Извлечение ключа из токена с неизвлекаемым ключом
Довольно часто при оформлении сертификатов ключей электронной подписи можно наблюдать навязчивый пиар токенов с неизвлекаемым ключом. Продавцы из удостоверяющих центров уверяют, что, купив у них СКЗИ КриптоПРО CSP и токен с неизвлекаемым ключом (Рутокен ЭЦП или JaCarta ГОСТ), мы получим сертифицированные СКЗИ, обеспечивающие 100%-ную защиту от кражи ключей с токена. Но так ли это на самом деле? Для ответа на этот вопрос проведем простой эксперимент…
Конфигурация тестового стенда
Методика тестирования
Проведение тестирования
Как мы видим, ключевая информация успешно скопирована или, другим языком, извлечена из токенов с неизвлекаемым ключом. Получается, что производители токенов и СКЗИ врут? На самом деле нет, и ситуация сложнее, чем кажется на первый взгляд. Исследуем матчасть по токенам.
Матчасть
То, что на рынке принято называть токеном с неизвлекаемым ключом, правильно называется функциональным ключевым носителем (ФКН) (доп. инфо).
Главным отличием ФКН от обычных токенов (Рутокен S, JaCarta PKI, …) в том, что при выполнении криптографических преобразований (например, формирование электронной подписи) закрытый ключ не покидает устройство. В то время как при использовании обычных токенов закрытый ключ копируется с токена в память комптьютера.
Использование ФКН требует особой организации взаимодействия между прикладным криптографическим ПО и библиотекой СКЗИ (криптопровайдером или, по-другому, CSP).
Здесь важно увидеть, что программная часть библиотеки СКЗИ должна знать о существовании на токене апплета, реализующего криптографический функционал (например, генерация ключа, подпись данных и т.д.) и уметь с ним работать.
По-новому взглянем на наш тестовый стенд
В качестве одного из ключевых носителей использовался Рутокен ЭЦП. Через «Панель управления Рутокен» о нем можно получить следующую информацию:
В последней строке указана фраза «Поддержка КриптоПРО ФКН: Нет», а это значит, что на токене нет апплета, с которым умеет работать СКЗИ КриптоПРО CSP. Таким образом, реализация технологии ФКН с использованием СКЗИ и токенов, описанных в конфигурации тестового стенда, невозможна.
Аналогичная ситуация и с JaCarta ГОСТ. Более того, СКЗИ КриптоПРО CSP, по крайней мере та версия, которая использовалась в тестовом стенде, использует данные ключевые носители как «обычные токены», которые, в свою очередь, являются просто носителями ключа.
Это утверждение очень просто подтвердить. Для этого надо поставить СКЗИ КриптоПРО CSP на чистую машину без драйверов от токенов и подключить токен JaCarta ГОСТ. ОС Windows 7 обнаружит токен JaCarta ГОСТ как «Устройство чтения смарт-карт Microsoft Usbccid (WUDF)». теперь можно попробовать создать ключ на токене и скопировать его в реестр компьютера. Весь функционал СКЗИ успешно отработает.
Как сделать, чтобы все было хорошо?
Чтобы с помощью продуктов ООО “КРИПТО-ПРО” реализовать технологию ФКН, необходимо:
1. Купить специальную версию библиотеки СКЗИ:
— для Рутокен ЭЦП — СКЗИ КриптоПРО Рутокен CSP.
— для JaCarta ГОСТ – СКЗИ КриптоПро ФКН CSP.
2. Одновременно с библиотекой СКЗИ необходимо приобрести специально подготовленные токены, содержащие в себе программные части (апплеты), с которыми умеет работать КриптоПРО Рутокен CSP или КриптоПро ФКН CSP соответственно.
Получается, что Рутокен ЭЦП и JaCarta ГОСТ не являются токенами с неизвлекаемым ключом?
Опять нет. Данные устройства могут реализовывать функционал ФКН (но, возможно, в меньшем объеме, чем при использовании их совместно с СКЗИ КриптоПРО), но для этого нужен софт, который умеет работать с апплетами размещенными на токенах. Таким софтом может быть КриптоАРМ Стандарт 5 Плюс. Он это умеет. При генерации ключевой пары в мастере КриптоАРМ можно выбрать криптопровайдер, который будет использоваться, например, Rutoken ECP или eToken GOST. Это и позволит использовать токен как ФКН.
Проект Семь пятниц на неделе #58. 5 апреля день рождения флешки!
Короче, мир на много более постоянный, чем кажется, и за 20 лет существования usb-флешек большинство людей так и не научились вставлять их в порт с первого раза (а те, кто научился, тратят на это просто уйму времени — анализ взаимного расположения порта и накопителя в пространстве занимает сильно больше времени, чем два последовательных переворота флешки). Но это все уже не важно, ибо флешки как класс устройств доживают свой век. Могу сказать на своем примере — я не знаю где у меня хоть одна usb-флешка (или даже usb-ssd-накопитель) вот уже лет пять, ибо просто перестал ими пользоваться. Работаю проектировщиком и дизайнером, часто сталкиваюсь с большими объемами данных, но нет ни одного кейса, где бы мне понадобилось это устаревшее во всех отношениях устройство.
PhisonWP – консольная утилита от товарища null21, для управления статусом WriteProtect на флешках с контроллером Phison. Поможет как свободно блокировать на запись флешку, так и снимать эту защиту в нужный момент.
Инструкция: открываем консоль (Пуск-Выполнить-CMD), переходим в директорию куда вы положили утилиту и пишем:
PhisonWP ‘буква диска’ ‘WP-статус для установки’
PhisonWP.exe I ; Получить текущий статус
PhisonWP.exe I ON ; Активировать защиту от записи
PhisonWP.exe I OFF ; Отключить защиту от записи
где I, это буква диска, которая присвоена вашей флешке.
Пара флешек из экзотики.
На светодиоде накладка из мозаичного пина. Вся флешка почему-то вызывает ассоциации с сериалом «Игра престолов» :).
Ну и как же без коробочки подарочной. По быстрому из березы сколхозил пенальчики для обоих флешек.
Вкладыш внутри никак не закреплен, держится на силе трения. Сделано это специально, чтобы можно было выкинуть его и применять коробочку для хранения всякой мелочи. Я уже давно понял, что женской части человечества почему-то коробочки нравятся больше, чем то, что в них упаковано. 🙂
Ну и еще вид сбоку. Увы, телефонофото не передает цвет и рисунок гренадила.
Ну и вторая флешка. Тут микроаналог торцевого щита. Последовательно клеились ламели, пилились, опять склеивались, в итоге получился непонятный рисунок. Тут присутствуют падук, венге, палисандр, афромозия, еще что-то, что я уже не помню. Боковины из гренадила. Ну а на торцы пригодился кусочек киринита, оставшийся от других работ.
Получаем подпись в ФНС: как выбрать носитель
Чтобы бесплатно получить подпись в ФНС, индивидуальный предприниматель, юридическое лицо или нотариус должны приобрести специальный токен. Токен — это носитель электронной подписи, он служит для хранения ключа ЭП и его использования.
В этой статье мы разберёмся в том, какие носители существуют, в чём разница между ними и расскажем, как с ними работать и какие ошибки могут возникнуть во время их эксплуатации.
Какие носители бывают
Все токены внешне напоминают флешку и выполняют её функции — выступают в качестве носителя. Однако, в отличие от обычной флешки, токены являются защищёнными носителями: на них устанавливается пароль и в них встроены криптографические алгоритмы. Это сделано для того, чтобы максимально обезопасить хранимую на них электронную подпись от компрометации, то есть доступа постороннего лица к защищённой информации.
Мы лишь вскользь упомянем о том, что хранить электронную подпись можно и на компьютере, но это небезопасно. В то же время, с 1 января 2022 года, получить подпись для юридических лиц, индивидуальных предпринимателей и нотариусов можно будет только в удостоверяющем центре ФНС. И получатель должен иметь при себе токен, на который и будет загружен ключ.
К носителям выставлены определённые требования: они должны быть сертифицированы и соответствовать формату USB Type-A. К этому типу можно отнести следующие токены:
В чём разница
Носители различают по следующим критериям: производитель, внешний вид, аппаратная криптография, объём защищённой памяти, цена, дополнительные опции, поддержка тех или иных операционных систем и необходимое программное обеспечение для работы.
Токены могут различаться также и по максимальному количеству электронных подписей, которые можно на них установить. Например, если размер носителя 64 Кб, то на него можно установить до 8 электронных подписей.
Объём защищённой памяти варьируется от 32 до 128 Kb, в зависимости от производителя. Некоторые модели могут содержать дополнительную flash-память для автоматического запуска необходимого программного обеспечения. Большинство токенов поддерживает множество версий Windows, а также Mac OS X и GNU/Linux.
Несмотря на все отличия, носители служат одной цели. Мы рекомендуем при выборе токена обращать внимание на то, подходит лишь ваша операционная система или нет для работы с данным носителем. При необходимости можно покупать карту с дополнительными опциями.
Как работать с носителями
Порядок получения электронной подписи на токен выглядит следующим образом:
Чтобы полноценно работать с установленной на токен электронной подписью, нужно выполнить ещё несколько действий. Главное — на компьютер нужно установить криптопровайдер « КриптоПро CSP », это требование налоговой. Остальное зависит от выбранного носителя: нужно будет установить драйвер для работы с токеном.
Порядок работы с носителями очень прост: в случае с Рутокеном, который является самым распространённым российским носителем, достаточно установить драйвер и воткнуть сам токен в гнездо USB. Настройка носителя осуществляется в специальной панели управления, которая устанавливается вместе с драйвером.
После выполненных действий электронную подпись можно будет использовать по назначению: подписывать электронные документы, работать с государственными порталами и участвовать в закупках.
Какие могут возникнуть ошибки
Во время работы с токеном могут возникать ошибки, которые может исправить либо сам пользователь, либо организация, выдавшая носитель. Рассмотрим основные ошибки, которые возникают при работе с Рутокеном.
Носитель ключа электронной подписи нужно хранить в недоступном для посторонних лиц месте, чтобы избежать компрометации. Использовать его нужно чётко в соответствии с прилагаемой инструкцией, а при возникновении проблем — пользоваться вышеуказанными методами их решения или обращаться в службу поддержки.
Где взять носитель для бесплатной ЭЦП от налоговиков? И какой подойдет? Советует эксперт
Бесплатная электронная подпись от налоговой бесплатна только сама по себе. Однако носитель для нее необходимо отдельно приобретать, причем подойдет не каждый. Кстати говоря, от старой подписи тоже подойдет, но с него нужно будет ее удалить самостоятельно.
«Чтобы ИП получить бесплатно ЭЦП, сначала нужно носитель приобретать? Можно ли его приобрести в МФЦ (Мои документы)? И сколько стоит? И можно ли использовать старый носитель другого юрлица без документов?».
«Добрый день. Подобная услуга не передана в ведение центров госуслуг Москвы „Мои Документы“».
Кто-то пишет, что в другую инспекцию за носителем отправили:
«Сейчас в ИФНС №23 — за носителем надо ехать в ИФНС №46. Всё для людей!».
Редакция «Клерка» обратилась за комментарием к эксперту Яне Барихашвили, генеральному директору ООО «ЭЛО» (аккредитованной IT-компании), сертифицированного партнёра УЦ «Тензор». Суть вопроса — где взять носитель, который точно подойдет для бесплатной ЭП от налоговой. И что еще для ее получения может понадобиться. Вот что она ответила:
«Носители сейчас можно приобрести у действующих удостоверяющих центров или их партнеров. Если проще, там где вы всегда получали электронные подписи. Налоговая их не продаёт, поэтому в налоговую нужно принести свой носитель. Подойдёт Рутокен lite.
Согласно 63-ФЗ все электронные подписи должны быть записаны на сертифицированный носитель. Таким образом запись на флешку исключена. Носитель может быть не новым, но обязательно чистым.
Необходимо помнить, что лицензия привязывается к компьютеру на который будет установлено ПО и использовать подпись Вы сможете только на этом компьютере.
Прямо сейчас заберите у «Клерка» 4 000 рублей при подписке на « Клерк.Премиум» до 12 ноября.
Подробности и условия самой обсуждаемой акции «Клерка» здесь.
Как очистить рутокен от старых сертификатов: полезная информация
Каким образом можно удалить данные в рутокен о старых сертификатах? Насколько сложна данная процедур и можно ли выполнить ее самостоятельно? Сегодня ответим на все эти вопросы…
Бренд Рутокен объединяет линейку программно-аппаратных продуктов компании «Актив» полностью соответствующих требованиям российского законодательства и сертифицированных в ФСК и ФСТЭК. До 2016 года круг применения данных продуктов был относительно узок, а вторичный рынок отсутствовал вовсе.
После вступлением в силу закона об обязательном внедрении ЕГАИС-алкоголь потребность рынка в продуктах Рутокен значительно возросла, кроме этого сформировался вторичный рынок токенов — в результате закрытия предприятий, торгующих алкоголем
Сегодня перед новыми собственниками предприятий часто стоит вопрос очистки токена от старых сертификатов. Очистка токена также актуальна в связи с высокой текучкой кадров — процедура очистки выполняется когда необходимо удалить из системы сертификаты недавно уволенных работников.
Первый способ очистки Рутокена от старых сертификатов
Все сертификаты можно очистить при помощи форматирования устройства. После данной процедуры кроме сертификатов удаляются также все объекты, внесенные на устройство с момента выпуска. После форматирования требуется повторная инициализация Рутокена.
Порядок действий при очистке Рутокена:
После успешной авторизации появится доступ к кнопке «Форматировать», с помощью которой вызывается диалоговое окно параметров форматирования — в нём нужно указать корректные параметры, запустить процесс при помощи кнопки «Начать». Подтверждается запуск нажатием «ОК» в дополнительном модальном окне.
Внимание! Нельзя форматировать Рутокен полученный из Удостоверяющего центра совместно с электронной подписью — если это сделать электронная подпись навсегда уничтожится.
Процесс очистка рутокена в иллюстрациях можно посмотреть погуглив фразу Выполнить форматирование Рутокен | СБИС Помощь.
Второй способ очистки Рутокена от старых сертификатов — выборочный
Данный способ необходимо задействовать если требуется удалить сертификат уволенного работника.
Алгоритм действий следующий:
Процесс удаление рутокена вторым способом в иллюстрациях можно посмотреть здесь.
Таким образом, удаление сертификатов Рутокен не должно вызвать затруднение даже у начинающего пользователя. Если пользователь будет действовать по инструкции выше работа по удалению сертификата из Рутокен пройдет без сбоев.
Удаление контейнеров систем шифровния CSP осуществляется несколько иначе — если данная тема вызовет интерес у наших читателей мы расскажем об этом в отдельном материале…