрирован: 26.07.2011(UTC) Сообщений: 14,211 Сказал «Спасибо»: 622 раз
Поблагодарили: 2399 раз в 1888 постах
|
Автор: Mayshev Vadim Автор: oleg16943 Благодарю за ответы господа, осталось только понять по каким критериям убедиться что запрос на сертификат подаёт тот кто он на самом деле. Надо договориться на берегу, что при удаленной идентификации гражданина будет использоваться некий механизм и стороны признают его адекватной идентификацией/аутентификацией (ключ/PIN/пароль/одноразовый пароль и т.п.), и выдать этот "механизм" при встрече. По skype и сверить с паспортом, вариант? |
|
|
|
|
|
|
Статус: Активный участник
Группы: Участники
Зарегистрирован: 21.10.2014(UTC)
Сообщений: 90
Сказал(а) «Спасибо»: 25 раз
Поблагодарили: 8 раз в 8 постах
|
Автор: Mayshev Vadim Автор: oleg16943 Благодарю за ответы господа, осталось только понять по каким критериям убедиться что запрос на сертификат подаёт тот кто он на самом деле. Надо договориться на берегу, что при удаленной идентификации гражданина будет использоваться некий механизм и стороны признают его адекватной идентификацией/аутентификацией (ключ/PIN/пароль/одноразовый пароль и т.п.), и выдать этот "механизм" при встрече. Например, как делают операторы связи и банки - логин+пароль+подтверждение по смс.
|
|
|
|
|
|
Быстрый переход
Вы не можете создавать новые темы в этом форуме.
Вы не можете отвечать в этом форуме.
Вы не можете удалять Ваши сообщения в этом форуме.
Вы не можете редактировать Ваши сообщения в этом форуме.
Вы не можете создавать опросы в этом форуме.
Вы не можете голосовать в этом форуме.
Important Information:
The Форум КриптоПро uses cookies. By continuing to browse this site, you are agreeing to our use of cookies.
More Details
Close
