Доброго дня

Имеется множество видов различных токенов и, соответственно, множество криптопровайдеров.
К примеру, если мы говорим о криптопровайдере Крипто-про CSP - то с ним работают обычные,
самые простые токены (например Рутокен Lite, Рутокен S, Етокен JC и тд) Контейнер формируется
на ПК и копируется на токен, в последствии данный контейнер из такого токена может
быть скопирован куда угодно - на другой токен, в реестр, на обычную флешку и тд.
Есть токены "посерёзнее" - ФКН (функциональный ключевой носитель). Здесь все операции происходят непосредственно на самом устройстве и ключ подписи не покидает носитель. Для работы с такими носителями есть специальные криптопровайдеры. Ознакомиться можете тут - http://www.cryptopro.ru/products/fkc

Отличная статья по теме тут - http://www.cryptopro.ru/...asnoe-khranenie-klyuchei


ПО Крипто-арм может использовать разные криптопровайдеры, необходимые для работы с тем или иным токеном.
Следует сперва определиться с конкретной моделью ключевого носителя.

ФКН организует защищённый канал между токеном и CSP. Для создания такого канала достаточно возможности гарантированно идентифицировать токен, а на токенах с аппаратными CSP такая возможность есть.
Если Крипто-АРМ работает "через CSP", то надёжность контейнера определяется надёжностью CSP.

Случай "потеряли токен" не может быть защищён никакими мыслимыми и немыслимыми способами - только отзыв сертификата и надежда, что:
1. Злоумышленник не знал (достаточно сложного и не стандартного) пароля и не является "волшебным везунчиком";
2. В промежутке времени между потерей токена и отзывом сертификата злоумышленник не успел провернуть непоправимо фатальных действий.

Насколько я понял, использование криптопровайдера токена реализуется по протоколу PCKS11
КриптоАрм v5 может использовать такие криптопровайдеры, но их интеграция несертифицирована ФСБ, а значит толку от этого с юридической точки зрения немного? так поиграться

Появилась идея, может быть в рабочем режиме использовать именно такой несертифицированный, но зато лучше защищенный режим от компроментации закрытого ключа, т.е. КриптоАрм v5 + PCKS11,

а для галочки иметь возможность продемонстрировать, что могу мол создавать подписи на всем сертифицированном, т.е. на СКЗИ КриптоАрм старой версии v4 с использованием CSP КриптоПро

Можно ли по подписи узнать каким CSP она сгенерирована?
Можно ли закрытый ключ при необходимости скопировать из JaCarta ГОСТ (указав свой пароль) в реестр или просто использовать его в режиме PKI без явного копирования в реестр, но CSP КриптоПРО компьютера его будет сам извлекать при подписании?

Т.е. в результате мы бы получили более защищенное но несертифицированное решение для работы и менее защищенное, но сертифицированное для галочки.

Отредактировано пользователем 2 ноября 2015 г. 8:36:47(UTC)  | Причина: Не указана

может быть имеет смысл (с точки зрения защищенности) посмотреть в сторону средств доверенной среды подписи (на примере рутокен pinpad)

Отредактировано пользователем 2 ноября 2015 г. 11:15:46(UTC)  | Причина: Не указана

кажется, я близок к решению своей задачи:

http://www.trusted.ru/products/cryptoarm/history/



таким образом имеем поддержку почти всех токенов со страницы:
https://www.cryptopro.ru/products/fkc
через проприетарный протокол ФКН вашей компании КриптоПро:
https://www.cryptopro.ru/products/fkc/info

слава Богу ваш сотрудник, указал мне на эти брелки по телефону

но потом позвонив в trusted.ru, мне там сообщили, что это какие то новые брелки и КриптоАРМ 4 с ними не тестировали
а в cryptoarm.ru и вовсе категорично заявили, что брелки с неизвлекаемыми ключами работают ТОЛЬКО в КриптоАРМ V5!
я начал уточнять, но другая сторона вежливо бросила трубку :)
и это по идее наиболее подготовленные специализды!
куда же податься мне - простому юзеру?

приходится вырывать информацию по крупицам у поддержки

но иногда встречаются очень подготовленные спецы, сегодня мне помог специалист из Рутокен, подтвердив мои догадки об аналогичности ФКН по функционалу PCKS11 (хоть и несовместимому с PCKS11, но зато совместимому с MS CryptoAPI)

и таг, больше всех понравился КриптоПро eToken CSP, потому что он может работать и через CryptoAPI с древним КриптоАРМ и через PCKS11 с более современными программами, наверно даже с Linux SSH, OpenSSL и т.п.

Теперь еще вопрос можно ли и стоит ли пихать смарт карту "КриптоПро eToken CSP" в АнтифродТерминал, если есть подозрения на трояны?
т.е. может ли этот терминал выполнять только роль клавы для набора пина, не используя его все остальные функции, хотя проще наверно, на экранной клаве мышкой нащелкать нужный пин?

И еще такой вопрос, если купить брелок "КриптоПро eToken CSP" раньше, чем он прошел сертификацию (которая еще пока не закончилась), то потом он автоматически становится сертифицированным вместе с такими же новыми, или надо покупать новый экземпляр ПОСЛЕ сертификации, чтобы не было повода придраться в случае юридических процедур?

Отредактировано пользователем 3 ноября 2015 г. 21:03:21(UTC)  | Причина: Не указана