- Конфигурация тестового стенда
- 1. Проверка готовности ключевого идентификатора Рутокен к смене криптопровайдера
- Поддерживается
- Методика тестирования
- 2. Включение поддержки криптопровайдера для Рутокен ЭЦП
- Активировать
- Не поддерживается
- Матчасть
- Как сделать, чтобы все было хорошо?
- Получается, что Рутокен ЭЦП и JaCarta ГОСТ не являются токенами с неизвлекаемым ключом?
- Поддерживается
- Активировать
- Не поддерживается
Конфигурация тестового стенда
Соберем тестовый стенд с конфигурацией, типовой для машин, участвующих в электронном документообороте (ЭДО):
- ОС MS Windows 7 SP1
- СКЗИ КриптоПРО CSP 3.9.8423
- Драйверы Рутокен для Windows (x86 и x64). Версия: v.4.1.0.0 от 20.06.2016, WHQL-certified
- Единый Клиент JaCarta и JaCarta SecurLogon. Версия 2.9.0 сборка 1531
- КриптоАРМ Стандарт Плюс 5. Версия 5.2.0.8847.
Для тестирования будут использоваться токены с неизвлекамым ключом:
- Рутокен ЭЦП. Версия 19.02.14.00 (02)
- JaCarta ГОСТ. Номер модели JC001-2.F09 v2.1
В последней строке указана фраза «Поддержка КриптоПРО ФКН: Нет», а это значит, что на токене нет апплета, с которым умеет работать СКЗИ КриптоПРО CSP. Таким образом, реализация технологии ФКН с использованием СКЗИ и токенов, описанных в конфигурации тестового стенда, невозможна.
Аналогичная ситуация и с JaCarta ГОСТ. Более того, СКЗИ КриптоПРО CSP, по крайней мере та версия, которая использовалась в тестовом стенде, использует данные ключевые носители как «обычные токены», которые, в свою очередь, являются просто носителями ключа.
Это утверждение очень просто подтвердить. Для этого надо поставить СКЗИ КриптоПРО CSP на чистую машину без драйверов от токенов и подключить токен JaCarta ГОСТ. ОС Windows 7 обнаружит токен JaCarta ГОСТ как «Устройство чтения смарт-карт Microsoft Usbccid (WUDF)». теперь можно попробовать создать ключ на токене и скопировать его в реестр компьютера. Весь функционал СКЗИ успешно отработает.
1. Проверка готовности ключевого идентификатора Рутокен к смене криптопровайдера
Для того, чтобы проверить готовность ключевого идентификатора Рутокен к настройке для работы с ЕГАИС, откройте “Панель управления Рутокен” – вкладка “Администрирование” – кнопка “Информация” – и проверьте статус напротив поля “Microsoft Base Smart Card Crypto Provider”:
Поддерживается
Данный статус означает, что электронный идентификатор Рутокен уже готов к настройке криптопровайдера по умолчанию. Переходите ко второму пункту данной инструкции – “Смена криптопровайдера по умолчанию”
Если статус Поддерживается, переходим к пункту 3
Если напротив поля “Microsoft Base Smart Card Crypto Provider” стоит статус Активировать или Не поддерживается, переходим к пункту 2.
Откройте “Пуск” – (“Настройки”) – “Панель управления” – “Панель управления Рутокен” – закладка “Настройки” – в пункте “Настройки криптопровайдера” нажмите кнопку “Настройка…”
Методика тестирования
Смоделируем типовой процесс подготовки Администратором информационной безопасности ключевых документов для организации ЭДО:
- генерируется контейнер закрытого ключа и запрос на сертификат открытого ключа;
- после прохождения в удостоверяющем центре процедуры сертификации из запроса получается сертификат;
- сертификат в совокупности с контейнером закрытого ключа образует готовую для использования ключевую информацию. Данную ключевую информацию, записанную на носителе, будем называть исходным ключевым документом;
- с исходного ключевого документа изготавливаются копии, которые записываются на отчуждаемые носители (далее будем называть их рабочими ключевыми документами) и передаются уполномоченным пользователям;
- после изготовления необходимого количества рабочих ключевых документовисходный ключевой документ уничтожается или депонируется на хранение в орган криптографической защиты информации.
В нашем случае мы не будем пользоваться услугами центров сертификации, а сгенерируем ключевой контейнер с самоподписанным сертификатом и разместим его в реестре компьютера (АРМа генерации ключевой информации), это и будет
. Затем скопируем ключевую информацию на Рутокен ЭЦП и JaCarta ГОСТ, изготовив
. После этого уничтожим
, удалив из реестра ключевой контейнер. И, наконец, попробуем скопировать ключевую информацию с рабочих ключевых документов обратно в реестр.
1. Создадим
Для этого с помощью КриптоАРМ создадим в реестре контейнер закрытого ключа test-key-reestr, содержащий самоподписанный сертификат (CN=test)
2.Сформируем
С помощью штатных средств СКЗИ КриптоПРО CSP (Пуск–{amp}gt;Панель управления–{amp}gt;КриптоПро CSP) скопируем ключевой контейнер test-key-reestr на ключевые носители Рутокен ЭЦП и JaCarta ГОСТ. Ключевым контейнерам на ключевых носителях присвоим имена test-key-rutoken и test-key-jacarta соответственно.
Описание приведено применительно к JaCarta ГОСТ (для Рутокен ЭЦП действия аналогичны):
Таким образом получили
рабочие ключевые документы
на JaCarta ГОСТ (контейнер test-key-jacarta) и Рутокен ЭЦП (контейнер test-key-rutoken).
3.Уничтожим исходный ключевой документ
Штатными средствами СКЗИ КриптоПРО CSP удалим из реестра ключевой контейнер test-key-reestr.
4. Скопируем ключевую информацию из
Попробуем скопировать ключевые контейнеры test-key-rutoken и test-key-jacarta обратно в реестр.
Описание приведено для JaCarta ГОСТ (для Рутокен ЭЦП действия аналогичны).
Как мы видим, ключевая информация успешно скопирована или, другим языком, извлечена из токенов с неизвлекаемым ключом. Получается, что производители токенов и СКЗИ врут? На самом деле нет, и ситуация сложнее, чем кажется на первый взгляд. Исследуем матчасть по токенам.
2. Включение поддержки криптопровайдера для Рутокен ЭЦП
Для проверки готовности ключевого идентификатора Рутокен к настройке для работы с ЕГАИС, откройте “Панель управления Рутокен” – закладка “Администрирование” – кнопка “Информация” – и проверьте статус напротив поля “Microsoft Base Smart Card Crypto Provider”:
Активировать
В этом случае необходимо нажать на ссылку “Активировать”, для того чтобы включить возможность поддержки криптопровайдера “Microsoft Base Smart Card Crypto Provider”.
Если для Пользователя или Администратора установлен PIN-код не по умолчанию, его необходимо будет ввести во время активации.
Обратите внимание на то, что если оба PIN-кода не соответствуют значениям по умолчанию, для активации необходимо будет ввести последовательно PIN-код Администратора, затем Пользователя.
Если один или оба PIN-кода неизвестны, необходимо обратиться в компанию, предоставившую вам ключевой идентификатор, для получения PIN-кодов.
В случае, если узнать текущие значения PIN-кодов не представляется возможным, остается только вариант форматирования идентификатора Рутокен для установки новых значений PIN-кодов. Обращаем ваше внимание на то, что во время форматирования ключевого идентификатора все содержимое удаляется безвозвратно.
После процедуры активации статус в поле “Microsoft Base Smart Card Crypto Provider” должен измениться на “Поддерживается”
чтобы продолжить настройку ключевого идентификатора Рутокен переходим к Пункту 2.
Не поддерживается
Статус “Не поддерживается” отображается если производится попытка настройки модели Рутокена, не предназначенной для работы с ЕГАИС, например Рутокен Lite или Рутокен S. Для работы с ЕГАИС подходит только модель Рутокен ЭЦП 2.0
Матчасть
То, что на рынке принято называть токеном с неизвлекаемым ключом, правильно называется
Главным отличием ФКН от обычных токенов (Рутокен S, JaCarta PKI, …) в том, что при выполнении криптографических преобразований (например, формирование электронной подписи) закрытый ключ не покидает устройство. В то время как при использовании обычных токенов закрытый ключ копируется с токена в память комптьютера.
Использование ФКН требует особой организации взаимодействия между прикладным криптографическим ПО и библиотекой СКЗИ (криптопровайдером или, по-другому, CSP).
Здесь важно увидеть, что программная часть библиотеки СКЗИ должна знать о существовании на токене апплета, реализующего криптографический функционал (например, генерация ключа, подпись данных и т.д.) и уметь с ним работать.
Как сделать, чтобы все было хорошо?
1. Купить специальную версию библиотеки СКЗИ: — для Рутокен ЭЦП — СКЗИ КриптоПРО Рутокен CSP. — для JaCarta ГОСТ – СКЗИ КриптоПро ФКН CSP.
2. Одновременно с библиотекой СКЗИ необходимо приобрести специально подготовленные токены, содержащие в себе программные части (апплеты), с которыми умеет работать КриптоПРО Рутокен CSP или КриптоПро ФКН CSP соответственно.
Получается, что Рутокен ЭЦП и JaCarta ГОСТ не являются токенами с неизвлекаемым ключом?
Поддерживается
Активировать
Не поддерживается
Опять нет. Данные устройства могут реализовывать функционал ФКН (но, возможно, в меньшем объеме, чем при использовании их совместно с СКЗИ КриптоПРО), но для этого нужен софт, который умеет работать с апплетами размещенными на токенах. Таким софтом может быть
. Он это
. При генерации ключевой пары в мастере КриптоАРМ можно выбрать криптопровайдер, который будет использоваться, например, Rutoken ECP или eToken GOST. Это и позволит использовать токен как ФКН.