Токены PKCS#11: сертификаты и закрытые ключи
Токены PKCS#11 выполняют не только криптографические функции (генерация ключевых пар, формирование и проверка электронной подписи и другие), но и являются хранилищем для публичных (открытых, PUBLIC KEY) и приватных (закрытых, PRIVATE KEY) ключей. На токене также могут храниться сертификаты. Как правило, на токене хранятся личные сертификаты вместе с ключевой парой. При этом на токене может храниться несколько личных сертификатов.
Встает дилемма, как определить какой закрытый ключ (да и открытый тоже) соответствует тому или иному сертификату.
Такое соответствие, как правило, устанавливается путем задание идентичных параметров CKA_ID и/или CKA_LABEL для тройки объектов: сертификата (CKO_CERTIFICATE), публичного ключа (CKO_PUBLIC_KEY) и приватного ключа (CKO_PRIVATE_KEY).
Возникает вопрос – как задавать эти значения, чтобы, по крайней мере, не возникла коллизия, и насколько это безопасно с точки зрения получения корректного результата.
Наиболее распространенный способ задания CKA_ID – это использование значения хэш-функции от значения открытого ключа. Именно такой способ для связывания тройки объектов используется в проекте NSS (Network Security Services). При этом в качестве хэш-функции используется алгоритм SHA1. С учетом того, что на токене реально будет храниться едва ли больше десятка личных сертификатов, то с точки зрения появления коллизии этот способ является хорошим. Вместе с тем CKA_ID для этой тройки могут устанавливаться в любой момент и любое значение. Именно в этом и состоит вся проблема. Если бы RFC или Рекомендации ТК-26 требовали установки параметра CKA_ID в момент появления объекта на токене (например, при генерации ключевой пары CKM_GOSTR3410_KEY_GEN_PAIR) и его нельзя было бы изменить, то на этом данное повествование можно было бы завершить. К сожалению, это не так. Как уже было сказано, CKA_ID можно установить в любой момент с любым значением. Таким образом, всегда существует вероятность, что сертификат окажется связанным с чужим приватным ключом. Не нужно объяснять, к каким это приведет последствиям.
А вообще, существует ли строгий математический алгоритм, который позволяет связать тройку CKO_CERTIFICATE x CKO_PRIVATE_KEY x CKO_PUBLIC_KEY в единое целое?
Да, такой алгоритм на базе криптографических механизмов (CKM_) токена существует. Связка сертификата и публичного ключа проверяется легко и просто. Берутся значение открытого ключа и его параметров из сертификата и сравниваются и аналогичными значениями публичного ключа.
Что касается сертификата и приватного ключа, то до недавнего времени этот алгоритм выглядел следующим образом. С помощью приватного ключа формируется подпись под некоторым текстом (например, «поиск закрытого ключа»), а затем с помощью открытого ключа, полученного из сертификата, проверяется корректность полученной подписи. Если подпись корректна, значит, мы получили закрытый ключ для выбранного сертификата. Если нет, то выбирается следующий закрытый ключ на токене.
Все, мы теперь не зависим ни от CKA_ID, ни от CKA_LABEL.
Но вот появляется документ «МЕТОДИЧЕСКИЕ РЕКОМЕНДАЦИИ. Расширение PKCS#11 для использования российских стандартов ГОСТ Р 34.10-2012, ГОСТ Р 34.11-2012, ГОСТ Р 34.12-2015 и ГОСТ Р 34.13-2015», в котором появляется новый механизм CKM_GOSTR3410_PUBLIC_KEY_DERIVE — механизм создания открытого ключа из закрытого. Данный механизм используется в C_DeriveKey. Теперь поиск закрытого ключа для сертификата значительно упрощается. Достаточно получить список закрытых ключей на токене, затем для каждого закрытого ключа получить открытый ключ:
А далее сравниваем значения полученного публичного ключа, со значениями публичного ключа в сертификате.
Применение любого из этих алгоритмов избавляет от необходимости следить за значениями CKA_ID/CKA_LABEL и делает использованием сертификатов и приватных ключей, хранящихся на токенах PKCS#11, и надежным и безопасным.
Использование механизма CKM_GOSTR3410_PUBLIC_KEY_DERIVE предполагает его реализацию на том или другом токене. Посмотреть список реализованных механизмов удобно с помощью утилиты p11conf:
Что такое открытый и закрытый ключ шифрования SSL
Ключ шифрования – криптографический термин. Это секретная информация (набор цифр и букв), которую использует специальный алгоритм для шифрования/ расшифровки сообщений, постановке/ проверке цифровых подписей и т.п. Количество информации в ключе измеряется в битах: чем больше битов в ключе, тем надежней зашифрована информация.
Ключи шифрования бывают:
-
симметричные — для шифрования и расшифровки используется, как правило, один ключ (либо второй легко вычисляется из первого),
асимметричные — используется два ключа: один для шифрования (он передается по открытому каналу), другой для расшифровки (так называемый, закрытый ключ):
- открытый ключ (public key);
- закрытый ключ (private key).
Асимметричная криптография — более надежная с точки зрения того, что злоумышленники, перехватившие часть трафика, не смогут получить всю информацию, так как для расшифровки им понадобится вторая часть ключа, а она хранится непосредственно у пользователя.
Данные вашего сайта под защитой
Установите SSL-сертификат, и ваш сайт будет работать по безопасному соединению HTTPS
Открытый и закрытый ключ сертификата
Одна из сфер употребления системы асимметричного шифрования — SSL-сертификаты. Подробнее о нем вы можете прочитать в статье Для чего нужен SSL-сертификат. Длина шифра SSL (иными словами, степень его надежности) складывается из длины открытой и закрытой частей ключа:
- открытый ключ — 4096 бит,
- закрытый ключ — 128-256 бит.
Размер ключа SSL гарантирует защищенность зашифрованной информации и сохранность передачи данных. Данные шифруются при обращении браузера к серверу с помощью открытого публичного ключа. Закрытый ключ шифрования генерируется при выпуске SSL-сертификата и сообщается только администратору домена. Такое шифрование применяется на этапе расшифровки информации, поступающей от браузера.
Поясним процесс обмена информацией между браузером и сервером по защищенному соединению с помощью наглядного примера, используемого в криптографии.
У нас есть два персонажа: Боб (сервер) и Алиса (браузер пользователя). Боб передает Алисе навесной замок. Открыть этот замок может только Боб, так как ключ есть только у него.
Замок = публичный (открытый) ключ.
Ключ от замка = приватный (закрытый) ключ.
Получив замок, Алиса надевает его на ящик, в котором содержится некая секретная информация, и посылает обратно Бобу. Аналогично, браузер шифрует сообщение публичным ключом и отдает серверу.
Ящик с замком попадет к Бобу, тот откроет замок своим ключом и узнает секретную информацию. Так, сервер расшифровывает сообщение закрытым ключом, который есть только у него.
Открытый и закрытый ключ ЭЦП: основные различия
Электронная подпись предусматривает применение закрытого и открытого ключей одновременно. Сама технология реализована на базе связки компонентов ЭЦП. Ключи связаны за счёт математического соотношения. Подобная технология обеспечивает безопасность шифрования данных. Даже в случае перехвата информации её практически невозможно расшифровать.
Что такое открытый ключ
Открытый ключ ЭЦП доступен для всех пользователей информационной системы. По своей сути это цифровой код. Сертификат открытого ключа ЭЦП используется для идентификации владельца и в качестве исходных данных для шифрования. В состав сертификата входят данные:
уникальный номер,
присваиваемый в ходе
регистрации;
личные сведения о держателе,
включая реквизиты эмитента —
удостоверяющего центра и
Ф. И. О. владельца
срок действия выданного
сертификата
Проверка электронной подписи
Проверить открытую часть электронной подписи можно с помощью СКЗИ — средств криптографической защиты информации. Это может быть, например, программа КриптоПро CSP. Но это же можно проделать и в сторонних программах, и на веб-сайтах.
Доступ к открытому элементу цифровой подписи публичный — воспользоваться им может кто угодно.
Открытая часть ключа ЭЦП: как сделать
Выдача этой части ключевой пары ЭЦП производится удостоверяющим центром, аккредитованным Минцифры, но это относится только к квалифицированным сертификатам. В его функции входит формирование собственного сертификата, сертификата конечного пользователя, заверение их аутентичности. Для учёта выданных сертификатов УЦ ведёт специальный реестр. Спектр выполняемых органом задач охватывает также аннулирование скомпрометированных сертификатов с последующим обновлением существующей базы.
Понятие закрытого ключа
Данные шифруются с помощью открытого ключа, а расшифровать их можно только тем закрытым ключом, который связан именно с этим открытым ключом.
Закрытый ключ ЭЦП именуется также секретным. Этот компонент криптосистемы считается более уязвимым и подверженным взлому. Его получение злоумышленником позволяет создать действительную электронную подпись от имени автора. Поэтому особую важность приобретает хранение криптографической составляющей в надёжном месте. Персональный компьютер не может обеспечить надлежащую защиту ключевой пары. Закрытый ключ ЭЦП — это уникальное сочетание символов, для хранения которых используется цифровой носитель. Им могут служить:
Похищение либо потеря устройства хранения данных могут быть сразу обнаружены пользователем — можно успеть своевременно отозвать сертификат. Использование токена или смарт-карты предполагает двухфакторную аутентификацию — введение PIN-кода. Скопировать информацию с носителя, не зная PIN-кода, представляется довольно сложной задачей. Однако токены более универсальны в связи с возможностью их использования на любом устройстве, оснащённом USB-портом.
Подписаться на рассылку
Хранение закрытого ключа осуществляется только у владельца электронной цифровой подписи. Но при этом дубликаты могут создаваться самим владельцем ЭЦП. Хранение составляющей ключевой пары с истёкшим сроком действия целесообразно с целью возможности в дальнейшем расшифровать документы из давнего электронного архива.
Закрытый ключ является конфиденциальным. Ответственность за его сохранность в полной мере возлагается на владельца ЭЦП, что прописано на законодательном уровне.
Зачем нужны открытый и закрытый ключ ЭЦП
Открытый и закрытый ключ электронной подписи решают разные задачи. Открытый ключ ЭЦП предназначен для зашифровки информации, в то время как закрытый призван обеспечить её расшифровку. Открытый ключ можно без опасений передавать, не рискуя при этом сохранностью данных. Работа ключевой пары осуществляется только при взаимодействии двух составляющих. Надёжная криптосистема успешно используется для заверения электронных документов. Удобный инструмент обеспечивает надлежащую конфиденциальность данных и защиту от фальсификации.
Как вытащить сертификат ключа проверки ЭЦП
Осуществить экспорт сертификата ключа электронной подписи возможно через свойства обозревателя или криптопровайдер КриптоПро CSP. Для извлечения необходимо подключить к ПК носитель с ключом. Чтобы подробнее ознакомиться с процедурой экспорта, воспользуйтесь нашей инструкцией. Кроме того, в ней можно узнать, как сделать дубликат ЭЦП.
Открытый ключ – закрытый ключ
Открытый ключ ЭЦП, закрытый ключ ЭЦП – занимаясь делами, требующими применения сертификата электронной подписи мы постоянно сталкиваемся с этими терминами. Что же на самом деле они означают?
Технология электронной подписи реализуется на связке двух ключей: открытого и закрытого. Оба этих ключа должны применяться совместно. Грубо говоря, любая квалифицированная электронная подпись состоит из этих двух частей: открытого ключа и закрытого ключа.
Закрытый и открытый ключи электронной подписи формируются на основании методов криптографии. Доступ к закрытой части должен иметь только ее хозяин. Закрытый ключ применяется для генерации электронных подписей. Открытый ключ, в свою очередь, применяется для проверки получателем подписанного документа подлинности подписи и содержит сведения о владельце подписи.
Закрытый ключ ЭЦП
С помощью закрытого ключа вы будете подписывать документы и заверять свои действия на Интернет-ресурсах. Он обеспечивает юридическую значимость ваших действий и является аналогом вашей личной подписи.
При помощи закрытого ключа вы также сможете расшифровывать данные, которые были зашифрованы специально для того, чтобы воспользоваться ими могли только вы.
Закрытый ключ сертификата усиленной квалифицированной электронной подписи рекомендуется хранить на защищённом внешнем носителе – например, специальной флешке-токене. На токен ставится пароль, известный только владельцу, а сам токен хранится в надёжном месте.
Если вы хотите подписать файл ЭЦП, и увидели сообщение о отсутствии закрытого ключа, вставьте токен (флешку) в компьютер или ноубук.
Никогда не передавайте токен третьим лицам: у кого в руках токен с закрытым ключом, тот в цифровом мире и является вами. По крайней мере с юридической точки зрения. Вы же не хотите однажды обнаружить, что на ваше имя открыто юр. лицо, набраны кредиты или проделаны иные неприятные для вас и вашего бизнеса действия?
Закрытый ключ можно хранить и в реестре компьютера, не копируя его на внешний носитель, но вы должны понимать, что ключом сможет воспользоваться любой человек, который имеет доступ к вашему компьютеру. Согласитесь, добиться полной сохранности маленького токена, которым вы пользуетесь только время от времени, гораздо проще, чем прятать информацию на компьютере, которым вы пользуетесь постоянно.
Если вы потеряли токен с закрытым ключом или считаете, что ключ на токене или в памяти компьютера скомпрометирован (например, подозреваете, что кто-то мог его скопировать), вам нужно как можно скорее отозвать сертификат. Для отзыва сертификата ЭЦП обратитесь в удостоверяющий центр, в котором вы купили подпись.
Помните: сертификат электронной подписи – ваша собственность и ответственность за его хранение и безопасность лежит на вас.
Открытый ключ ЭЦП
Открытый ключ ЭЦП необходим для проверки электронной подписи. С его помощью получатель документа устанавливает авторство документа и неизменность документа после подписания.
Открытый ключ вы можете предоставлять своим адресатам совершенно свободно, без каких-либо особенных мер безопасности.
Ваши бизнес-партнёры и прочие адресаты могут шифровать для вас данные с использованием информации, которую содержит ваш открытый ключ. И тогда прочитать зашифрованную информацию потом сможете только вы – при помощи вашего закрытого ключа.
Даже если зашифрованную информацию перехватят, её невозможно расшифровать без закрытого ключа. А закрытый ключ в это время будет надёжно спрятан в вашем сейфе, как мы уже договорились выше. Криптографические алгоритмы, которые применяются в этой технологии шифрования, обеспечивают высочайший уровень безопасности.
Открытый ключ ЭЦП может содержать следующую информацию: уникальный регистрационный номер сертификата, даты и время начала и окончания срока действия сертификата, ФИО владельца, наименование и реквизиты УЦ, наименование криптографического алгоритма, условия ограничении использования сертификата подписи. Кроме этого в открытый ключ могут вноситься дополнительные поля.
Где можно посмотреть данные сертификата ЭП?
Если у вас есть действующий сертификат УКЭП, это значит, на вашем компьютере установлена программа-криптопровайдер, например, КриптоПро. (Могут быть и иные криптопровайдеры, например, VipNet или Рутокен. Для них процедура аналогичная).
Если сертификат находится на токене – подключите его к компьютеру.
Откройте КриптоПро (например, через меню «Все программы» вашего компьютера): Программы–>КриптоПро–>КриптоПро CSP
Откроется окно программы, в котором надо выбрать вкладку «Сервис» и нажать кнопку «Просмотреть сертификаты в контейнере».
Далее в открывшемся окне нажмите кнопку «По сертификату».
Вы увидите список сертификатов, находящихся в реестре вашего компьютера или на присоединённом носителе. Далее нажмите надпись «Просмотреть свойства сертификата» на том сертификате, который вас интересует.
Откроется окно с данными сертификата цифровой подписи, где представлена информация о контейнере открытого и закрытого ключа.
Как отправить открытый ключ ЭЦП?
Чтобы отправить данные открытого ключа, в окне данных сертификата (как открыть это окно описано выше) откройте вкладку «Состав» и нажмите кнопку «Копировать в файл». Далее следуйте указаниям мастера экспорта сертификатов.
Будьте осторожны и не отошлите адресату закрытый ключ (контейнер закрытого ключа) вместе с открытым. Для этого внимательно читайте подсказки программы.
Выбор формата файла оставьте по умолчанию, просто нажмите кнопку «Далее».
Придумайте имя для файла с открытым ключом и выберите место на компьютере, где вы планируете его сохранить для последующего использования (нажав кнопку «Обзор»).
Затем нажмите кнопку «Готово».
Поздравляем, вы сохранили открытый ключ ЭЦП в файл и теперь можете отправлять его адресатам.
Открыты ключ и закрытый ключ ЭЦП: итоги
Итак, открытый и закрытый ключ электронной подписи решают разные задачи. При помощи данных, которые содержит открытый ключ ЭЦП, конфиденциальная информация зашифровывается. При помощи закрытого ключа – расшифровывается. При этом пара «открытый ключ-закрытый ключ» работает только в связке.
Для деловых партнеров и организаций очень удобно отправлять документы друг другу в зашифрованном виде, чтобы сохранять полную тайну переписки. Для этого потребуется обменяться открытыми ключами и установить программу шифрования данных – «Эникриптер». Бессрочная лицензия программы шифрования «Эникриптер» стоит всего 1600 рублей. При этом функционал программы всё время поддерживается разработчиками в актуальном состоянии. Отправляя друг другу важные документы в зашифрованном виде вы можете быть уверены в сохранении коммерческой тайны и безопасности ваших данных.
Чтобы воспользоваться вашим сертификатом электронной подписи для подписания документов, пользуйтесь нашим удобным бесплатным сервисом подписания документов онлайн. Наш сервис полностью защищён, а ваши документы подписываются прямо на вашем компьютере.
Не забывайте продлевать сертификат ЭЦП с помощью нашего онлайн сервиса перевыпуска ЭЦП, не посещая УЦ. Главное – успеть продлить подпись до конца срока окончания её действия.