Статус: Эксперт
Группы: Участники
Зарегистрирован: 05.03.2015(UTC) Сообщений: 1,602  Откуда: Иркутская область Сказал(а) «Спасибо»: 110 раз
Поблагодарили: 396 раз в 366 постах
|
Насколько я понимаю, дистрибьюторы просто продвигают новые модели токенов. За старые токены денежки-то уже получили. Или даже не они получали. У меня тоже таких (алладиновских) с десяток в сейфе. Токен выполняет независимо от компьютера старую Джава виртуальную машину ("аппаратно" ага подписывает только на Джаве) и предполагаю что вероятно возможно перепрошить в том числе старые модели токенов на поддержку российских алгоритмов. Полагаю, с Джакартой что-то подобное сделали. Однако, первое, это может сделать только производитель токена (китайцы тоже скорее всего смогут на заводах). Так как нет смысла в ФКН, который каждый вирус сможет перепрошить и делать с ключом что угодно. Второе, скорее всего возникнут проблемы с объемом прошивки (версии Джавы отнюдь не уменьшаются в размере, либо адаптировать новые алгоритмы под старую Джаву либо "сжимать" новую версию Джавы либо менять микросхемы), то есть производителю нерентабельно модифицировать старые модели, так как "штучная" модификация прошивки выйдет дороже чем массово изготовить токен новой модели. Даже если не брать в расчет пересылку до завода и обратно, мало кто согласится платить за модификацию старой модели, когда есть новые. Интерфейс не меняется, все тот же USB. Другое дело, если бы мы смогли собрать несколько тысяч токенов одной модели и отправить мега заказ, тогда возможно производитель (или какая-то китайская компания) откликнулся и сделал что попросим. Цитата:Но все равно, честно сказать, неизвестно. Правильно ли я понимаю, что чтобы выяснить это, нужно снимать дампы ОЗУ компьютера и смотреть не проскакивает ли там закрытый ключ? Или есть более простые способы как выяснить выполняются ли криптографические операции на токене? Если, например, КриптоПро CSP сообщает, что аппаратный режим не активирован, то надеяться что на самом деле активирован сложно. Без дампов памяти ясно, что КриптоПро подпишет сам. Так что в идеале надо бы обращаться к токену напрямую или, например, на компьютере без всякого ПО, которое может выполнить подписание. Однако зарубежные алгоритмы встроены в большинство ОС, а российские официально не поддерживаются прошивкой, поэтому эксперимент провести весьма сложно. Писать свой драйвер токена?
Снимать дампы к слову в принципе сложновато, так как "внутренняя кухня" CSP скрыта в драйвере (а драйвер, полагаю, в привелегированном режиме) и вся конструкция detour вызовов крайне плохо реагирует на присутствие ловушек и отладчиков (у меня даже в depends программа подписания дает ошибку на загрузке криптобиблиотек, чего говорить о полноценном отладчике).
Более перспективно, пожалуй, включить собственное логирование криптопровайдера и по логу установить, что результат получен извне, а не вычислен. Отредактировано пользователем 30 января 2020 г. 5:43:41(UTC)
| Причина: Не указана
|
