|
|
| Строка 1: |
Строка 1: |
| 6. Ключевая система и ключевые носители
| | ''Текст приведен согласно документу [https://ca.kontur.ru/Files/userfiles/file/Faq/cryptopro-license/%D0%96%D0%A2%D0%AF%D0%98_00087-01%2091%2001_%20%D0%A0%D1%83%D0%BA%D0%BE%D0%B2%D0%BE%D0%B4%D1%81%D1%82%D0%B2%D0%BE%20%D0%B0%D0%B4%D0%BC%D0%B8%D0%BD%D0%B8%D1%81%D1%82%D1%80%D0%B0%D1%82%D0%BE%D1%80%D0%B0%20%D0%B1%D0%B5%D0%B7%D0%BE%D0%BF%D0%B0%D1%81%D0%BD%D0%BE%D1%81%D1%82%D0%B8_%20%D0%9E%D0%B1%D1%89%D0%B0%D1%8F%20%D1%87%D0%B0%D1%81%D1%82%D1%8C.pdf ЖТЯИ 00087-01 91 01 Руководство администратора безопасности]'' |
| 6.1. Общие положения
| | |
| СКЗИ «КриптоПро CSP» v 4.0 является системой с открытым распределением ключей на
| | |
| основе асимметричной криптографии с использованием закрытого ключа на одной стороне и
| | 1. Общие положения СКЗИ |
| соответствующего ему открытого ключа информационного взаимодействия на другой стороне.
| |
| Пользователь, обладающий правом подписи и/или шифрования данных, вырабатывает
| |
| на своем рабочем месте или получает у администратора безопасности (в зависимости от
| |
| принятой политики безопасности) личные закрытый ключ (ключ ЭП) и открытый ключ (ключ
| |
| проверки ЭП). На основе каждого открытого ключа (ключа проверки ЭП) Удостоверяющим
| |
| Центром формируется сертификат открытого ключа (сертификат ключа проверки ЭП).
| |
| 6.1.1. Шифрование данных
| |
| При зашифровании сообщения пользователем A для пользователя Б, пользователь А
| |
| формирует симметричный ключ связи (сеансовый ключ информационного обмена) на основе
| |
| своего закрытого ключа обмена и открытого ключа обмена пользователя Б. Соответственно,
| |
| для расшифрования этого сообщения пользователем Б формируется тот же симметричный ключ
| |
| на основе своего закрытого ключа обмена и открытого ключа обмена пользователя А.
| |
| Таким образом, для обмена данными каждому пользователю необходимо иметь:
| |
| личный закрытый ключ обмена;
| |
| открытые ключи обмена других пользователей.
| |
| Сеансовый ключ информационного обмена вырабатывается на основе алгоритма ДиффиХеллмана. Алгоритм Диффи-Хеллмана обеспечивает формирование сеансовых ключей, но не
| |
| обеспечивает аутентификацию связывающихся сторон. Поэтому данный алгоритм должен
| |
| использоваться совместно с протоколами аутентификации, в частности, с протоколом
| |
| «КриптоПро IKE».
| |
| 6.1.2. Формирование и проверка ЭП
| |
| Для формирования электронной подписи используется ключ электронной подписи, для
| |
| проверки – соответствующий ключ проверки электронной подписи. Проверяющий должен быть
| |
| полностью уверен в принадлежности ключа проверки ЭП конкретному пользователю. Для этой
| |
| цели используется сертификат ключа проверки ЭП, подписанный Удостоверяющим Центром.
| |
| Каждому пользователю, обладающему правом подписи, необходимо иметь:
| |
| ключ электронной подписи;
| |
| ключи проверки электронной подписи (сертификаты ключей проверки электронной
| |
| подписи) других пользователей.
| |
| Ключ электронной подписи может быть использован только для формирования
| |
| ЭП.
| |
| Закрытый ключ обмена может быть использован как для формирования ключа
| |
| связи с другим пользователем, так и для формирования ЭП.
| |
| 6.2. Ключевой контейнер
| |
| Закрытые ключи СКЗИ «КриптоПро CSP» v 4.0 хранятся в ключевом контейнере, который
| |
| может содержать в себе:
| |
| только ключ подписи;
| |
| только ключ обмена;
| |
| ключ подписи и ключ обмена одновременно.
| |
| ЖТЯИ.00087-01 91 01. КриптоПро CSP. Руководство администратора безопасности.
| |
| Общая часть
| |
| 28
| |
| Единственный ключ ключевого контейнера (ключ подписи или ключ обмена) называется
| |
| первичным ключом. Если в контейнере два ключа, то первый ключ - ключ подписи -
| |
| называется первичным, второй ключ – ключ обмена - вторичным.
| |
| Ключевой контейнер содержит кроме ключей служебную информацию, необходимую для
| |
| обеспечения криптографической защиты ключей, их целостности и т.п.
| |
| Каждый ключевой контейнер (независимо от типа носителя), является самодостаточным
| |
| и содержит всю необходимую информацию для работы как с самим контейнером, так и с
| |
| закрытыми (и соответствующими им открытыми) ключами.
| |
| На ключевом носителе ключи хранятся в формате ключевого контейнера.
| |
| 6.3. Формат ключевого контейнера
| |
| Ключевой контейнер содержит следующую информацию:
| |
| первичный ключ;
| |
| маски первичного ключа;
| |
| контрольную информацию первичного ключа;
| |
| вторичный ключ (опциональный);
| |
| резервную копию ключевого контейнера.
| |
| Каждый закрытый ключ хранится в формате, дополнительно содержащем все константы,
| |
| необходимые для формирования и экспорта открытого ключа.
| |
| Формат ключевого контейнера обеспечивает чтение ключей и соответствующих масок
| |
| отдельными операциями в раздельные (разнесенные по адресам) области памяти, для чего он
| |
| содержит шесть зон (реализация зон зависит от типа ключевого носителя).
| |
| Ключевой контейнер содержит также дополнительную информацию, необходимую для
| |
| обеспечения его восстановления при возникновении различных программно-аппаратных сбоев
| |
| (дополнительная информация включается в тех случаях, когда размер ключевого контейнера
| |
| не ограничен размерами памяти физического носителя).
| |
| Для использования ключевого контейнера только на одном определенном ПК (например,
| |
| для привязки токена к ПК), возможно этот контейнер зашифровать на другом контейнере,
| |
| хранящимся на этом ПК (желательно не экспортируемом).
| |
| 6.4. Формирование ключей
| |
| Формирование ключей пользователя производится с использованием функции CPGenKey
| |
| (см. ЖТЯИ.00087-01 96 01 «КриптоПро CSP. v 4.0 Руководство программиста») и
| |
| спецификацией типа формируемого ключа: AT_KEYEXCHANGE. AT_SIGNATURE,
| |
| AT_UECSYMMETRICKEY.
| |
| Формирование ключей возможно, если:
| |
| 1. контекст криптопровайдера «КриптоПро CSP» открыт функцией CPAcquireContext с
| |
| флагом CRYPT_NEWKEYSET и несуществующим именем ключевого контейнера,
| |
| специфицированным параметром pszContainer;
| |
| 2. контекст криптопровайдера «КриптоПро CSP» открыт функцией CPAcquireContext с
| |
| указанием ранее созданного ключевого контейнера, специфицированного параметром
| |
| pszContainer.
| |
|
| |
| 1. Для исполнения 1-Base закрытые ключи ЭП и обмена формируются с использованием ПДСЧ с
| |
| инициализацией его от БиоДСЧ или от внешней гаммы.
| |
| 2. При использовании считывателей смарт-карт или устройств чтения таблеток Touch-Memory
| |
| DALLAS необходимо проведение проверки настройки используемых ими портов ПЭВМ в BIOS и
| |
| ОС.
| |
| 3. Перед использованием процессорные карты должны быть «выпущены» с использованием
| |
| транспортного пин-кода и ПО выпуска карт (поставляются дистрибутором карт)
| |
| 4. При использовании НГМД в качестве ключевого носителя во избежание потери ключевой
| |
| ЖТЯИ.00087-01 91 01. КриптоПро CSP. Руководство администратора безопасности.
| |
| Общая часть
| |
| 29
| |
| информации рекомендуется хранить ее копию.
| |
| 6.5. Ключевые носители
| |
| В качестве ключевых носителей используются:
| |
| ГМД 3,5’’, USB диски;
| |
| Смарткарты GEMALTO (GemSim1, GemSim2, Optelio, OptelioCL, OptelioCL2, Native) ;
| |
| eToken, Jacarta;
| |
| USB-токены Рутокен ЭЦП (Flash, Bluetooth), Рутокен Lite Novacard;
| |
| Смарткарты Рутокен Lite SC, Рутокен ЭЦП SC;
| |
| Rutoken S;
| |
| Смарткарты РИК (ОСКАР 1, ОСКАР 2, Магистра, TRUST, TRUSTS, TRUSTD);
| |
| Смарткарта УЭК;
| |
| Смарткарта MS_KEY K;
| |
| ESMART Token;
| |
| Смарткарты Athena IDProtect, MorphoKST, Cha cardOS, Cha JCOP;
| |
| Смарткарты Алиот INPASPOT Series, SCOne Series;
| |
| Раздел HDD ПЭВМ (в Windows - реестр);
| |
| Идентификаторы Touch-Memory DS1995, DS1996.
| |
| Использование ключевых носителей в зависимости от программно-аппаратной
| |
| платформы отражено в ЖТЯИ.00087-01 30 01. СКЗИ «КриптоПро CSP 4.0». Формуляр, п. 3.8.
| |
|
| |
| 1. В состав дистрибутива СКЗИ входят библиотеки поддержки всех перечисленных носителей, но
| |
| не входят драйверы для ОС. По вопросам получения драйверов необходимо обращаться к
| |
| производителям соответствующих устройств.
| |
| 2. Хранение закрытых ключей на HDD ПЭВМ и USB дисках (в реестре ОС Windows, в разделе
| |
| HDD при работе под управлением других ОС) допускается только при условии распространения
| |
| на HDD, USB диск или на ПЭВМ с HDD требований по обращению с ключевыми носителями
| |
| (п.6.7 ЖТЯИ.00087-01 91 01. Руководство администратора безопасности общая часть).
| |
| 3. Все вышеперечисленные носители используются только в качестве пассивного хранилища
| |
| ключевой информации без использования криптографических механизмов, реализованных на
| |
| смарт-карте/токене.
| |
| 4. Использование носителей других типов - только по согласованию с ФСБ России.
| |
| 6.6. Размеры ключей
| |
| Длины ключей электронной подписи:
| |
| ключ электронной подписи 256 или 512 бит;
| |
| ключ проверки электронной подписи 512 или 1024 бит.
| |
| Длины ключей, используемых при шифровании:
| |
| закрытый ключ 256 бит или 512 бит;
| |
| открытый ключ 512 бит или 1024 бита;
| |
| симметричный ключ 256 бит.
| |
| ЖТЯИ.00087-01 91 01. КриптоПро CSP. Руководство администратора безопасности.
| |
| Общая часть
| |
| 30
| |
| 6.7. Хранение ключевых носителей
| |
| При хранении ключей необходимо обеспечить невозможность доступа к ключевым
| |
| носителям не допущенных к ним лиц. Пользователь несет персональную ответственность за
| |
| хранение личных ключевых носителей.
| |
| Запрещается оставлять без контроля вычислительные средства с установленным СКЗИ
| |
| после ввода ключевой информации.
| |
| В случае централизованного хранения ключевых носителей в организации,
| |
| эксплуатирующей СКЗИ, администратор безопасности (если он имеется) несет персональную
| |
| ответственность за хранение личных ключевых носителей пользователей.
| |
| При хранении ключей в реестре Windows и на HDD ПЭВМ требования по хранению
| |
| личных ключевых носителей распространяются на ПЭВМ (HDD ПЭВМ) (в том числе и пос ле
| |
| удаления ключей из реестра, из HDD).
| |
| В случае невозможности отчуждения ключевого носителя с ключевой информацией от
| |
| ПЭВМ организационно-техническими мероприятиями должен быть исключен доступ
| |
| нарушителей к ПЭВМ с ключами.
| |
| При хранении ключей на HDD ПЭВМ необходимо использовать парольную защиту.
| |
| СКЗИ может функционировать и хранить ключевую информацию в двух режимах:
| |
| в памяти приложения;
| |
| в «Службе хранения ключей», реализованной в виде системного сервиса.
| |
| Ключи находятся в кэше до завершения приложения или до выключения компьютера
| |
| (остановки службы), что позволяет использовать закрытый ключ даже после закрытия
| |
| криптографического контекста.
| |
| Функционирование и хранение ключей СКЗИ «КриптоПро CSP». v 4.0 в «Службе
| |
| хранения ключей» обеспечивает дополнительную защиту ключевой информации от других
| |
| приложений, выполняющихся на ПЭВМ, но может незначительно замедлить производительность
| |
| системы.
| |
| В случае необходимости проведения ремонтных и регламентных работ аппаратной части
| |
| СКЗИ/СФК необходимо обеспечить невозможнос ть доступа нарушителя к ключевой
| |
| информации, содержащейся в аппаратной части СКЗИ/СФК. Конкретный перечень мер должен
| |
| быть определен исходя из условий эксплуатации СКЗИ.
| |
| 6.8. Сроки действия пользовательских ключей
| |
| При эксплуатации СКЗИ «КриптоПро CSP». v 4.0 должны соблюдаться следующие сроки
| |
| использования пользовательских закрытых ключей и сертификатов:
| |
| максимальный срок действия закрытого ключа ЭП-256 (ключа ЭП) - 1 год 3 месяца;
| |
| максимальный срок действия закрытого ключа ЭП-512 (ключа ЭП) - 1 год 3 месяца;
| |
| максимальный срок действия открытого ключа ЭП-256 (ключа проверки ЭП) - 15 лет;
| |
| максимальный срок действия открытого ключа ЭП-512 (ключа проверки ЭП) - 15 лет;
| |
| максимальный срок действия закрытых и открытых ключей обмена – 1 год 3 месяца.
| |
| При формировании закрытого ключа в контейнер записывается дата истечения срока
| |
| действия этого ключа, по истечении которого в зависимости от настроек групповой политики
| |
| возможны различные варианты использования этого ключа.
| |
| Значение «0» групповой политики не накладывает никаких ограничений на
| |
| использование ключа;
| |
| Значение «1» групповой политики запрещает формирование ЭП и шифрование в
| |
| контексте этого ключа (возможно расшифрованные ранее зашифрованных сообщений) ;
| |
| Значение «2» групповой политики запрещает любые действия с закрытым ключом.
| |
| ЖТЯИ.00087-01 91 01. КриптоПро CSP. Руководство администратора безопасности. | |
| Общая часть
| |
| 31
| |
| Срок действия ключа берется из (в порядке уменьшения приоритета):
| |
| Расширения контейнера ключа;
| |
| Расширения сертификата ключа;
| |
| Даты создания ключа + 1 год 3 месяца.
| |
| Для операционных систем группы Windows выставить необходимое значение групповой
| |
| политики можно в Редакторе локальной групповой политики (Выполнить -> gpedit.msc), в
| |
| разделе «Классические административные шаблоны (ADM)». Для ключей алгоритма
| |
| ГОСТ Р 34.10-2001 необходимо изменить значение ключа реестра
| |
| HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Crypto-Pro\CSP\ControlKeyTimeValidity2001.
| |
| Выставление значения «0» для ключей алгоритма ГОСТ Р 34.10-2001 не допускается.
| |
| Для ключей алгоритма ГОСТ Р 34.10-2012 как для коротких (256 бит), так и для длинных
| |
| (512 бит) необходимо изменить значение ключа реестра
| |
| HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Crypto-Pro\CSP\ControlKeyTimeValidity2012.
| |
| Настройка СКЗИ для остальных ОС осуществляется с помощью утилиты cpconfig с
| |
| помощью команды
| |
| cpconfig -policy -set ControlKeyTimeValidity2001(2012) -value <значение>.
| |
|
| |
| При работе в режиме усиленного контроля использования ключей (режим обязателен к
| |
| использованию, отключение может производиться только в целях тестирования) значение
| |
| групповой политики контроля срока действия пользовательских ключей принимается равным
| |
| «2».
| |
| 6.9. Уничтожение ключей на ключевых носителях
| |
| Ключи на ключевых носителях (включая Touch Memory и смарт -карты), срок действия
| |
| которых истек, уничтожаются путем переформатирования ключевых носителей средствами ПО
| |
| СКЗИ, после чего ключевые носители могут использоваться для записи на них новой ключевой | |
| информации.
| |
| Об уничтожении ключей делается соответствующая запись в «Журнале пользователя
| |
| сети» (см. Ведение журналов п.8.11).
| |
| 6.10. Интерфейс управления ключами СКЗИ
| |
| Последовательность действий при генерации закрытых ключей и ключей ЭП
| |
| пользователей, управлении их паролями, управлении ключами определена в документе
| |
| «ЖТЯИ.00087-01 92 01. КриптоПро CSP. Инструкция по использованию СКЗИ под управлением
| |
| ОС Windows».
| |
