Всем привет!
Вопрос перекликается с обсуждением
http://www.cryptopro.ru/...t.aspx?g=posts&t=135 и состоит в следующем. Есть клиент-серверная система, толстый клиент и сервер, оба своей разработки. Заказчик требует зашифровать сетевой трафик с помощью сертифицированного криптопакета, выбрали КриптоПро. По условиям игры сервер доверенный (он точно запущен на серверном компьютере), клиент имеет ключевую пару с сертификатом, на обоих концах стоят идентичные пакеты КриптоПро (алгоритм и параметры шифрования задаются при настройке системы, проверка их допустимости при работе не требуется). Кроме того, процедура аутентификации клиента сервером уже прошла (например, по паролю или с использованием данных операционки). Предлагаемый алгоритм выглядит так:
1. Клиент, инициируя соединение, отправляет на сервер свой сертификат.
2. Сервер формирует случайный сессионный ключ.
3. Сервер шифрует ключ открытым ключом пользователя из сертификата (делается при экспорте ключа).
4. Сервер отправляет ключ клиенту.
5. Клиент имортирует ключ, одновременно его расшифровывая своим закрытым ключом.
6. В итоге на обеих сторонах мы имеем один и тот же сессионный ключ.
7. Для проверки того, что не произошло подмены клиента (признаком этого служит неверный ключ после расшифровки, т.е. несоответствие закрытого и открытого ключей), клиент и сервер обмениваются зашифрованным заранее заданным текстом, если расшифрованный текст правильный, все хорошо, ключи одинаковые и можно начинать работу.
Понятно, что при желании можно расширить алгоритм путем включения в него сертификата сервера, проверки обоих сертификатов на противоположной стороне по всем правилам (или по части из них, учитывая, что система закрытая внутрикорпоративная, обмена по открытым каналам нет).
Цели шифрования трафика: обеспечить скрытность и исключить подмену клиента или сервера (путем запуска где-нибудь в сети и перенаправления пакетов).
Допустимо ли использование этого алгоритма? И пройдет ли он проверку на корректность встраивания криптосредств при сертификации по требованиям ФСТЭК?
Спасибо за ответы.
С наилучшими пожеланиями, Андрей.
