- Почему рутокен для эцп абсолютно безопасен?
- Что из себя представляет рутокен?
- «продвинутые» рутокены с сертификатами фсб и фстэк, с rfid
- Все продукты
- Назначение
- Опыт применения технологии рутокен для регистрации и авторизации пользователей в системе (часть 1)
- Принципы работы рутокена эцп
- Разнообразие рутокенов
- Решаемые задачи
- Сфера применения
Почему рутокен для эцп абсолютно безопасен?
Дело в том, что все данные, которые вы загрузите на носитель, будут надежно защищены благодаря шифрованию. Другими словами, все данные зашифровываются и помещаются в защищенную память. Более того, в случае потери носителя никто не сможет воспользоваться им, потому что доступ к нему осуществляется по пин-коду.
Что из себя представляет рутокен?
В первую очередь, предлагаем вам разобраться в терминологии: рутокен – это специальное устройство, которое внешне напоминает флешку, но имеет совсем иную функциональность. Основная цель использования таких устройств – это обеспечение сохранности электронной квалифицированной подписи, которая хранится на устройстве.
Одной из наиболее значимых и первостепенных характеристик является объем памяти. Сегодня в продаже можно найти модели со встроенными 32, 64 и 128 килобайтами абсолютно защищенного пространства. У каждого размера своя вместимость. К примеру, 32 Кб достаточно, чтобы хранить около 5-7 ЭЦП.
Следовательно, если у вас не больше семи подписей, то данного объема памяти вам будет вполне достаточно. Соответственно, на моделях с 64 Кб этот параметр в два раза больше и т.д. Оцените, сколько «места» необходимо вам, чтобы обеспечить безопасное хранение всех ЭЦП?
«продвинутые» рутокены с сертификатами фсб и фстэк, с rfid
Некоторые модели рутокенов имеют сертификацию в таких органах, как ФСТЭК и ФСБ. В целом, особых именно функциональных различий с остальными моделями у них нет кроме того, что они прошли все проверки и испытания, а потому полностью соответствуют требованиям этих государственных органов. Обычно это удостоверяется на бумажном сертификате, который содержит голограмму и печать ведомства.
Более продвинутые модели также имеют встроенную метку RFID, благодаря чему их используют также в качестве одного из элементов систем контроля доступа. Особенно этот функционал важен для режимных объектов, где важно предотвратить попадание неавторизованных лиц в секретные помещения.
Все продукты
Назначение
Продукт Рутокен для Windows предназначен в первую очередь для системных администраторов и IT-специалистов предприятий. Подробная иллюстрированная пошаговая инструкция по настройке сервисов позволит сэкономить массу времени на изучение фирменной документации Microsoft и избежать многих проблем, с которыми можно столкнуться при самостоятельной настройке.
Инструкции, входящие в стартовый комплект, также содержат информацию о применении электронной подписи и шифрования в приложениях Microsoft Office. Это позволяет быстрее и эффективнее обучить персонал компании способам безопасного доступа к информационным ресурсам и защите переписки и документов, поскольку IT-специалистам не потребуется много времени на разработку документации для конечных пользователей.
Опыт применения технологии рутокен для регистрации и авторизации пользователей в системе (часть 1)
Добрый день! Хочу поделиться своим опытом по данной теме.
Рутокен — это аппаратные и программные решения в области аутентификации, защиты информации и электронной подписи. По сути это такая флешка, которая может хранить в себе аутентификационные данные, которые пользователь использует для входа в систему.
В данном примере используется Рутокен ЭЦП 2.0.
Для работы с этим Рутокеном необходимо установить драйвер на windows.
Для windows, установка одного лишь драйвера, обеспечивает установку всего, что нужно, чтобы ОС увидела ваш Рутокен и с ним можно было работать.
С Рутокеном можно взаимодействовать различными способами. Можно получить доступ к нему из серверной части приложения, а можно сразу из клиентской. В данном примере будет рассмотрено взаимодействие с Рутокеном из клиентской части приложения.
Клиентская часть приложения взаимодействует с рутокеном через рутокен плагин. Это программа, которая отдельно устанавливается на каждый браузер. Для windows необходимо просто скачать и установить плагин, находящийся по данной ссылке.
Все, теперь мы можем взаимодействовать с Рутокеном из клиентской части приложения.
В данном примере рассмотрена идея реализации алгоритма авторизации пользователя в системе с использованием схемы chеllange-response.
Суть идеи в следующем:
- Клиент отправляет запрос на авторизацию на сервер.
- Сервер в ответ на запрос от клиента отправляет случайную строку.
- Клиент дополняет эту строку случайными 32 битами.
- Клиент подписывает полученную строку своим сертификатом.
- Клиент отправляет на сервер полученное закодированное сообщение.
- Сервер проверяет подпись, получая исходное не закодированное сообщение.
- Сервер отсоединяет последние 32 бита от полученного не закодированного сообщения.
- Сервер сравнивает полученный результат с тем сообщением, которое было отправлено при запросе на авторизацию.
- Если сообщения одинаковые, то авторизация считается успешной.
В приведенном выше алгоритме есть такое понятие, как сертификат. В рамках данного примера нужно понимать некоторую криптографическую теорию. На Хабре есть
отличная статья на эту тему
.
В данном примере будем использовать асимметричные алгоритмы шифрования. Для реализации асимметричных алгоритмов необходимо иметь ключевую пару и сертификат.
Ключевая пара состоит из двух частей: приватный ключ и публичный ключ. Приватный ключ, как следует из его названия, должен быть секретным. Мы его используем для расшифровки информации. Публичный ключ можно раздать кому угодно. Этот ключ используется для шифрования данных. Таким образом любой пользователь может зашифровать данные, используя публичный ключ, но только владелец приватного ключа может расшифровать эту информацию.
Сертификат — это электронный документ, который содержит в себе информацию о пользователе, которому принадлежит сертификат, а также публичный ключ. Имея сертификат, пользователь может подписать любые данные и отправить их на сервер, который может проверить эту подпись и расшифровать данные.
Чтобы правильно можно было подписать сообщение сертификатом, нужно правильно его создать. Для этого на Рутокене сначала создается ключевая пара, а потом к публичному ключу этой ключевой пары должен привязываться сертификат. Сертификат должен иметь именно тот публичный ключ, который находится на Рутокене, это важно. Если мы просто создадим ключевую пару и сертификат сразу на клиентской части приложения, то каким образом потом сервер сможет расшифровать это зашифрованное сообщение? Ведь он совсем ничего не знает ни о ключевой паре, ни о сертификате.
Если глубже окунуться в эту тему, то можно найти интересную информацию в интернете. Существуют некие удостоверяющие центры, которым мы заведомо доверяем. Эти удостоверяющие центры могут выдавать сертификаты пользователям, они эти сертификаты устанавливают на свой сервер. После этого, когда клиент обращается к этому серверу, он видит этот самый сертификат, и видит, что он был выдан удостоверяющим центром, а значит этому серверу можно доверять. Подробнее про то, как правильно все настроить, в интернете тоже полно информации. К примеру можно начать с этого.
Если вернуться к нашей задаче, то решение кажется очевидным. Нужно каким-то образом сделать свой удостоверяющий центр. Но перед этим нужно разобраться, а на основании чего удостоверяющий центр должен выдавать сертификат пользователю, ведь он о нем ничего не знает. (Например его имя, фамилия и т.д.) Есть такая штука, которая называется запрос на сертификат. Подробнее про этот стандарт можно глянуть, например, на википедии ru.wikipedia.org/wiki/PKCS
Мы будем использовать версию 1.7 — PKCS#10.
Опишем алгоритм формирования сертификата на Рутокене (первоисточник — документация):
- На клиенте создаем ключевую пару и сохраняем ее на Рутокен. (сохранение происходит автоматически)
- На клиенте создаем запрос на сертификат.
- С клиента отправляем этот запрос на сервер.
- При получении запроса на сертификат на сервере, выписываем сертификат своим удостоверяющим центром.
- Отправляем этот сертификат на клиент.
- На клиенте сохраняем сертификат на Рутокен.
- Сертификат должен привязаться к той ключевой паре, которая была создана на первом шаге.
Теперь становится понятно, как сервер сможет расшифровать подпись клиента, ведь он сам выдал ему сертификат.
В следующей части мы подробно рассмотрим, как настроить свой удостоверяющий центр на основе полноценной криптографической библиотеки с открытым исходным кодом openSSL.
Принципы работы рутокена эцп
Как уже говорилось выше, основная задача использования рутокена – это обеспечение двухфакторной аутентификации там, где она востребована. Прежде всего, это относится к современным компьютерным системам. Аутентификацию называют именно двухфакторной, потому что, чтобы получить доступ к содержимому носителя, необходимо одновременно выполнить два различных условия:
- Ввести пин-код;
- Иметь на руках носитель (физически).
Как показывает практика, именно двухфакторная авторизация значительно увеличивает защищенность объектов и данных там, где одного только пароля недостаточно.
В основе рутокенов лежат специальные микроконтроллеры и защищенная память для хранения конфиденциальных данных. Поддержка основных российских и международных стандартов в области ИБ – еще одна особенность устройств, благодаря чему они легко интегрируются и встраиваются в разнообразные ИТ-системы.
Разнообразие рутокенов
Прежде всего, стоит отметить, что рутокены необходимо различать по назначению. Существуют рутокены, которые используются исключительно для авторизации, но есть модели (например, рутокен Web), используемые только для посещения защищенных сайтов в сети Интернет.
Решаемые задачи
С помощью Рутокен для Windows легко решаются основные задачи по обеспечению информационной безопасности в различных организациях:
- аутентификация пользователей и вход в домен по предъявлению токена или смарт-карты;
- подключение к сетям VPN и защищенным веб-ресурсам;
- подключение к терминальному серверу по предъявлению токена или смарт-карты;
- блокирование сессии пользователя после извлечения токена или смарт-карты;
- электронная подпись и безопасность документов Microsoft Office;
- надежное хранение и безопасное использование ключевой информации;
- безопасность электронной переписки, электронная подпись и шифрование почтовых сообщений;
- применение ключевых носителей и смарт-карт Рутокен в качестве защищенного хранилища персональной информации о пользователе.
При использовании решения вместе с USB-токенами или смарт-картами Рутокен со встроенной RFID-меткой продукт Рутокен для Windows позволяет удобно и очевидно интегрировать IT-инфраструктуру с системами контроля и управления доступом.
Сфера применения
Рутокен для Windows могут использовать любые организации и предприятия, информационная структура которых построена на базе сетей Microsoft Windows. Для развертывания и последующей эксплуатации не нужно привлекать сторонних специалистов и приобретать дополнительное оборудование и программное обеспечение третьих фирм.
Для начала работы с Рутокен для Windows приобретите Стартовый комплект, с помощью которого производятся все необходимые настройки. После этого останется только заказать необходимое количество идентификаторов Рутокен ЭЦП 3.0, Рутокен ЭЦП 2.0, Рутокен ЭЦП PKI, или смарт-карт Рутокен ЭЦП.
