Уважаемые пользователи, просим вас не печатать статьи и инструкции по использованию сервисов ВГТУ. Материалы постоянно изменяются и дополняются, поэтому бумажные версии очень быстро потеряют свою актуальность.

Ключевые системы и ключевые носители: различия между версиями

Материал из ВГТУ:wiki
Перейти к навигации Перейти к поиску
(Новая страница: «6. Ключевая система и ключевые носители 6.1. Общие положения СКЗИ «КриптоПро CSP» v 4.0 являет...»)
 
(Содержимое страницы заменено на «''Текст приведен согласно документу [https://ca.kontur.ru/Files/userfiles/file/Faq/cryptopro-license/...»)
Строка 1: Строка 1:
−
6. Ключевая система и ключевые носители
+
''Текст приведен согласно документу [https://ca.kontur.ru/Files/userfiles/file/Faq/cryptopro-license/%D0%96%D0%A2%D0%AF%D0%98_00087-01%2091%2001_%20%D0%A0%D1%83%D0%BA%D0%BE%D0%B2%D0%BE%D0%B4%D1%81%D1%82%D0%B2%D0%BE%20%D0%B0%D0%B4%D0%BC%D0%B8%D0%BD%D0%B8%D1%81%D1%82%D1%80%D0%B0%D1%82%D0%BE%D1%80%D0%B0%20%D0%B1%D0%B5%D0%B7%D0%BE%D0%BF%D0%B0%D1%81%D0%BD%D0%BE%D1%81%D1%82%D0%B8_%20%D0%9E%D0%B1%D1%89%D0%B0%D1%8F%20%D1%87%D0%B0%D1%81%D1%82%D1%8C.pdf ЖТЯИ 00087-01 91 01 Руководство администратора безопасности]''
−
6.1. Общие положения
+
 
−
СКЗИ «КриптоПро CSP» v 4.0 является системой с открытым распределением ключей на
+
 
−
основе асимметричной криптографии с использованием закрытого ключа на одной стороне и
+
1. Общие положения СКЗИ
−
соответствующего ему открытого ключа информационного взаимодействия на другой стороне.
 
−
Пользователь, обладающий правом подписи и/или шифрования данных, вырабатывает
 
−
на своем рабочем месте или получает у администратора безопасности (в зависимости от
 
−
принятой политики безопасности) личные закрытый ключ (ключ ЭП) и открытый ключ (ключ
 
−
проверки ЭП). На основе каждого открытого ключа (ключа проверки ЭП) Удостоверяющим
 
−
Центром формируется сертификат открытого ключа (сертификат ключа проверки ЭП).
 
−
6.1.1. Шифрование данных
 
−
При зашифровании сообщения пользователем A для пользователя Б, пользователь А
 
−
формирует симметричный ключ связи (сеансовый ключ информационного обмена) на основе
 
−
своего закрытого ключа обмена и открытого ключа обмена пользователя Б. Соответственно,
 
−
для расшифрования этого сообщения пользователем Б формируется тот же симметричный ключ
 
−
на основе своего закрытого ключа обмена и открытого ключа обмена пользователя А.
 
−
Таким образом, для обмена данными каждому пользователю необходимо иметь:
 
−
 личный закрытый ключ обмена;
 
−
 открытые ключи обмена других пользователей.
 
−
Сеансовый ключ информационного обмена вырабатывается на основе алгоритма ДиффиХеллмана. Алгоритм Диффи-Хеллмана обеспечивает формирование сеансовых ключей, но не
 
−
обеспечивает аутентификацию связывающихся сторон. Поэтому данный алгоритм должен
 
−
использоваться совместно с протоколами аутентификации, в частности, с протоколом
 
−
«КриптоПро IKE».
 
−
6.1.2. Формирование и проверка ЭП
 
−
Для формирования электронной подписи используется ключ электронной подписи, для
 
−
проверки – соответствующий ключ проверки электронной подписи. Проверяющий должен быть
 
−
полностью уверен в принадлежности ключа проверки ЭП конкретному пользователю. Для этой
 
−
цели используется сертификат ключа проверки ЭП, подписанный Удостоверяющим Центром.
 
−
Каждому пользователю, обладающему правом подписи, необходимо иметь:
 
−
 ключ электронной подписи;
 
−
 ключи проверки электронной подписи (сертификаты ключей проверки электронной
 
−
подписи) других пользователей.
 
−
Ключ электронной подписи может быть использован только для формирования
 
−
ЭП.
 
−
Закрытый ключ обмена может быть использован как для формирования ключа
 
−
связи с другим пользователем, так и для формирования ЭП.
 
−
6.2. Ключевой контейнер
 
−
Закрытые ключи СКЗИ «КриптоПро CSP» v 4.0 хранятся в ключевом контейнере, который
 
−
может содержать в себе:
 
−
 только ключ подписи;
 
−
 только ключ обмена;
 
−
 ключ подписи и ключ обмена одновременно.
 
−
ЖТЯИ.00087-01 91 01. КриптоПро CSP. Руководство администратора безопасности.
 
−
Общая часть
 
−
28
 
−
Единственный ключ ключевого контейнера (ключ подписи или ключ обмена) называется
 
−
первичным ключом. Если в контейнере два ключа, то первый ключ - ключ подписи -
 
−
называется первичным, второй ключ – ключ обмена - вторичным.
 
−
Ключевой контейнер содержит кроме ключей служебную информацию, необходимую для
 
−
обеспечения криптографической защиты ключей, их целостности и т.п.
 
−
Каждый ключевой контейнер (независимо от типа носителя), является самодостаточным
 
−
и содержит всю необходимую информацию для работы как с самим контейнером, так и с
 
−
закрытыми (и соответствующими им открытыми) ключами.
 
−
На ключевом носителе ключи хранятся в формате ключевого контейнера.
 
−
6.3. Формат ключевого контейнера
 
−
Ключевой контейнер содержит следующую информацию:
 
−
 первичный ключ;
 
−
 маски первичного ключа;
 
−
 контрольную информацию первичного ключа;
 
−
 вторичный ключ (опциональный);
 
−
 резервную копию ключевого контейнера.
 
−
Каждый закрытый ключ хранится в формате, дополнительно содержащем все константы,
 
−
необходимые для формирования и экспорта открытого ключа.
 
−
Формат ключевого контейнера обеспечивает чтение ключей и соответствующих масок
 
−
отдельными операциями в раздельные (разнесенные по адресам) области памяти, для чего он
 
−
содержит шесть зон (реализация зон зависит от типа ключевого носителя).
 
−
Ключевой контейнер содержит также дополнительную информацию, необходимую для
 
−
обеспечения его восстановления при возникновении различных программно-аппаратных сбоев
 
−
(дополнительная информация включается в тех случаях, когда размер ключевого контейнера
 
−
не ограничен размерами памяти физического носителя).
 
−
Для использования ключевого контейнера только на одном определенном ПК (например,
 
−
для привязки токена к ПК), возможно этот контейнер зашифровать на другом контейнере,
 
−
хранящимся на этом ПК (желательно не экспортируемом).
 
−
6.4. Формирование ключей
 
−
Формирование ключей пользователя производится с использованием функции CPGenKey
 
−
(см. ЖТЯИ.00087-01 96 01 «КриптоПро CSP. v 4.0 Руководство программиста») и
 
−
спецификацией типа формируемого ключа: AT_KEYEXCHANGE. AT_SIGNATURE,
 
−
AT_UECSYMMETRICKEY.
 
−
Формирование ключей возможно, если:
 
−
1. контекст криптопровайдера «КриптоПро CSP» открыт функцией CPAcquireContext с
 
−
флагом CRYPT_NEWKEYSET и несуществующим именем ключевого контейнера,
 
−
специфицированным параметром pszContainer;
 
−
2. контекст криптопровайдера «КриптоПро CSP» открыт функцией CPAcquireContext с
 
−
указанием ранее созданного ключевого контейнера, специфицированного параметром
 
−
pszContainer.
 
−
 
−
1. Для исполнения 1-Base закрытые ключи ЭП и обмена формируются с использованием ПДСЧ с
 
−
инициализацией его от БиоДСЧ или от внешней гаммы.
 
−
2. При использовании считывателей смарт-карт или устройств чтения таблеток Touch-Memory
 
−
DALLAS необходимо проведение проверки настройки используемых ими портов ПЭВМ в BIOS и
 
−
ОС.
 
−
3. Перед использованием процессорные карты должны быть «выпущены» с использованием
 
−
транспортного пин-кода и ПО выпуска карт (поставляются дистрибутором карт)
 
−
4. При использовании НГМД в качестве ключевого носителя во избежание потери ключевой
 
−
ЖТЯИ.00087-01 91 01. КриптоПро CSP. Руководство администратора безопасности.
 
−
Общая часть
 
−
29
 
−
информации рекомендуется хранить ее копию.
 
−
6.5. Ключевые носители
 
−
В качестве ключевых носителей используются:
 
−
 ГМД 3,5’’, USB диски;
 
−
 Смарткарты GEMALTO (GemSim1, GemSim2, Optelio, OptelioCL, OptelioCL2, Native) ;
 
−
 eToken, Jacarta;
 
−
 USB-токены Рутокен ЭЦП (Flash, Bluetooth), Рутокен Lite Novacard;
 
−
 Смарткарты Рутокен Lite SC, Рутокен ЭЦП SC;
 
−
 Rutoken S;
 
−
 Смарткарты РИК (ОСКАР 1, ОСКАР 2, Магистра, TRUST, TRUSTS, TRUSTD);
 
−
 Смарткарта УЭК;
 
−
 Смарткарта MS_KEY K;
 
−
 ESMART Token;
 
−
 Смарткарты Athena IDProtect, MorphoKST, Cha cardOS, Cha JCOP;
 
−
 Смарткарты Алиот INPASPOT Series, SCOne Series;
 
−
 Раздел HDD ПЭВМ (в Windows - реестр);
 
−
 Идентификаторы Touch-Memory DS1995, DS1996.
 
−
Использование ключевых носителей в зависимости от программно-аппаратной
 
−
платформы отражено в ЖТЯИ.00087-01 30 01. СКЗИ «КриптоПро CSP 4.0». Формуляр, п. 3.8.
 
−
 
−
1. В состав дистрибутива СКЗИ входят библиотеки поддержки всех перечисленных носителей, но
 
−
не входят драйверы для ОС. По вопросам получения драйверов необходимо обращаться к
 
−
производителям соответствующих устройств.
 
−
2. Хранение закрытых ключей на HDD ПЭВМ и USB дисках (в реестре ОС Windows, в разделе
 
−
HDD при работе под управлением других ОС) допускается только при условии распространения
 
−
на HDD, USB диск или на ПЭВМ с HDD требований по обращению с ключевыми носителями
 
−
(п.6.7 ЖТЯИ.00087-01 91 01. Руководство администратора безопасности общая часть).
 
−
3. Все вышеперечисленные носители используются только в качестве пассивного хранилища
 
−
ключевой информации без использования криптографических механизмов, реализованных на
 
−
смарт-карте/токене.
 
−
4. Использование носителей других типов - только по согласованию с ФСБ России.
 
−
6.6. Размеры ключей
 
−
Длины ключей электронной подписи:
 
−
ключ электронной подписи 256 или 512 бит;
 
−
ключ проверки электронной подписи 512 или 1024 бит.
 
−
Длины ключей, используемых при шифровании:
 
−
закрытый ключ 256 бит или 512 бит;
 
−
открытый ключ 512 бит или 1024 бита;
 
−
симметричный ключ 256 бит.
 
−
ЖТЯИ.00087-01 91 01. КриптоПро CSP. Руководство администратора безопасности.
 
−
Общая часть
 
−
30
 
−
6.7. Хранение ключевых носителей
 
−
При хранении ключей необходимо обеспечить невозможность доступа к ключевым
 
−
носителям не допущенных к ним лиц. Пользователь несет персональную ответственность за
 
−
хранение личных ключевых носителей.
 
−
Запрещается оставлять без контроля вычислительные средства с установленным СКЗИ
 
−
после ввода ключевой информации.
 
−
В случае централизованного хранения ключевых носителей в организации,
 
−
эксплуатирующей СКЗИ, администратор безопасности (если он имеется) несет персональную
 
−
ответственность за хранение личных ключевых носителей пользователей.
 
−
При хранении ключей в реестре Windows и на HDD ПЭВМ требования по хранению
 
−
личных ключевых носителей распространяются на ПЭВМ (HDD ПЭВМ) (в том числе и пос ле
 
−
удаления ключей из реестра, из HDD).
 
−
В случае невозможности отчуждения ключевого носителя с ключевой информацией от
 
−
ПЭВМ организационно-техническими мероприятиями должен быть исключен доступ
 
−
нарушителей к ПЭВМ с ключами.
 
−
При хранении ключей на HDD ПЭВМ необходимо использовать парольную защиту.
 
−
СКЗИ может функционировать и хранить ключевую информацию в двух режимах:
 
−
 в памяти приложения;
 
−
 в «Службе хранения ключей», реализованной в виде системного сервиса.
 
−
Ключи находятся в кэше до завершения приложения или до выключения компьютера
 
−
(остановки службы), что позволяет использовать закрытый ключ даже после закрытия
 
−
криптографического контекста.
 
−
Функционирование и хранение ключей СКЗИ «КриптоПро CSP». v 4.0 в «Службе
 
−
хранения ключей» обеспечивает дополнительную защиту ключевой информации от других
 
−
приложений, выполняющихся на ПЭВМ, но может незначительно замедлить производительность
 
−
системы.
 
−
В случае необходимости проведения ремонтных и регламентных работ аппаратной части
 
−
СКЗИ/СФК необходимо обеспечить невозможнос ть доступа нарушителя к ключевой
 
−
информации, содержащейся в аппаратной части СКЗИ/СФК. Конкретный перечень мер должен
 
−
быть определен исходя из условий эксплуатации СКЗИ.
 
−
6.8. Сроки действия пользовательских ключей
 
−
При эксплуатации СКЗИ «КриптоПро CSP». v 4.0 должны соблюдаться следующие сроки
 
−
использования пользовательских закрытых ключей и сертификатов:
 
−
 максимальный срок действия закрытого ключа ЭП-256 (ключа ЭП) - 1 год 3 месяца;
 
−
 максимальный срок действия закрытого ключа ЭП-512 (ключа ЭП) - 1 год 3 месяца;
 
−
 максимальный срок действия открытого ключа ЭП-256 (ключа проверки ЭП) - 15 лет;
 
−
 максимальный срок действия открытого ключа ЭП-512 (ключа проверки ЭП) - 15 лет;
 
−
 максимальный срок действия закрытых и открытых ключей обмена – 1 год 3 месяца.
 
−
При формировании закрытого ключа в контейнер записывается дата истечения срока
 
−
действия этого ключа, по истечении которого в зависимости от настроек групповой политики
 
−
возможны различные варианты использования этого ключа.
 
−
Значение «0» групповой политики не накладывает никаких ограничений на
 
−
использование ключа;
 
−
Значение «1» групповой политики запрещает формирование ЭП и шифрование в
 
−
контексте этого ключа (возможно расшифрованные ранее зашифрованных сообщений) ;
 
−
Значение «2» групповой политики запрещает любые действия с закрытым ключом.
 
−
ЖТЯИ.00087-01 91 01. КриптоПро CSP. Руководство администратора безопасности.
 
−
Общая часть
 
−
31
 
−
Срок действия ключа берется из (в порядке уменьшения приоритета):
 
−
 Расширения контейнера ключа;
 
−
 Расширения сертификата ключа;
 
−
 Даты создания ключа + 1 год 3 месяца.
 
−
Для операционных систем группы Windows выставить необходимое значение групповой
 
−
политики можно в Редакторе локальной групповой политики (Выполнить -> gpedit.msc), в
 
−
разделе «Классические административные шаблоны (ADM)». Для ключей алгоритма
 
−
ГОСТ Р 34.10-2001 необходимо изменить значение ключа реестра
 
−
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Crypto-Pro\CSP\ControlKeyTimeValidity2001.
 
−
Выставление значения «0» для ключей алгоритма ГОСТ Р 34.10-2001 не допускается.
 
−
Для ключей алгоритма ГОСТ Р 34.10-2012 как для коротких (256 бит), так и для длинных
 
−
(512 бит) необходимо изменить значение ключа реестра
 
−
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Crypto-Pro\CSP\ControlKeyTimeValidity2012.
 
−
Настройка СКЗИ для остальных ОС осуществляется с помощью утилиты cpconfig с
 
−
помощью команды
 
−
cpconfig -policy -set ControlKeyTimeValidity2001(2012) -value <значение>.
 
−
 
−
При работе в режиме усиленного контроля использования ключей (режим обязателен к
 
−
использованию, отключение может производиться только в целях тестирования) значение
 
−
групповой политики контроля срока действия пользовательских ключей принимается равным
 
−
«2».
 
−
6.9. Уничтожение ключей на ключевых носителях
 
−
Ключи на ключевых носителях (включая Touch Memory и смарт -карты), срок действия
 
−
которых истек, уничтожаются путем переформатирования ключевых носителей средствами ПО
 
−
СКЗИ, после чего ключевые носители могут использоваться для записи на них новой ключевой
 
−
информации.
 
−
Об уничтожении ключей делается соответствующая запись в «Журнале пользователя
 
−
сети» (см. Ведение журналов п.8.11).
 
−
6.10. Интерфейс управления ключами СКЗИ
 
−
Последовательность действий при генерации закрытых ключей и ключей ЭП
 
−
пользователей, управлении их паролями, управлении ключами определена в документе
 
−
«ЖТЯИ.00087-01 92 01. КриптоПро CSP. Инструкция по использованию СКЗИ под управлением
 
−
ОС Windows».
 

Версия 19:41, 5 апреля 2022

Текст приведен согласно документу ЖТЯИ 00087-01 91 01 Руководство администратора безопасности


1. Общие положения СКЗИ

Источник — https://wiki.cchgeu.ru/index.php?title=Ключевые_системы_и_ключевые_носители&oldid=2574