Довольно часто при оформлении сертификатов ключей электронной подписи можно наблюдать навязчивый пиар токенов с неизвлекаемым ключом. Продавцы из удостоверяющих центров уверяют, что, купив у них СКЗИ КриптоПРО CSP и токен с неизвлекаемым ключом (Рутокен ЭЦП или JaCarta ГОСТ), мы получим сертифицированные СКЗИ, обеспечивающие 100%-ную защиту от кражи ключей с токена. Но так ли это на самом деле? Для ответа на этот вопрос проведем простой эксперимент…
Конфигурация тестового стенда
Соберем тестовый стенд с конфигурацией, типовой для машин, участвующих в электронном документообороте (ЭДО):- ОС MS Windows 7 SP1
- СКЗИ КриптоПРО CSP 3.9.8423
- Драйверы Рутокен для Windows (x86 и x64). Версия: v.4.1.0.0 от 20.06.2016, WHQL-certified
- Единый Клиент JaCarta и JaCarta SecurLogon. Версия 2.9.0 сборка 1531
- КриптоАРМ Стандарт Плюс 5. Версия 5.2.0.8847.
- Рутокен ЭЦП. Версия 19.02.14.00 (02)
- JaCarta ГОСТ. Номер модели JC001-2.F09 v2.1
Методика тестирования
Смоделируем типовой процесс подготовки Администратором информационной безопасности ключевых документов для организации ЭДО:- генерируется контейнер закрытого ключа и запрос на сертификат открытого ключа;
- после прохождения в удостоверяющем центре процедуры сертификации из запроса получается сертификат;
- сертификат в совокупности с контейнером закрытого ключа образует готовую для использования ключевую информацию. Данную ключевую информацию, записанную на носителе, будем называть исходным ключевым документом ;
- с исходного ключевого документа изготавливаются копии, которые записываются на отчуждаемые носители (далее будем называть их рабочими ключевыми документами ) и передаются уполномоченным пользователям;
- после изготовления необходимого количества рабочих ключевых документов исходный ключевой документ уничтожается или депонируется на хранение в орган криптографической защиты информации.
Проведение тестирования
1. Создадим исходный ключевой документ .Описание
Для этого с помощью КриптоАРМ создадим в реестре контейнер закрытого ключа test-key-reestr, содержащий самоподписанный сертификат (CN=test)
2.Сформируем рабочие ключевые документы .
Описание
С помощью штатных средств СКЗИ КриптоПРО CSP (Пуск-->Панель управления-->КриптоПро CSP) скопируем ключевой контейнер test-key-reestr на ключевые носители Рутокен ЭЦП и JaCarta ГОСТ. Ключевым контейнерам на ключевых носителях присвоим имена test-key-rutoken и test-key-jacarta соответственно.
Описание приведено применительно к JaCarta ГОСТ (для Рутокен ЭЦП действия аналогичны):
Таким образом получили рабочие ключевые документы
на JaCarta ГОСТ (контейнер test-key-jacarta) и Рутокен ЭЦП (контейнер test-key-rutoken).
3.Уничтожим исходный ключевой документ
Описание
Штатными средствами СКЗИ КриптоПРО CSP удалим из реестра ключевой контейнер test-key-reestr.
4. Скопируем ключевую информацию из рабочих ключевых документов
Описание
Попробуем скопировать ключевые контейнеры test-key-rutoken и test-key-jacarta обратно в реестр.
Описание приведено для JaCarta ГОСТ (для Рутокен ЭЦП действия аналогичны).
Как мы видим, ключевая информация успешно скопирована или, другим языком, извлечена из токенов с неизвлекаемым ключом. Получается, что производители токенов и СКЗИ врут? На самом деле нет, и ситуация сложнее, чем кажется на первый взгляд. Исследуем матчасть по токенам.
Матчасть
То, что на рынке принято называть токеном с неизвлекаемым ключом, правильно называется функциональным ключевым носителем (ФКН) (доп. инфо).Главным отличием ФКН от обычных токенов (Рутокен S , JaCarta PKI , …) в том, что при выполнении криптографических преобразований (например, формирование электронной подписи) закрытый ключ не покидает устройство. В то время как при использовании обычных токенов закрытый ключ копируется с токена в память комптьютера.
Использование ФКН требует особой организации взаимодействия между прикладным криптографическим ПО и библиотекой СКЗИ (криптопровайдером или, по-другому, CSP).
Здесь важно увидеть, что программная часть библиотеки СКЗИ должна знать о существовании на токене апплета, реализующего криптографический функционал (например, генерация ключа, подпись данных и т.д.) и уметь с ним работать.
По-новому взглянем на наш тестовый стенд
В качестве одного из ключевых носителей использовался Рутокен ЭЦП. Через «Панель управления Рутокен» о нем можно получить следующую информацию:
В последней строке указана фраза «Поддержка КриптоПРО ФКН: Нет», а это значит, что на токене нет апплета, с которым умеет работать СКЗИ КриптоПРО CSP. Таким образом, реализация технологии ФКН с использованием СКЗИ и токенов, описанных в конфигурации тестового стенда, невозможна.
Аналогичная ситуация и с JaCarta ГОСТ. Более того, СКЗИ КриптоПРО CSP, по крайней мере та версия, которая использовалась в тестовом стенде, использует данные ключевые носители как «обычные токены», которые, в свою очередь, являются просто носителями ключа.
Это утверждение очень просто подтвердить. Для этого надо поставить СКЗИ КриптоПРО CSP на чистую машину без драйверов от токенов и подключить токен JaCarta ГОСТ. ОС Windows 7 обнаружит токен JaCarta ГОСТ как «Устройство чтения смарт-карт Microsoft Usbccid (WUDF)». теперь можно попробовать создать ключ на токене и скопировать его в реестр компьютера. Весь функционал СКЗИ успешно отработает.
Как сделать, чтобы все было хорошо?
Чтобы с помощью продуктов ООО “КРИПТО-ПРО” реализовать технологию ФКН, необходимо:1. Купить специальную версию библиотеки СКЗИ:
- для Рутокен ЭЦП - СКЗИ КриптоПРО Рутокен CSP .
- для JaCarta ГОСТ – СКЗИ КриптоПро ФКН CSP .
2. Одновременно с библиотекой СКЗИ необходимо приобрести специально подготовленные токены, содержащие в себе программные части (апплеты), с которыми умеет работать КриптоПРО Рутокен CSP или КриптоПро ФКН CSP соответственно.
Получается, что Рутокен ЭЦП и JaCarta ГОСТ не являются токенами с неизвлекаемым ключом?
Опять нет. Данные устройства могут реализовывать функционал ФКН (но, возможно, в меньшем объеме, чем при использовании их совместно с СКЗИ КриптоПРО), но для этого нужен софт, который умеет работать с апплетами размещенными на токенах. Таким софтом может быть КриптоАРМ Стандарт 5 Плюс . Он это умеет . При генерации ключевой пары в мастере КриптоАРМ можно выбрать криптопровайдер, который будет использоваться, например, Rutoken ECP или eToken GOST. Это и позволит использовать токен как ФКН.
Выводы
- Не верьте продавцам, чушь вам городящим. Использование обычных версий криптопровайдера КриптоПРО CSP и обычных Рутокен ЭЦП или JaCarta ГОСт не позволяют реализовать технологию ФКН.
- Для использования технологии ФКН совместно с продуктами ООО «КРИПТО-ПРО» необходимы как специально подготовленные токены, содержащие апплет, с которым умеет работать СКЗИ, так и специальные версии криптопровайдера КриптоПРО CSP , которые умеют работать с апплетом на токенах.
- Рутокен ЭЦП и JaCarta ГОСТ умеет самостоятельно реализовывать технологию ФКН, но для этого необходим специальный софт.
ЛАБОРАТОРНАЯ РАБОТА №2
РАБОТА С КЛЮЧАМИ В СИСТЕМЕ PGP
Цель работы
Ознакомиться с принципами генерации и обмена ключевой информации в системе PGP .
Использование ключей PGP в программе "The Bat!"
Генерация ключа PGP
Для генерации ключа необходимо открыть окно управления ключами PGP . Для этого в главном меню необходимо использовать пункт "Инструменты->PGP->Управление ключами PGP...". В открывшемся окне управления ключами необходимо выбрать в главном меню пункт "Ключи->Создать новую пару ключей…".Запустится мастер создания ключей. Необходимо следовать его указаниям. На первом этапе необходимо указать свои данные (ФИО) и адрес электронной почты. Эта информация необходима для правильной идентификации Вашего ключа другими лицами. Пример ввода этих данных приведен на рисунке 1.
На следующем этапе необходимо выбрать размер ключа. Чем больше размер ключа – тем выше стойкость криптографических преобразований, выполненных на нем. Однако увеличение размера ключа снижает быстродействие. Кроме того, использование нестандартного размера может привести к проблемам несовместимости ключей. Рекомендуется оставить размер, предлагаемый по умолчанию – 1024 бита. На следующем этапе необходимо указать срок действия ключа. По умолчанию срок действия ключа устанавливается равным одному году.
Рисунок 2 – Пример указания мастеру Ф.И.О. и адреса электронной почты
На последнем этапе мастер создания ключей предложит указать пароль. Этот пароль необходимо запомнить, так как он используется при работе с ключом. Без знания пароля ключом воспользоваться невозможно.
После того, как мастер завершит работу, в окне появится новая пара ключей. Результат работы мастера приведен на рисунке 3. Как видно из рисунка, составными элементами ключа является имя пользователя и подпись. Новое имя можно добавить к ключу, выбрав пункт меню "Ключи->Добавить имя…".
Если у Вас в системе установлено две пары ключей, то активной на данный момент является та, которая выделена жирным шрифтом. На рисунке 4 это пара, расположенная вверху окна. Для изменения активной пары ключей необходимо выполнить следующие действия:
− выделить пару ключей, которую предполагается сделать активной;
− выполнить пункт меню "Ключи->Установить по умолчанию".
Рисунок 5 – Две пары ключей, установленные в системе
Для добавление подписи активного ключа в произвольный ключ (или пару ключей) необходимо выделить подписываемый ключ и выполнить команду "Ключи->Подписать…".
Для проверки и управления свойствами ключа можно использовать команду "Ключи->Свойства ключа…". При этом можно изменить пароль ключа, степень доверия ключу, а также запретить использование ключа.
Экспорт и отправка открытого ключа в письме
Для экспорта ключа необходимо выделить экспортируемый ключ и выполнить команду "Ключи->Экспорт". При этом откроется окно поиска файлов, в котором необходимо указать имя файла для экспорта ключа и выбрать нужную папку. Затем нажать кнопку "Сохранить". Следует обратить внимание, что после экспорта открытого ключа появится окно запросом экспорта закрытого ключа, приведенное на рисунке 6. На этот запрос необходимо дать отрицательный ответ, нажав кнопку "Нет". В противном случае Ваш секретный ключ будет экспортирован в незащищенный текстовый файл и им может воспользоваться злоумышленник. После экспорта ключа необходимо закрыть окно управления ключами и вернуться в почтовую программу.
Для отправки открытого ключа по почте необходимо в почтовой программе создать новое письмо на адрес получателя открытого ключа и затем вставить экспортированный ранее файл открытого ключа в письмо в виде вложения. Для этого необходимо воспользоваться командой "Сервис-
- Проверьте работоспособность Вашего Интернет-соединения.
- Проверьте версию Вашей операционной системы. Страница системы Клиент-Банк не будет отображаться на операционных система Windows XP Service Pack 2 и ниже, а также на Windows Server 2003 без установленных последних обновлений.
- В Internet Explorer перейдите в «Сервис» → «Свойства браузера» → «Дополнительно» . В открывшемся окне поставьте галочки напротив пунктов, содержащих в названии аббревиатуру «TLS » и снимите галочки напротив пунктов, содержащих «SSL ».
- Нажмите комбинацию клавиш Ctrl+F5 . Будет выполнено обновление страницы с очисткой кэша.
- Проверьте правильность написания адреса страницы системы Клиент-Банк. В адресной строке удалите всю информацию после .ru и нажмите Enter .
Проверьте правильность ввода логина и пароля. Рекомендуем обратить внимание на параметры ввода: текущий язык ввода и нажатие клавиши Caps Lock. Попробуйте ввести пароль в текстовом документе, проверьте его визуально и скопируйте в поле для ввода пароля в системе.
Данная ошибка может отображаться по следующим причинам:
- Истек срок действия ключей ЭП.
- Истек срок действия полномочий директора/ген. директора, указанный в банковской карточке организации.
- Вы ещё не выполнили первичную генерацию новых ключей.
- Вы только что сделали первичную генерацию новых ключей и нажали кнопку «Далее ». В этот момент ключи ещё не готовы. Для изготовления ключей необходимо распечатать заявление на изготовление сертификата открытого ключа и предоставить его в обслуживающий Ваши счета офис Банка.
Для уточнения подробной информации по данной ошибке обратитесь в службу технической поддержки.
Убедитесь, что в настройках параметров ключевых носителей абонентов у Вас указан путь только к каталогу с секретными ключами. Все остальные строчки должны быть пустыми:
- Убедитесь, что Вы зашли в систему с помощью браузера Internet Explorer.
- Добавьте адрес сайта системы Клиент-Банк в список сайтов, работающих в режиме совместимости.
- В браузере Internet Explorer нажмите на кнопку «Сервис » в верхней полосе (если кнопок нет, то нажмите клавишу Alt на клавиатуре до появления полосы с кнопками «Файл », «Правка », «Вид » и т.д.).
- Далее выберите пункт «Параметры просмотра в режиме совместимости ».
- В открывшемся окне впишите в верхнюю строку адрес сайта сайт и нажмите кнопки «Добавить » и «Закрыть ».
- Перезапустите браузер для того, чтобы изменения вступили в силу.
- В браузере Internet Explorer нажмите комбинацию клавиш «Ctrl+Shift+Delete ». В открывшемся окне поставьте галочки только напротив пунктов «Временные файлы Интернета » и «Файлы cookie » и нажмите кнопку «Удалить ».
- Произведите общий сброс настроек браузера.
- Закройте все окна Internet Explorer и перейдите в пункт «Панель управления » → «Свойства браузера Сети и Интернет »).
- Дополнительно » и нажмите кнопку «Сброс ».
- Удалить личные настройки » и нажмите кнопку «Сброс ».
Windows Vista, Windows 7:
- Пуск ».
- Выберите пункт «Панель управления » → «Свойства браузера » (может находиться в разделе «Сети и Интернет »).
- В открывшемся окне перейдите на вкладку «Дополнительно » и нажмите кнопку «Сброс ».
- В открывшемся окне не ставьте галочку «Удалить личные настройки » и нажмите кнопку «Сброс ».
- После завершения сброса перезагрузите компьютер, чтобы изменения вступили в силу.
Windows 8–10:
- Пуск » правой кнопкой мыши.
- Выберите пункт «Панель управления » → «Свойства браузера » (может находиться в разделе «Сети и Интернет »).
- В открывшемся окне перейдите на вкладку «Дополнительно » и нажмите кнопку «Сброс ».
- В открывшемся окне не ставьте галочку «Удалить личные настройки » и нажмите кнопку «Сброс ».
- После завершения сброса перезагрузите компьютер, чтобы изменения вступили в силу.
Ошибки при генерации новых ключей
Данная ошибка связана с тем, что система не может получить доступ к выбранному месту хранения ключей.
Если в офисе банка Вы не получали USB-устройство (eToken):
- При заполнении параметров генерации в поле «Место хранения ключей » укажите «Дисковый накопитель ». В поле «Каталог » укажите место для хранения ключей. Настоятельно рекомендуем, во избежание ошибок при создании ключей, НЕ ИСПОЛЬЗОВАТЬ для хранения ключей системный диск (локальный диск C:\) и хранящиеся на нем папки (в том числе Рабочий стол, Документы и т.д.).
- Проверьте, доступен ли для записи тот каталог, который был выбран для хранения секретных ключей в разделе «Место хранения ключей ».
- Проверьте, исправен ли Flash-носитель, который Вы используете.
Если Вы используете eToken:
Ошибки при работе в системе Банк-Клиент
Windows Vista, Windows 7:
- Закройте все окна Internet Explorer и перейдите в меню «Пуск ».
- Выберите пункт «Панель управления » → «Свойства браузера » (может находиться в разделе «Сети и Интернет »).
- В открывшемся окне перейдите на вкладку «Дополнительно » и нажмите кнопку «Сброс ».
- В открывшемся окне не ставьте галочку «Удалить личные настройки » и нажмите кнопку «Сброс ».
- После завершения сброса перезагрузите компьютер, чтобы изменения вступили в силу.
Windows 8–10:
- Закройте все окна Internet Explorer и нажмите по кнопке «Пуск » правой кнопкой мыши.
- Выберите пункт «Панель управления » → «Свойства браузера » (может находиться в разделе «Сети и Интернет »).
- В открывшемся окне перейдите на вкладку «Дополнительно » и нажмите кнопку «Сброс ».
- В открывшемся окне не ставьте галочку «Удалить личные настройки » и нажмите кнопку «Сброс ».
- После завершения сброса перезагрузите компьютер, чтобы изменения вступили в силу.