Использование Рутокен в качестве защищенного хранилища

В некоторых случаях требуется организовать хранение небольших объемов секретных данных внутри энергонезависимой памяти Рутокен.

Наилучшим и наиболее стандартизованным способом доступа к хранилищу данных Рутокена является интерфейс PKCS#11.

Объекты в Рутокен с точки зрения стандарта PKCS#11 выглядят так:

Уровни доступа к объектам в памяти Рутокен

Гостевой уровень - пользователь с гостевым уровнем доступа может просматривать, создавать, модифицировать и удалять только публичные (несекретные) объекты.

Для получения гостевого не требуется знание пин-кода.

Пользовательский уровень - предполагает не только доступ к токену, но и знание пин-кода пользователя.

Пользовательский уровень позволяет просматривать, создавать, модифицировать и удалять как публичные (несекретные), так и приватные (секретные) объекты.

Уровень Администратора (офицера безопасности)  предполагает знание пин-кода администратора.

Администратор (офицер безопасности) имеет доступ только к публичным объектам. 

Однако администратор обладает возможностью очистить память Рутокен, полностью включая приватные (секретные) объекты.

Типы объектов в хранилище данных Рутокен

Публичные (несекретные) объекты - объекты видимые и доступные для чтения и записи с любым уровнем доступа. 

Приватные (секретные) объекты - объекты видимые и доступные для чтения и записи только с уровнем доступа "пользователь".

Двухфакторный доступ к секретной информации

Первый фактор - физическое наличие устройства,

Второй фактор - знание пользовательского пин-кода.

Пример записи файла через интерфейс PKCS#11

CK_BBOOL            ckTrue				=	CK_TRUE;
CK_BBOOL            ckFalse				=	CK_FALSE;
CK_OBJECT_CLASS     ocData				=	CKO_DATA;

CK_BYTE             ckLabel[]			=	{'f','i','l','e','n','a','m','e','.','t','x','t'};
CK_BYTE             ckValue[]			=	{'t','o','p','s','e','c','r','e','t','i','n','f','o'};
 
CK_UTF8CHAR			ckUserPIN[]			=	{'1','2','3','4','5','6','7','8'};

CK_ATTRIBUTE        DataObject[]		=	{
	{	CKA_CLASS,		&ocData,	sizeof(CK_OBJECT_CLASS)		},	// признак объекта данных
	{	CKA_TOKEN,		&ckTrue,	sizeof(CK_BBOOL)			},	// объект будет создан на токене
	{	CKA_PRIVATE,	&ckTrue,	sizeof(CK_BBOOL)			},	// объект будет приватным
	{	CKA_LABEL,		ckLabel,	sizeof(ckLabel)				},	// метка объекта
	{   CKA_VALUE,		ckValue,	sizeof(ckValue)				},	// тело объекта
};

CK_RV				rv;

CK_SESSION_HANDLE	hSession;
CK_OBJECT_HANDLE	ckHandle;

//
// часть кода пропущена
//

rv = C_Login(			hSession,
						CKU_USER,
						ckUserPIN,
						sizeof(ckUserPIN)
			);
					
//
// часть кода пропущена
//
rv = C_CreateObject	(	hSession,
						&DataObject,
						sizeof(DataObject)/sizeof(CK_ATTRIBUTE),
						&ckHandle
					);

//
// часть кода пропущена
//