Утилита администрирования Рутокен (rtAdmin) – Портал документации Рутокен

По-новому взглянем на наш тестовый стенд

Соберем тестовый стенд с конфигурацией, типовой для машин, участвующих в электронном документообороте (ЭДО):

1. ОС MS Windows 7 SP1
2. СКЗИ КриптоПРО CSP 3.9.8423
3. Драйверы Рутокен для Windows (x86 и x64). Версия: v.4.1.0.0 от 20.06.2016, WHQL-certified
4. Единый Клиент JaCarta и JaCarta SecurLogon. Версия 2.9.0 сборка 1531
5. КриптоАРМ Стандарт Плюс 5. Версия 5.2.0.8847.

Для тестирования будут использоваться токены с неизвлекамым ключом:

1. Рутокен ЭЦП. Версия 19.02.14.00 (02)
2. JaCarta ГОСТ. Номер модели JC001-2.F09 v2.1

В последней строке указана фраза «Поддержка КриптоПРО ФКН: Нет», а это значит, что на токене нет апплета, с которым умеет работать СКЗИ КриптоПРО CSP. Таким образом, реализация технологии ФКН с использованием СКЗИ и токенов, описанных в конфигурации тестового стенда, невозможна.

Аналогичная ситуация и с JaCarta ГОСТ. Более того, СКЗИ КриптоПРО CSP, по крайней мере та версия, которая использовалась в тестовом стенде, использует данные ключевые носители как «обычные токены», которые, в свою очередь, являются просто носителями ключа.

Это утверждение очень просто подтвердить. Для этого надо поставить СКЗИ КриптоПРО CSP на чистую машину без драйверов от токенов и подключить токен JaCarta ГОСТ. ОС Windows 7 обнаружит токен JaCarta ГОСТ как «Устройство чтения смарт-карт Microsoft Usbccid (WUDF)». теперь можно попробовать создать ключ на токене и скопировать его в реестр компьютера. Весь функционал СКЗИ успешно отработает.

Рутокен — это программная и аппаратная защита

Электронный документооборот распространен повсеместно и невозможен без строгого соблюдения условий конфиденциальности, информационной безопасности и криптографического шифрования. Рутокен это обеспечивает за счет использования специальных программных и аппаратных средств.

Устройства Рутокен — это средства аутентификации пользователей, а также хранения и использования ключей цифровой подписи.

Защищенность данных должна быть обеспечена любой информационной системой в соответствии с требованиями действующего законодательства. Так, ФЗ-152 «О персональных данных» обязывает всех пользователей персональных данных обеспечивать их сохранность и неприкосновенность. Это невозможно без специальных программных средств. В свою очередь, средства, используемые для этих целей, должны отвечать требованиям российских и международных стандартов качества.

Методика тестирования

Смоделируем типовой процесс подготовки Администратором информационной безопасности ключевых документов для организации ЭДО:

1. генерируется контейнер закрытого ключа и запрос на сертификат открытого ключа;
2. после прохождения в удостоверяющем центре процедуры сертификации из запроса получается сертификат;
3. сертификат в совокупности с контейнером закрытого ключа образует готовую для использования ключевую информацию. Данную ключевую информацию, записанную на носителе, будем называть исходным ключевым документом;
4. с исходного ключевого документа изготавливаются копии, которые записываются на отчуждаемые носители (далее будем называть их рабочими ключевыми документами) и передаются уполномоченным пользователям;
5. после изготовления необходимого количества рабочих ключевых документовисходный ключевой документ уничтожается или депонируется на хранение в орган криптографической защиты информации.

В нашем случае мы не будем пользоваться услугами центров сертификации, а сгенерируем ключевой контейнер с самоподписанным сертификатом и разместим его в реестре компьютера (АРМа генерации ключевой информации), это и будет

. Затем скопируем ключевую информацию на Рутокен ЭЦП и JaCarta ГОСТ, изготовив

. После этого уничтожим

, удалив из реестра ключевой контейнер. И, наконец, попробуем скопировать ключевую информацию с рабочих ключевых документов обратно в реестр.

1. Создадим

2.Сформируем

3.Уничтожим исходный ключевой документ

4. Скопируем ключевую информацию из

Как мы видим, ключевая информация успешно скопирована или, другим языком, извлечена из токенов с неизвлекаемым ключом. Получается, что производители токенов и СКЗИ врут? На самом деле нет, и ситуация сложнее, чем кажется на первый взгляд. Исследуем матчасть по токенам.

Официальный сайт Рутокен ру

Официальный сайт Рутокен ру содержит полные сведения об используемых технологиях и методах реализации алгоритмов. Для пользователей ЭЦП Рутокен на сайте представлена информация об аккредитации удостоверяющих центров Министерством связи РФ. Это пример выполнения еще одного важного требования закона: сертификаты выдаются исключительно аккредитованными удостоверяющими центрами (УЦ). Ведущие УЦ используют в работе носители Рутокен.

Кроме того, на официальном сайте представлены сертификаты о соответствии алгоритмов Рутокен федеральным ГОСТам.

Драйверы и инструкции Рутокен ру

Перед началом работы с ЦП требуется произвести настройку программных продуктов. В частности, для корректной работы токена необходимо установить на компьютер соответствующие драйверы.

Драйвер — это разновидность программного обеспечения, позволяющего компьютеру синхронизировать работу с каким-либо внешним устройством. Чтобы устройство могло корректно работать на компьютере или ином оборудовании, потребуется установка соответствующего ПО.

На сайте Рутокен ру представлены все необходимые программы и инструкции по их установке. Драйверы отличаются в зависимости от операционной системы, которая используется на компьютере. Они подразделяются на установочные файлы для Windows (х64 и х86), MacOS. Кроме того, там хранятся утилиты для администрирования ключей.

Матчасть

То, что на рынке принято называть токеном с неизвлекаемым ключом, правильно называется

Главным отличием ФКН от обычных токенов (Рутокен S, JaCarta PKI, …) в том, что при выполнении криптографических преобразований (например, формирование электронной подписи) закрытый ключ не покидает устройство. В то время как при использовании обычных токенов закрытый ключ копируется с токена в память комптьютера.

Использование ФКН требует особой организации взаимодействия между прикладным криптографическим ПО и библиотекой СКЗИ (криптопровайдером или, по-другому, CSP).

Здесь важно увидеть, что программная часть библиотеки СКЗИ должна знать о существовании на токене апплета, реализующего криптографический функционал (например, генерация ключа, подпись данных и т.д.) и уметь с ним работать.

Как сделать, чтобы все было хорошо?

1. Купить специальную версию библиотеки СКЗИ: — для Рутокен ЭЦП — СКЗИ КриптоПРО Рутокен CSP. — для JaCarta ГОСТ – СКЗИ КриптоПро ФКН CSP.

2. Одновременно с библиотекой СКЗИ необходимо приобрести специально подготовленные токены, содержащие в себе программные части (апплеты), с которыми умеет работать КриптоПРО Рутокен CSP или КриптоПро ФКН CSP соответственно.

Как работает Рутокен ЭЦП 2.0

Рутокен ЭЦП 2.0 предназначен для безопасной двухфакторной аутентификации пользователей, генерации и защищенного хранения ключей шифрования, ключей электронной подписи, цифровых сертификатов и других данных, а так же для выполнения шифрования и электронной подписи «на борту» устройства.

Аппаратная реализация национальных стандартов электронной подписи, шифрования и хэширования позволяет использовать Рутокен ЭЦП 2.0 в качестве интеллектуального ключевого носителя и средства электронной подписи в российских системах PKI, в системах юридически значимого электронного документооборота и в других информационных системах, использующих технологии электронной подписи.

Рутокен ЭЦП 2.0 позволяет выполнять криптографические операции таким образом, что закрытая ключевая информация никогда не покидает пределы токена. Таким образом, исключается возможность компрометации ключа и увеличивается общая безопасность информационной системы.

Рутокен ЭЦП 2.0 обеспечивает двухфакторную аутентификацию в компьютерных системах. Для успешной аутентификации требуется выполнение двух условий: знание пользователем PIN-кода и физическое наличие самого идентификатора. Это обеспечивает гораздо более высокий уровень безопасности по сравнению с традиционным доступом по паролю.

Основу Рутокен ЭЦП 2.0 составляет современный защищенный микроконтроллер и встроенная защищенная память, в которой безопасно хранятся данные пользователя: пароли, ключи шифрования и подписи, сертификаты и другие данные.

Электронный идентификатор Рутокен ЭЦП 2.0 поддерживает основные российские и международные стандарты в области информационной безопасности. Это позволяет легко, без дополнительных усилий, встраивать его поддержку в существующие информационные системы.

Рутокен ЭЦП PKI предназначен для безопасной двухфакторной аутентификации пользователей, генерации и защищенного хранения ключей шифрования и ключей электронной подписи, выполнения шифрования и самой ЭП «на борту» устройства, а также хранения цифровых сертификатов и иных данных.

Аппаратная реализация национальных стандартов электронной подписи, шифрования и хэширования позволяет использовать Рутокен ЭЦП PKI в качестве интеллектуального ключевого носителя и средства электронной подписи в российских системах PKI, в системах юридически значимого электронного документооборота и в других информационных системах, использующих технологии электронной подписи.

Возможности Рутокен ЭЦП PKI позволяют выполнять криптографические операции таким образом, что закрытая ключевая информация никогда не покидает пределы токена. Таким образом, исключается возможность компрометации ключа и увеличивается общая безопасность информационной системы.

Рутокен ЭЦП PKI обеспечивает двухфакторную аутентификацию в компьютерных системах. Для успешной аутентификации требуется выполнение двух условий: знание пользователем PIN-кода и физическое наличие самого токена. Это обеспечивает гораздо более высокий уровень безопасности по сравнению с традиционным доступом по паролю.

Электронный идентификатор Рутокен ЭЦП PKI поддерживает основные российские и международные стандарты в области информационной безопасности. Это позволяет легко, без дополнительных усилий, встраивать его поддержку в существующие информационные системы.

ЭЦП Рутокен — это разновидность электронной цифровой подписи. ЦП — это аналог личной подписи субъекта на бумажном носителе. Она является реквизитом электронного документа. Согласно Федеральному закону № 63-ФЗ «Об электронной подписи», под ней понимается информация, присоединяемая к иной информации в электронной форме, то есть к подписываемому документу. Такая информация используется для идентификации лица, подписывающего документ.

Существует несколько разновидностей ЦП:

• Простая — подтверждает факт подписи документа с использованием кодов и паролей. Чаще всего используется для установления доступа граждан к порталу Государственных услуг.
• Неквалифицированная — является результатом криптографического шифрования информации, идентифицирует подписанта, позволяет фиксировать попытки изменения документа после его подписания. Подходит для внутреннего документооборота компании и отправки документации из одной организации в другую.
• Квалифицированная — отвечает всем признакам неквалифицированной ЦП, кроме того, содержит шифр для ее проверки в специальном квалифицированном сертификате, соответствует дополнительным требованиям. Используется для сдачи отчетности в госорганы, для участия в торгах и направления документации в банки.

Наибольшее распространение получили именно квалифицированные ЭЦП, поскольку юридически они полностью заменяют личную подпись физического лица или печать компании.

Таким образом, отвечая на вопрос о том, что это — ЭЦП Рутокен и для чего нужно, ответим —  для совершения операций, предусматривающих аутентификацию и формирование соответствующих реквизитов документов.

Сфера применения квалифицированных ЦП обширна. Они применяются в следующих областях:

• взаимодействие с контролирующими органами и передача отчетности;
• ведение деятельности на торговых площадках;
• документооборот между клиентом и банком;
• документооборот с контрагентами;
• оформление и регистрация сделок с недвижимым имуществом;
• формирование заявок на получение муниципальных и государственных услуг и другие сферы.

Использование ЦП значительно облегчает документооборот компании. Появляется возможность моментально обмениваться с контрагентами и госорганами подписанными документами, без необходимости почтовой пересылки бумажных эквивалентов.

Внешний вид ЭЦП на уже подписанном бланке состоит из следующих элементов:

• Сведения о техническом средстве подписи.
• Данные о ключевой паре, которая содержит два обезличенных набора байтов, сгенерированных ЦП.
• Сведения о сертификате ключа проверки, выданного удостоверяющим центром (этот сертификат объединяет данные ключа со сведениями о его владельце).

Рутокен 2.0

Рутокен 2.0 — это USB-токен, поддерживающий новые российские стандарты безопасности. Эти стандарты предусмотрены ГОСТами 34.11-2012, 34.10-2012 и VKO ГОСТ P 34.10-2012 (RFC 7836). Специфика новых стандартов состоит в повышенных требованиях к обеспечению безопасности. Кроме того, Рутокен 2.0 поддерживает и основные международные протоколы по контролю защищенности сведений.

В частности, реализована возможность выполнять криптографические операции так, чтобы закрытая информация о ключах не покидала пределы внешнего носителя. Так исключается возможность подделки и компрометации конфиденциальных сведений.

Этот USB-токен выполняет операции шифрования с большей скоростью, чем предыдущие версии. Функционал токена предполагает безопасную двухфакторную аутентификацию пользователей с возможностью генерации и хранения шифровальных кодов и ключей на самом внешнем носителе.

Рутокен 2.0 имеет сертификат Федеральной службы безопасности, как средство цифровой подписи и криптографической защиты информации.

Использование этого токена необходимо при работе в ряде федеральных информационных систем (например, ЕГАИС), работающих с инфраструктурой открытых ключей.

Опять нет. Данные устройства могут реализовывать функционал ФКН (но, возможно, в меньшем объеме, чем при использовании их совместно с СКЗИ КриптоПРО), но для этого нужен софт, который умеет работать с апплетами размещенными на токенах. Таким софтом может быть

. Он это

. При генерации ключевой пары в мастере КриптоАРМ можно выбрать криптопровайдер, который будет использоваться, например, Rutoken ECP или eToken GOST. Это и позволит использовать токен как ФКН.