рук. 2. ViPNet_Client_4_Руководство_пользователя. Руководство пользователя ао ИнфоТеКС
 Скачать 7.67 Mb.
|
|
Примечание. Под владельцем понимается сторона, контролирующая ключ электронной подписи, соответствующий данному ключу проверки электронной подписи. Владельцем сертификата может быть конечный пользователь или удостоверяющий центр. К необязательным полям относятся: уникальный идентификатор издателя, уникальный идентификатор владельца, расширения сертификата. ViPNet Client 4. Руководство пользователя | 317 Рисунок 157. Структура сертификата, соответствующего стандарту Х.509 версий 1, 2 и 3 ViPNet Client 4. Руководство пользователя | 318 Рисунок 158. Пример сертификата ViPNet, соответствующего стандарту X.509 версии 3 PKI и асимметричная криптография Одной из реализаций инфраструктуры, позволяющей управлять сертификатами ключей проверки электронной подписи, является технология PKI (инфраструктура открытых ключей) (см. глоссарий, стр. 380). PKI обслуживает жизненный цикл сертификата: издание сертификатов, хранение, резервное копирование, печать, взаимную сертификацию, ведение списков аннулированных сертификатов (CRL), автоматическое обновление сертификатов после истечения срока их действия. ViPNet Client 4. Руководство пользователя | 319 Основой технологии PKI являются отношения доверия, а главным управляющим компонентом — удостоверяющий центр. Удостоверяющий центр предназначен для регистрации пользователей, выпуска сертификатов, их хранения, выпуска CRL и поддержания его в актуальном состоянии. В сетях ViPNet удостоверяющий центр издает сертификаты как по запросам от пользователей, сформированным в специальной программе (например, ViPNet CSP или ViPNet Client), так и без запросов (в процессе создания пользователей ViPNet). Для сетей с большим количеством пользователей создается несколько удостоверяющих центров. Доверительные отношения между этими удостоверяющими центрами могут выстраиваться по распределенной или иерархической модели. В иерархической модели доверительных отношений удостоверяющие центры объединяются в древовидную структуру, в основании которой находится головной удостоверяющий центр. Головной удостоверяющий центр выдает кросс-сертификаты подчиненным ему центрам, тем самым обеспечивая доверие к ключам проверки электронной подписи этих центров. Каждый удостоверяющий центр вышестоящего уровня аналогичным образом делегирует право выпуска сертификатов подчиненным ему центрам. В результате доверие к сертификату каждого удостоверяющего центра основано на заверении его ключом вышестоящего центра. Сертификат головного удостоверяющего центра ( корневой сертификат (см. глоссарий, стр. 383)) является самоподписанным. В остальных удостоверяющих центрах администраторы не имеют собственных корневых сертификатов и для установления доверительных отношений формируют запросы на кросс-сертификат к своим вышестоящим удостоверяющим центрам. Рисунок 159. Иерархическая модель доверительных отношений В распределенной модели доверительных отношений все удостоверяющие центры равнозначны: в каждом удостоверяющем центре администратор имеет свой корневой (самоподписанный) сертификат. Доверительные отношения между удостоверяющими центрами в этой модели устанавливаются обычно путем двусторонней кросс-сертификации, когда два удостоверяющих центра издают кросс-сертификаты друг для друга. Взаимная кросс-сертификация проводится попарно между всеми удостоверяющими центрами. В ViPNet Client 4. Руководство пользователя | 320 результате в каждом удостоверяющем центре в дополнение к корневому сертификату имеются кросс-сертификаты, изданные для администраторов в других удостоверяющих центрах. Для подписания сертификатов пользователей каждый удостоверяющий центр продолжает пользоваться своим корневым сертификатом, а кросс-сертификат, изданный для другого удостоверяющего центра, использует для проверки сертификатов пользователей другой сети. Это возможно в силу того, кросс-сертификат для доверенного удостоверяющего центра издается на базе его корневого сертификата и содержит сведения о его ключе проверки электронной подписи. Поэтому в сети, отправившей запрос, нет необходимости переиздавать сертификаты пользователей. Рисунок 160. Распределенная модель доверительных отношений Зная иерархию и подчиненность удостоверяющих центров друг другу, можно всегда точно установить, является ли тот или иной пользователь владельцем данного ключа проверки электронной подписи. Использование сертификатов для шифрования электронных документов Отправитель может зашифровать документ с помощью открытого ключа получателя, при этом расшифровать документ сможет только сам получатель. В данном случае для зашифрования применяется сертификат получателя сообщения. Зашифрование 1 Пользователь создает электронный документ. 2 Открытый ключ получателя извлекается из сертификата. ViPNet Client 4. Руководство пользователя | 321 3 Формируется симметричный сеансовый ключ, для однократного использования в рамках данного сеанса. 4 Подписанный документ зашифровывается с использованием сеансового ключа (в соответствии с алгоритмом ГОСТ 28147–89). 5 Сеансовый ключ зашифровывается на ключе, который вырабатывается по протоколу Диффи — Хеллмана с использованием открытого ключа получателя. 6 Зашифрованный сеансовый ключ прикрепляется к зашифрованному документу. 7 Документ отправляется. Рисунок 161. Зашифрование электронного документа Расшифрование 1 Пользователь получает электронный документ. 2 Зашифрованное содержимое документа и зашифрованный сеансовый ключ извлекаются из документа. 3 Закрытый ключ получателя документа извлекается из контейнера ключей. 4 Сеансовый ключ расшифровывается с использованием закрытого ключа получателя. 5 Документ расшифровывается с использованием расшифрованного сеансового ключа. 6 Расшифрованный документ доступен получателю. ViPNet Client 4. Руководство пользователя | 322 Рисунок 162. Расшифрование электронного документа Использование сертификатов для подписания электронных документов Когда отправитель подписывает документ, он использует ключ электронной подписи, соответствующий ключу проверки электронной подписи, который хранится в сертификате. Когда получатель проверяет электронную подпись (см. глоссарий, стр. 387) сообщения, он извлекает ключ проверки электронной подписи из сертификата отправителя. Подписание 1 Пользователь создает электронный документ. 2 Вычисляется значение хэш-функции документа. Хэш-функция документа используется при формировании электронной подписи на стороне отправителя, а также при дальнейшей проверке электронной подписи на стороне получателя. 3 Ключ электронной подписи отправителя извлекается из контейнера ключей. 4 С использованием ключа электронной подписи отправителя на основе значения хэш-функции формируется электронная подпись. 5 Электронная подпись прикрепляется к документу. 6 Зашифрованный документ отправляется. ViPNet Client 4. Руководство пользователя | 323 Рисунок 163. Процесс подписания электронного документа Проверка подписи 1 Пользователь получает электронный документ. 2 Электронная подпись (зашифрованное значение хэш-функции) извлекается из документа. 3 Вычисляется значение хэш-функции документа. 4 Ключ проверки электронной подписи отправителя извлекается из сертификата отправителя. 5 Электронная подпись расшифровывается с использованием ключа проверки электронной подписи отправителя. 6 Значение хэш-функции электронной подписи сравнивается с полученным значением хэш-функции документа. 7 Если значения хэш-функций совпадают, электронная подпись документа считается действительной. Если значения хэш-функций не совпадают (то есть полученный документ был изменен с момента подписания), электронная подпись документа считается недействительной. Электронная подпись считается недействительной также в том случае, если сертификат отправителя просрочен, аннулирован, искажен или подписан удостоверяющим центром, с которым не установлены доверительные отношения. ViPNet Client 4. Руководство пользователя | 324 Рисунок 164. Процесс проверки электронной подписи документа Использование сертификатов для подписания и шифрования электронных документов Подписание и зашифрование 1 Пользователь создает электронный документ. 2 Вычисляется значение хэш-функции документа. 3 Ключ электронной подписи отправителя извлекается из контейнера ключей. 4 Открытый ключ получателя извлекается из сертификата получателя. 5 С использованием ключа электронной подписи отправителя на основе значения хэш-функции формируется электронная подпись. 6 Электронная подпись прикрепляется к документу. 7 Формируется симметричный сеансовый ключ, для однократного использования в рамках данного сеанса. 8 Подписанный документ зашифровывается с использованием сеансового ключа (в соответствии с алгоритмом ГОСТ 28147–89). 9 Сеансовый ключ зашифровывается на ключе, который вырабатывается по протоколу Диффи — Хеллмана с открытого ключа получателя. 10 Зашифрованный сеансовый ключ прикрепляется к зашифрованному документу. 11 Документ отправляется. ViPNet Client 4. Руководство пользователя | 325 Рисунок 165. Процесс подписания и зашифрования электронных документов Расшифрование и проверка 1 Пользователь получает электронный документ. 2 Зашифрованное содержимое документа и зашифрованный сеансовый ключ извлекаются из сообщения. 3 Закрытый ключ получателя документа извлекается из контейнера ключей. 4 Сеансовый ключ расшифровывается с помощью закрытого ключа получателя. 5 Документ расшифровывается с использованием расшифрованного сеансового ключа. 6 Электронная подпись (зашифрованное значение хэш-функции) извлекается из документа. 7 Вычисляется значение хэш-функции документа. 8 Ключ проверки электронной подписи отправителя извлекается из сертификата отправителя. 9 Электронная подпись расшифровывается с использованием ключа проверки электронной подписи отправителя. 10 Значение хэш-функции электронной подписи сравнивается с полученным значением хэш-функции документа. 11 Если значения хэш-функций совпадают, электронная подпись документа считается действительной. Если значения хэш-функций не совпадают (то есть полученный документ был изменен с момента подписания), электронная подпись документа считается недействительной. Подпись считается недействительной также в том случае, если сертификат отправителя просрочен, аннулирован, искажен или подписан удостоверяющим центром, с которым не установлены доверительные отношения. 12 Расшифрованный документ доступен получателю. ViPNet Client 4. Руководство пользователя | 326 Рисунок 166. Процесс расшифрования и проверки электронной подписи документа ViPNet Client 4. Руководство пользователя | 327 Ключевая система ViPNet В технологии ViPNet для шифрования применяется комбинация криптографических алгоритмов с симметричными и асимметричными ключами. Таблица 9. Применение криптографических алгоритмов в ПО ViPNet Криптографические алгоритмы С симметричными ключами С асимметричными ключами шифрование IP-трафика шифрование сообщений программы ViPNet Деловая почта шифрование прикладных и служебных конвертов создание и проверка электронной подписи шифрование в сторонних приложениях с помощью криптопровайдера ViPNet CSP Симметричные ключи в ПО ViPNet Симметричные алгоритмы используются для шифрования информации и контроля ее целостности. Для каждой пары сетевых узлов ViPNet в программе ViPNet Удостоверяющий и ключевой центр или ViPNet Network Manager создается симметричный ключ обмена, предназначенный для шифрования обмена данными между этими сетевыми узлами. Таким образом, формируется матрица симметричных ключей, содержащая данные обо всех созданных для сетевых узлов симметричных ключах обмена. Эта матрица зашифрована ключами защиты, которые в свою очередь зашифрованы персональным ключом пользователя, поэтому доступ к этой матрице имеет только пользователь на сетевом узле. Симметричные ключи обмена следует передавать по защищенным каналам (дистрибутивы для первой установки справочников и ключей передаются лично). Если злоумышленники завладеют симметричными ключами, вся система защиты сетевого узла будет скомпрометирована. Симметричные ключи обмена используются для шифрования IP-трафика, почтовых сообщений, прикладных и транспортных конвертов. Рисунок 167. Применение ключей обмена ViPNet Client 4. Руководство пользователя | 328 Для защиты ключей обмена применяется три уровня шифрования: ключи обмена зашифрованы на ключах защиты; ключи защиты зашифрованы на персональных ключах; в свою очередь, персональные ключи зашифрованы на парольных ключах. Рисунок 168. Иерархия защиты ключей обмена на сетевом узле При создании структуры сети ViPNet администратор создает в программе ViPNet Administrator файл дистрибутива ключей ( *.dst ) для каждого пользователя сетевого узла ViPNet. Файлы дистрибутивов необходимы для установки справочников и ключей на сетевых узлах. Они содержат ключи пользователя (персональный ключ и ключи электронной подписи), набор ключей обмена с другими сетевыми узлами, справочники, необходимые для связи с другими сетевыми узлами, и регистрационный файл infotecs.re . Обновление ключей для сетевых узлов производится по инициативе администратора сети ViPNet. Примечание. По собственной инициативе пользователь может сделать запрос на обновление сертификата электронной подписи. Для этого в окне Настройка параметров безопасности на вкладке Подпись нужно нажать кнопку Обновить сертификат. В ПО ViPNet для шифрования по умолчанию используется симметричный алгоритм ГОСТ 28147-89 (длина ключа 256 бит). ViPNet Client 4. Руководство пользователя | 329 Асимметричные ключи в ПО ViPNet При использовании симметричного алгоритма зашифрование и расшифрование выполняются с помощью одного и того же ключа. При использовании асимметричного алгоритма ключ, с помощью которого шифруется сообщение, является открытым (известен всем отправителям), а ключ, с помощью которого это сообщение расшифровывается, является закрытым (известен только получателю зашифрованного сообщения). Каждый пользователь имеет пару ключей шифрования — открытый ключ и закрытый ключ. Закрытый ключ необходимо держать в тайне, а открытый ключ можно свободно распространять. Между этими ключами существует математическая связь, однако на практике невозможно за конечное время получить закрытый ключ из открытого. Асимметричные ключи используются в технологии ViPNet для издания сертификатов и создания электронных подписей (см. Сочетание хэш-функции и асимметричного алгоритма электронной подписи на стр. 310). Если на компьютере установлено ПО ViPNet, в состав которого входит криптопровайдер ViPNet CSP, асимметричные ключи можно использовать для шифрования (см. Асимметричное шифрование на стр. 308). Одна и та же пара асимметричных ключей может использоваться как для шифрования, так и для подписи. Однако, в отличие от шифрования, для подписи используется закрытый ключ (ключ электронной подписи), а для проверки подписи — сертификат ключа проверки электронной подписи. Сертификат содержит открытый ключ (ключ проверки электронной подписи), удостоверенный (в том числе подписанный) уполномоченным лицом (администратором УКЦ), информацию о владельце сертификата, сроке его действия и прочее. Пару асимметричных ключей можно независимо создать на сетевом узле ViPNet. Для этого в окне Настройка параметров безопасности на вкладке Подпись нужно сделать запрос на обновление сертификата, выбрав в качестве назначения ключа Подпись и шифрование. Примечание. Обновление сертификата требуется в том случае, если истекает срок действия текущего сертификата или закрытого ключа, а также если текущий сертификат не предназначен для шифрования. Ключ электронной подписи хранится в зашифрованном виде в файле, который называется контейнером ключей. Его следует хранить в тайне от других пользователей: рекомендуется использовать съемные носители или внешние устройства (на стр. 345). Схема защиты ключа электронной подписи в зависимости от места его хранения изображена на следующем рисунке. Рисунок 169. Схема защиты ключа электронной подписи ViPNet Client 4. Руководство пользователя | 330 Если ключ электронной подписи хранится на внешнем устройстве, ключом защиты (см. глоссарий, стр. 382) для него является парольный ключ. Если ключ электронной подписи хранится на жестком диске или в дистрибутиве ключей, ключом защиты для него является персональный ключ. Ключи проверки электронной подписи в сетях ViPNet передаются в составе подписанного сообщения программы ViPNet Деловая почта. Также ключи проверки электронной подписи могут храниться в составе сертификатов в общем хранилище сертификатов, например в службе каталогов Active Directory. Асимметричное шифрование подразумевает отправку зашифрованного сообщения владельцу выбранного при зашифровании сертификата. Зашифрование сообщений можно выполнять в таких приложениях, как Microsoft Outlook, Outlook Express и так далее. Для этого сертификат получателя должен содержать в соответствующем поле адрес электронной почты. Следует понимать, что технология асимметричного шифрования основана на стандартном использовании интерфейса Microsoft CryptoAPI. Следовательно, при использовании данной технологии пользователи ViPNet могут быть не связаны между собой в смысле топологии сети ViPNet (их сети могут не являться доверенными). Для расшифрования сообщения получателю достаточно закрытого ключа, сертификата и установленного на компьютере программного обеспечения, в состав которого входит криптопровайдер ViPNet CSP. |