Дерево страниц
Перейти к концу метаданных
Переход к началу метаданных

Терминология

Токен - Рутокен ЭЦП Bluetooth, поддерживающий обмен по защищённому каналу. Т. основан на Рутокен ЭЦП, содержит в себе реализацию российских криптографических алгоритмов шифрования и электронной подписи.

Мобильное устройство - устройство с Bluetooth-приемопередатчиком, работающее под управлением операционной системы Andoid.

Приложение - программа, установленная на мобильном устройстве, использующая криптопровайдер, например, КриптоПро CSP, через интерфейс JCA.

КриптоПро CSP - криптопровайдер, содержащий в себе реализацию российских криптографических алгоритмов шифрования и электронной подписи.

ГОСТ 28147-89 - российский национальный стандарт шифрования.

ГОСТ Р 34.10-2001 - российский национальный стандарт электронной подписи.

VKO ГОСТ Р 34.10-2001 (RFC 4753) - технология выработки секретных симметричных ключей ГОСТ 28147 на основе одного закрытого и одного открытого ключей ГОСТ Р 34.10-2001.

Защищённый канал - зашифрованный по ГОСТ 28147 поток данных, пересылаемый между устройством и Токеном по радиоканалу Bluetooth.

Secure Messaging - технология, по которой работает защищённый канал, гарантирующая секретность и сохранность пересылаемых в недоверенной среде данных.

Ключевая пара (асимметричная ключевая пара) - закрытый и открытый ключ ГОСТ 34.10-2001.

Первоначальная инициализация канала - процесс генерации ключевых пар на Токене и на мобильном устройстве и процесс обмена открытыми ключами между Токеном и мобильным устройством.

Пароль инициализации - специальный пароль, записанный на карточке, которая может входить в комплект поставки Токена. Без знания пароля инициализации приложение не может произвести первоначальную инициализацию защищённого канала с Токеном. (если пароля нет, то его можно сгенерировать через Панель управления Рутокен по инструкции Политики безопасности и шифрование канала)

Общая схема

Шифрование в защищённом канале происходит на короткоживущих сессионных ключах, которые в процессе работы канала периодически меняются.

Сессионные ключи вырабатываются из долговременных асимметричных ключевых пар ГОСТ34.10-2001, которые находятся на мобильном устройстве и на Токене, по алгоритму VKO ГОСТ Р 34.10-2001.

Долговременные ключевые пары вырабатываются на Токене и на мобильном устройстве при первоначальной инициализации защищённого канала.

Для того чтобы обе стороны могли генерировать один и тот же симметричный сессионный ключ, они сперва должны обменяться открытыми ключами.

Обмен открытыми ключами между Токеном и мобильным устройством происходит на одном общем симметричном ключе, которые должен присутствовать как на Токене, так и на мобильном устройстве. В Токене этот общий ключ прошивается на заводе, его нельзя просмотреть или изменить.

Так как заранее неизвестно, с каким именно мобильным устройством будет работать Токен, на мобильное устройство этот общий ключ должен попасть при участии пользователя, то есть введён через графический интерфейс.

Токены с защитой канала комплектуются специальными карточками, на которых записана некоторая последовательность символов - "пароль инициализации". Этот пароль должен быть введен на мобильном устройстве.

С помощью криптографических преобразований на мобильном устройстве этот пароль преобразуется в общий ключ, который используется для инициализации защищенного канала.

Путём обмена зашифрованными на общем ключе сообщениями происходит обмен открытыми ключами; если обмен был успешен, открытые ключи сохраняются на мобильном устройстве и на Токене, а общий ключ удаляется, так как больше не нужен.

Когда обмен открытыми ключами между мобильным устройством и Токеном произошел, созданы все условия для того чтобы создание защищённого канала между мобильным устройством и Токеном было успешным.

Важно понимать, что, хотя первоначальная инициализация защищённого канала требует дополнительных действий, после её прохождения защищённый канал начинает работать совершенно прозрачно, как будто его и нет.

Условия работы защищённого канала

Защищённый канал устанавливается между парой конкретных экземпляров мобильного устройства и Токена.

Если заменён хотя бы один из членов пары (приложение переустановлено или заменён Токен), защищённый канал потребует переинициализации.

Одно мобильное устройство имеет возможность проинициализировать защищённый канал с множеством Токенов (на мобильном устройстве могут храниться открытые ключи от нескольких токенов). Также один Токен имеет возможность проинициализировать защищённый канал с множеством мобильных устройств (токен может хранить несколько открытых ключей приложений).

Примерный порядок действий пользователя при взаимодействии с приложением

Поскольку интерфейс JCA не предоставляет возможности отслеживания состояния подключения Токена к мобильному устройству, ожидается, что при возникновении ошибок при обращении к Токену через интерфейс JCA приложение будет сообщать пользователю об ошибке и советовать проверить состояние подключения Токена в приложении Панель Управления Рутокен.

Примерный порядок действий пользователя при взаимодействии с приложеним, поддерживающим работу с Токеном по защищённому каналу

1) Пользователь запускает приложение.

2) Пользователь задействует функции приложения, осуществляющее обращение к Токену через интерфейс JCA (например, поиск определенного ключа, генерацию ключевой пары).

3) Взаимодействие приложения по интерфейсу JCA с КриптоПро CSP завершилось ошибкой/неудачей (не найден определенный ключ, генерация ключевой пары завершилась неудачей).

4) Приложение сообщает пользователю о необходимости проверить состояние подключения Токена при помощи Панели Управления Рутокен.

5) Пользователь переключается в приложение Панель Управления Рутокен, проверяет, подключен ли Токен, при необходимоcти через графический интерфейс вводит пароль инициализации защищенного канала, и возвращается в исходное приложение.

6) Пользователь повторяет действия, произведенные в п. 2. Они завершаются успешно.

 

  • Нет меток