सार्वजनिक मुख्य बुनियादी सुविधा। स्व-अलगाव की स्थितियों में प्रमाण पत्र जारी करना

ये सब कैसे शुरू हुआ

आत्म-अलगाव की अवधि की शुरुआत में, मुझे मेल में एक पत्र मिला:



पहली प्रतिक्रिया स्वाभाविक थी: यह या तो टोकन के लिए जाना चाहिए, या उन्हें लाया जाना चाहिए, और सोमवार से हम सभी घर पर रहेंगे, आंदोलन के लिए प्रतिबंध, और क्या नरक मजाक नहीं है। इसलिए, उत्तर काफी स्वाभाविक था:



और जैसा कि हम सभी जानते हैं, सोमवार 1 अप्रैल से, काफी सख्त आत्म-अलगाव की अवधि शुरू हुई। हम भी, सभी ने udalenka पर स्विच किया और हमें एक वीपीएन की भी आवश्यकता थी। हमारा वीपीएन OpenVPN पर आधारित है, लेकिन रूसी क्रिप्टोग्राफी और PKCS # 11 टोकन और PKCS # 12 कंटेनरों के साथ काम करने की क्षमता का समर्थन करने के लिए संशोधित किया गया है। स्वाभाविक रूप से, यह पता चला कि हम खुद एक वीपीएन के माध्यम से काम करने के लिए बिल्कुल तैयार नहीं थे: कई के पास प्रमाण पत्र नहीं थे, जबकि अन्य की समय सीमा समाप्त हो गई थी।

प्रक्रिया कैसी थी?

और यहाँ cryptoarmpkcs उपयोगिता और CAFL63 अनुप्रयोग (प्रमाणन प्राधिकरण ) बचाव के लिए आया था ।

Cryptoarmpkcs उपयोगिता ने स्व-अलग करने वाले कर्मचारियों को प्रमाणपत्र



अनुरोधों को उत्पन्न करने के लिए अपने घर के कंप्यूटरों पर टोकन के साथ अनुमति दी : कर्मचारियों ने मुझे ई-मेल द्वारा सहेजे गए अनुरोध भेजे। कोई पूछ सकता है: - व्यक्तिगत डेटा के बारे में क्या है, लेकिन यदि आप ध्यान से देखें, तो वे अनुरोध में नहीं हैं। और अनुरोध स्वयं उसके हस्ताक्षर द्वारा सुरक्षित है।

प्राप्त होने पर, प्रमाणपत्र अनुरोध CA CAFL63 CA डेटाबेस में आयात किया जाता है:



उसके बाद, अनुरोध को अस्वीकार या अनुमोदित होना चाहिए। अनुरोध पर विचार करने के लिए, इसे चुनना आवश्यक है, दाएं माउस बटन दबाएं और ड्रॉप-डाउन मेनू में "निर्णय लें" आइटम चुनें:



निर्णय लेने की प्रक्रिया अपने आप में पूरी तरह से पारदर्शी है:



एक प्रमाण पत्र एक समान तरीके से जारी किया जाता है, केवल मेनू आइटम को "एक प्रमाण पत्र जारी करना" कहा जाता है:



जारी किए गए प्रमाण पत्र को देखने के लिए, आप संदर्भ मेनू का उपयोग कर सकते हैं या बस इसी लाइन पर डबल-क्लिक



कर सकते हैं : अब सामग्री को ओपनस्स्ल (टेक्स्ट टैब) का उपयोग करके देखा जा सकता है OpenSSL "से), साथ ही साथ CAFL63 एप्लिकेशन (टैब" सर्टिफिकेट टेक्स्ट ") के अंतर्निहित दर्शक। बाद के मामले में, आप क्लिपबोर्ड में पहले पाठ के रूप में प्रमाण पत्र की प्रतिलिपि बनाने के लिए संदर्भ मेनू का उपयोग कर सकते हैं, और फिर फ़ाइल में।

यह ध्यान दिया जाना चाहिए कि पहले संस्करण की तुलना में CAFL63 में क्या बदलाव आया है? प्रमाण पत्र देखने के लिए, हमने पहले ही यह नोट कर लिया है। वस्तुओं के समूह (प्रमाणपत्र, अनुरोध, CRL) का चयन करना और उन्हें पेजिंग मोड में देखना संभव हो गया है (बटन "चयनित देखें ...")।

संभवतः सबसे महत्वपूर्ण बात यह है कि परियोजना स्वतंत्र रूप से गीथूब पर उपलब्ध है । लिनक्स के लिए वितरण के अलावा, विंडोज और ओएस एक्स के लिए वितरण तैयार किए जाते हैं। एंड्रॉइड के लिए वितरण किट थोड़ी देर बाद रखी जाएगी।

CAFL63 एप्लिकेशन के पिछले संस्करण की तुलना में, न केवल इंटरफ़ेस ही बदल गया है, बल्कि, जैसा कि पहले ही उल्लेख किया गया है, नई सुविधाओं को जोड़ा गया है। इसलिए, उदाहरण के लिए, आवेदन के विवरण के साथ पृष्ठ को फिर से डिज़ाइन किया गया है, वितरण को डाउनलोड करने के लिए सीधे लिंक इसमें जोड़े गए हैं:



बहुतों ने पूछा और अब पूछते हैं कि GOST-s खुलता कहां है। परंपरागत रूप से मैं एक लिंक प्रदान करता हूंgarex। इस ओपनसेल का उपयोग कैसे किया जाता है, यहां लिखा गया है ।
लेकिन अब वितरण संस्करण में रूसी क्रिप्टोग्राफी के साथ ओप्सनल का एक परीक्षण संस्करण शामिल है।

इसलिए, CA सेट करते समय, जैसा कि Opensl उपयोग किया जाता है, लिनक्स के लिए या तो / tmp / lirssl_static निर्दिष्ट करना संभव होगा, या $ :: env (TEMP) /lirssl_static.exe विंडोज के लिए:



इस मामले में, आपको एक खाली lirssl.cnf फ़ाइल बनाने की आवश्यकता होगी और पर्यावरण चर LIRSSL_CONF में इस फ़ाइल का पथ निर्दिष्ट करें:



प्रमाणपत्र सेटिंग्स में एक्सटेंशन टैब प्राधिकरण जानकारी एक्सेस फ़ील्ड के साथ पूरक है, जहां आप CA रूट प्रमाणपत्र और OCSP सर्वर तक पहुंच बिंदुओं को सेट कर सकते हैं:



अक्सर यह सुना जाता है कि सीए अपने द्वारा उत्पन्न अनुरोधों (पीकेसीएस # 10) से आवेदकों को स्वीकार नहीं करते हैं, या इससे भी बदतर, वे खुद को एक निश्चित सीएसपी के माध्यम से एक प्रमुख जोड़ी की पीढ़ी के साथ अनुरोधों के गठन पर थोपते हैं। और वे PKCS # 11 इंटरफ़ेस के माध्यम से एक गैर-पुनर्प्राप्ति योग्य कुंजी (उसी RuToken EDS-2.0 पर) के साथ टोकन पर अनुरोध उत्पन्न करने से इनकार करते हैं। इसलिए, PKCS # 11 क्रिप्टोग्राफ़िक टोकन तंत्र का उपयोग करके CAFL63 एप्लिकेशन कार्यक्षमता में क्वेरी पीढ़ी को जोड़ने का निर्णय लिया गया था। टोकन तंत्र को जोड़ने के लिए, TclPKCS11 पैकेज का उपयोग किया गया था । CA ("प्रमाणपत्र के लिए अनुरोध" पृष्ठ, "अनुरोध बनाएँ / CSR" फ़ंक्शन) के लिए एक अनुरोध बनाते समय, अब आप यह चुन सकते हैं कि कुंजी जोड़ी कैसे उत्पन्न होगी (ओपनसेल या टोकन का उपयोग करके) और अनुरोध पर हस्ताक्षर किए जाएंगे:



टोकन के साथ काम करने के लिए आवश्यक लाइब्रेरी प्रमाणपत्र के लिए सेटिंग्स में लिखी गई है:



लेकिन हमने कॉर्पोरेट वीपीएन नेटवर्क में सेल्फ-आइसोलेशन मोड में काम करने के लिए कर्मचारियों को प्रमाण पत्र प्रदान करने के मुख्य कार्य से विचलित कर दिया है। यह पता चला कि कुछ कर्मचारियों के पास टोकन नहीं हैं। CACS63 इसकी अनुमति देता है, क्योंकि उन्हें PKCS # 12 सुरक्षित कंटेनरों के साथ प्रदान करने का निर्णय लिया गया था। पहले, हम ऐसे कर्मचारियों के लिए पीकेसीएस # 10 अनुरोध करते हैं जो ओपनएसएसएल क्रिप्टोग्राफिक सूचना सुरक्षा प्रणाली के प्रकार का संकेत देते हैं, फिर हम एक प्रमाण पत्र जारी करते हैं और इसे पीकेसीएस 12 में पैक करते हैं। ऐसा करने के लिए, प्रमाणपत्र पृष्ठ पर, आवश्यक प्रमाणपत्र का चयन करें, दायाँ माउस बटन पर क्लिक करें और "PKCS # 12 पर निर्यात करें" आइटम का चयन करें:



यह सुनिश्चित करने के लिए कि सब कुछ कंटेनर के क्रम में है, क्रिप्टोकरंसीप उपयोगिता का उपयोग करें।



अब आप कर्मचारियों को जारी किए गए प्रमाण पत्र भेज सकते हैं। बस प्रमाण पत्र वाली फाइलें किसी को भेजी जाती हैं (ये टोकन धारक हैं, जो अनुरोध भेजते हैं), या पीकेसीएस # 12 कंटेनर। दूसरे मामले में, प्रत्येक कर्मचारी को कंटेनर के लिए पासवर्ड के फोन द्वारा सूचित किया जाता है। यह इन कर्मचारियों के लिए वीपीएन कॉन्फ़िगरेशन फ़ाइल को सही करने के लिए पर्याप्त है, सही ढंग से कंटेनर में रास्ता तय करना।

टोकन के मालिकों के लिए, उन्हें अभी भी अपने टोकन के लिए एक प्रमाण पत्र आयात करना था। ऐसा करने के लिए, उन्होंने समान क्रिप्टोकरंसी उपयोगिता का उपयोग किया:



अब न्यूनतम वीपीएन कॉन्फ़िगरेशन परिवर्तन (टोकन पर सर्टिफिकेट लेबल बदल सकता है) और यही है, कॉर्पोरेट वीपीएन चालू है।

सुखद अंत

और फिर यह मुझ पर छा गया, लोग मेरे लिए टोकन क्यों लाएंगे या मेरे लिए एक दूत भेजेंगे। और मैं निम्नलिखित सामग्री के साथ एक ईमेल भेजता हूं:



जवाब अगले दिन आता है:



मैं तुरंत क्रिप्टोकरंसीपिक्स उपयोगिता के लिए एक लिंक भेजता हूं:



प्रमाण पत्र अनुरोध बनाने से पहले, मैंने सिफारिश की कि वे टोकन साफ ​​करें:



फिर, पीकेएस में प्रमाण पत्र के लिए ईमेल अनुरोध / 10 प्रारूप भेजे गए थे और मैंने जारी किया था प्रमाण पत्र जो मैंने पते पर भेजे:



और फिर एक सुखद क्षण आया:



और इस तरह का एक पत्र भी था:



और फिर इस लेख का जन्म हुआ।

लिनक्स और एमएस विंडोज प्लेटफार्मों के लिए CAFL63 आवेदन वितरण पाया जा सकता है

यहाँ

• Linux32
• Linux64
• WIN32
• WIN64
• OS X

एंड्रॉइड प्लेटफॉर्म सहित क्रिप्टोकरंसीज उपयोगिता वितरण स्थित हैं

यहाँ

• Linux32
• Linux64
• WIN32
• WIN64
• OS X
• Android