Форум КриптоПро
»
КриптоПро УЦ
»
КриптоПро УЦ 1.5
»
Выпуск сертификатов для eToken ГОСТ
Статус: Активный участник
Группы: Участники
Зарегистрирован: 16.09.2011(UTC) Сообщений: 239  Откуда: Москва Сказал «Спасибо»: 17 раз
Поблагодарили: 3 раз в 3 постах
|
Автор: dedov  Автор: lboikov Я использовал VipNet CSP 3.2. В его составе есть форма для генерации запроса на сертификат.
Выбирая контейнер при генерации ключевой пары я выбрал гостовый раздел eToken ГОСТ.
Получился файл запроса, который я скормил в АРМ Администратора ЦР. было бы поучительно посмотреть на скрин, где указывается выбор "гостовый раздел eToken ГОСТ" и не гостовый. я думаю что вы опять таки использовали eToken ГОСТ, как обычный eToken. Присоединяюсь к вопросу. Действительно, на веб-странице создания запроса на сертификат я не нашел, где выбирается гостовый раздел етокена для генерации ключа. А спросить постеснялси...  |
С уважением,
Сергей |
|
|
|
|
|
Статус: Активный участник
Группы: Участники
Зарегистрирован: 14.03.2011(UTC) Сообщений: 152 Откуда: Санкт-Петербург Сказал «Спасибо»: 1 раз
Поблагодарили: 7 раз в 5 постах
|
Скажем так, VipNet действительно умеет генерировать ключевую пару и прописывать сертификат на eToken ГОСТ, JaCard ГОСТ.
Есть одна существенная проблема, а точнее их две.
Проблема номер раз. КриптоПро использует параметр генерации ключа id-GostR3410-2001-CryptoPro-A-ParamSet, а VipNet использует параметр ключа id-GostR3410-2001-CryptoPro-XchA-ParamSet.
Проблема номер два. VipNet не выпускает сертификат для авторизации по TLS. У этой компании свой взгляд на безопасность соединения. По этой причине, ключ нельзя использовать для HTTPS соединения, ни как со стороны клиента, ни как со стороны сервера. Ну, со стороны сервера, это понятно - у этих устройств очень медленная производительность в расчетах хеш функций. Явно, они так же будут медленно работать в режиме шифрования/расшифровки. Алгоритмов с имитовставками (MAC) на аппаратном уровне, они тоже не реализуют.
Я тут недавно сделал программу на Qt, для управления ключами и сертификатами. В примерах Aladin SDK весь функционал показан.
Для тех, кто захочет осилить этот труд, даю подсказку, что дополнительный подключаемый модуль jcPKCS11x, это "Big Number part of OpenSSL 1.0.0 29 Mar 2010".
Достаточно прочитать пункт 13.7.1 из SDK: "Функция createCSR формирует запрос на выпуск сертификата". Далее, осилить примеры заполнения OID-ов для выпуска сертификатов в OpenSSL. Да, набирание правильного Subject Name, задача не самая приятная.
Подготовленный файл запроса нормально обрабатывается удостоверяющим центром. В ответ приходит сертификат, подписанный сертификатом УЦ,с алгоритмом, используемым в КриптоПро CSP.
Остается незначительная, но не самая приятная часть пути. С помощью OpenSSL разбираем сертификат и извлекаем из него значение открытого ключа. Далее, читаем на eToken/JaCard значения открытых ключей. Если ключи совпали, записываем на носитель сертификат, указав ему тот же псевдоним (alias), что присутствует у найденного открытого ключа.
Кажись всё.
А вот дальше начинается самое интересное. На сколько мне хватило ума, текущее ПО КриптоПро не умеет работать с данными аппаратными средствами.
Встает вопрос, насколько уместно обсуждать работу с данными аппаратными средствами на данном форуме?
|
 1 пользователь поблагодарил miser за этот пост.
|
|
|
|
Статус: Активный участник
Группы: Участники
Зарегистрирован: 16.09.2011(UTC) Сообщений: 239 Откуда: Москва Сказал «Спасибо»: 17 раз
Поблагодарили: 3 раз в 3 постах
|
Автор: miser Встает вопрос, насколько уместно обсуждать работу с данными аппаратными средствами на данном форуме? Актуальность и уместность определяется желанием автора познать истину и количеством откликов участников форума. Вопрос изначально стоял в отношении выпуска сертификатов для гостового етокена именно через УЦ КриптоПРО. В частности, ваш достаточно глубокий ответ проливает свет на некоторые принципиальные вопросы. Получается, Аладдин бодро рекламирует нереализуемые на практике функции своего етокена. В результате некоторые руководители попадаются на эту удочку и начинают требовать - смотри как все классно, закупаем гостовые етокены и наступает всеобщее щастье. А осознания - как управлять сертификатами - нет... Вобщем, спасибо за ответ. |
С уважением,
Сергей |
|
|
|
|
|
Статус: Активный участник
Группы: Участники
Зарегистрирован: 14.03.2011(UTC) Сообщений: 152 Откуда: Санкт-Петербург Сказал «Спасибо»: 1 раз
Поблагодарили: 7 раз в 5 постах
|
Если вам интересно, данный эксперимент проводился в NWUDC. Рекламировать не буду.
Попробовали, сформировать нужный PKCS#10 получилось. Сертификат выдан средствами УЦ.
Поймите правильно, данный программный продукт должен распространяться с самим носителем, конечному пользователю.
Даже, если этот программный продукт выпустить под Open Source лицензией, мы сталкиваемся с тем фактом, что библиотеки поддержки носителей,
jcPKCS11 и jcPKCS11x для платформ просто так не получить с сайта производителя.
Производитель, пока что, предлагает единственную бесплатную программу JaCardGOST, которая максимум скажет, что на вашей карточке есть "нечто" и позволит это всё стереть (переформатировать) носитель.
Да, кстати, на Linux платформах, для работы этого чуда, надо установить службу (демон) pcscd.
|
|
|
|
|
|
Статус: Активный участник
Группы: Участники
Зарегистрирован: 16.09.2011(UTC) Сообщений: 239 Откуда: Москва Сказал «Спасибо»: 17 раз
Поблагодарили: 3 раз в 3 постах
|
Автор: miser Поймите правильно, данный программный продукт должен распространяться с самим носителем, конечному пользователю.
Вот это я "целиком и полностью" согласен, и Аладдин должен был озаботиться выпуском утилит для формирования запросов на выпуск квалифицированных сертификатов, а также в эксплуатационной документации указать сроки действия сертификатов и закрытого ключа. А то как-то непонятна вся эта шумиха вокруг гостового етокена. |
С уважением,
Сергей |
|
|
|
|
|
Статус: Активный участник
Группы: Участники
Зарегистрирован: 16.09.2011(UTC) Сообщений: 239 Откуда: Москва Сказал «Спасибо»: 17 раз
Поблагодарили: 3 раз в 3 постах
|
Автор: miser Если вам интересно, данный эксперимент проводился в NWUDC. Рекламировать не буду.
Попробовали, сформировать нужный PKCS#10 получилось. Сертификат выдан средствами УЦ.
Если я правильно понял, утилиту для формирования запроса вы писали сами? |
С уважением,
Сергей |
|
|
|
|
|
Статус: Активный участник
Группы: Участники
Зарегистрирован: 14.03.2011(UTC) Сообщений: 152 Откуда: Санкт-Петербург Сказал «Спасибо»: 1 раз
Поблагодарили: 7 раз в 5 постах
|
Автор: ssm_2005 Автор: miser Если вам интересно, данный эксперимент проводился в NWUDC. Рекламировать не буду.
Попробовали, сформировать нужный PKCS#10 получилось. Сертификат выдан средствами УЦ.
Если я правильно понял, утилиту для формирования запроса вы писали сами? Да, сам. Надо было разобраться с интересным устройством - SafeTouch. Это устройство умеет показывать сведения о подписываемом документе на встроенном экране. И тут первый облом - нужен нормальный сертификат, выданный УЦ. Пришлось выбирать средство дня написания. Сервер с красивым HTML не подходит - программа должна работать на клиентском рабочем месте, где установлен eToken ГОСТ/JaCard ГОСТ. Java не подходит. Java 6 под Windows x64 - sun.security.pkcs11 не работает. Java 7u45 под Windows x64 и Linux x64 - sun.security.pkcs11 отсутствует. Oracle обещает возвращение провайдера SunPKCS11 и враппера в Java 1.8. Остается Qt, как много платформенная система. Написал под Linux GNU C++. Решил собрать под Visual Studio 2012. Облом от Microsoft - не реализованы стандарты C++12. Пришлось взять MinGW-x64. Запускаю под VirtualBox или VMWare Windows 8, не стартует OpenGL. Сижу, потихоньку переписываю, чтобы не использовалась Qt 5 QtQuick и OpenGL. А так всё было красиво, даже сенсорный экран работал.
|
1 пользователь поблагодарил miser за этот пост.
|
|
|
|
Статус: Активный участник
Группы: Участники
Зарегистрирован: 16.09.2011(UTC) Сообщений: 239 Откуда: Москва Сказал «Спасибо»: 17 раз
Поблагодарили: 3 раз в 3 постах
|
|
С уважением,
Сергей |
|
|
|
|
|
Форум КриптоПро
»
КриптоПро УЦ
»
КриптоПро УЦ 1.5
»
Выпуск сертификатов для eToken ГОСТ
Быстрый переход
Вы не можете создавать новые темы в этом форуме.
Вы не можете отвечать в этом форуме.
Вы не можете удалять Ваши сообщения в этом форуме.
Вы не можете редактировать Ваши сообщения в этом форуме.
Вы не можете создавать опросы в этом форуме.
Вы не можете голосовать в этом форуме.
Important Information:
The Форум КриптоПро uses cookies. By continuing to browse this site, you are agreeing to our use of cookies.
More Details
Close
