Page tree
Skip to end of metadata
Go to start of metadata

You are viewing an old version of this page. View the current version.

Compare with Current View Page History

« Previous Version 2 Current »

Терминология

Токен - Рутокен ЭЦП Bluetooth, поддерживающий обмен по защищённому каналу. Т. основан на Рутокен ЭЦП, содержит в себе реализацию российских криптографических алгоритмов шифрования и электронной подписи.

Мобильное устройство - устройство с Bluetooth-приемопередатчиком, работающее под управлением операционной системы Andoid.

Приложение - программа, установленная на мобильном устройстве, использующая криптопровайдер, например, КриптоПро CSP, через интерфейс JCA.

КриптоПро CSP - криптопровайдер, содержащий в себе реализацию российских криптографических алгоритмов шифрования и электронной подписи.

ГОСТ 28147-89 - российский национальный стандарт шифрования.

ГОСТ Р 34.10-2001 - российский национальный стандарт электронной подписи.

VKO ГОСТ Р 34.10-2001 (RFC 4753) - технология выработки секретных симметричных ключей ГОСТ 28147 на основе одного закрытого и одного открытого ключей ГОСТ Р 34.10-2001.

Защищённый канал - зашифрованный по ГОСТ 28147 поток данных, пересылаемый между устройством и Токеном по радиоканалу Bluetooth.

Secure Messaging - технология, по которой работает защищённый канал, гарантирующая секретность и сохранность пересылаемых в недоверенной среде данных.

Ключевая пара (асимметричная ключевая пара) - закрытый и открытый ключ ГОСТ 34.10-2001.

Первоначальная инициализация канала - процесс генерации ключевых пар на Токене и на мобильном устройстве и процесс обмена открытыми ключами между Токеном и мобильным устройством.

Пароль инициализации - специальный пароль, записанный на карточке, входящей в комплект поставки Токена. Без знания пароля инициализации приложение не может произвести первоначальную инициализацию защищённого канала с Токеном.

Общая схема

Шифрование в защищённом канале происходит на короткоживущих сессионных ключах, которые в процессе работы канала периодически меняются.

Сессионные ключи вырабатываются из долговременных асимметричных ключевых пар ГОСТ34.10-2001, которые находятся на мобильном устройстве и на Токене, по алгоритму VKO ГОСТ Р 34.10-2001.

Долговременные ключевые пары вырабатываются на Токене и на мобильном устройстве при первоначальной инициализации защищённого канала.

Для того чтобы обе стороны могли генерировать один и тот же симметричный сессионный ключ, они сперва должны обменяться открытыми ключами.

Обмен открытыми ключами между Токеном и мобильным устройством происходит на одном общем симметричном ключе, которые должен присутствовать как на Токене, так и на мобильном устройстве. В Токене этот общий ключ прошивается на заводе, его нельзя просмотреть или изменить.

Так как заранее неизвестно, с каким именно мобильным устройством будет работать Токен, на мобильное устройство этот общий ключ должен попасть при участии пользователя, то есть введён через графический интерфейс.

Токены с защитой канала комплектуются специальными карточками, на которых записана некоторая последовательность символов - "пароль инициализации". Этот пароль должен быть введен на мобильном устройстве.

С помощью криптографических преобразований на мобильном устройстве этот пароль преобразуется в общий ключ, который используется для инициализации защищенного канала.

Путём обмена зашифрованными на общем ключе сообщениями происходит обмен открытыми ключами; если обмен был успешен, открытые ключи сохраняются на мобильном устройстве и на Токене, а общий ключ удаляется, так как больше не нужен.

Когда обмен открытыми ключами между мобильным устройством и Токеном произошел, созданы все условия для того чтобы создание защищённого канала между мобильным устройством и Токеном было успешным.

Важно понимать, что, хотя первоначальная инициализация защищённого канала требует дополнительных действий, после её прохождения защищённый канал начинает работать совершенно прозрачно, как будто его и нет.

Условия работы защищённого канала

Защищённый канал устанавливается между парой конкретных экземпляров мобильного устройства и Токена.

Если заменён хотя бы один из членов пары (приложение переустановлено или заменён Токен), защищённый канал потребует переинициализации.

Одно мобильное устройство имеет возможность проинициализировать защищённый канал с множеством Токенов (на мобильном устройстве могут храниться открытые ключи от нескольких токенов). Также один Токен имеет возможность проинициализировать защищённый канал с множеством мобильных устройств (токен может хранить несколько открытых ключей приложений).

Примерный порядок действий пользователя при взаимодействии с приложением

Поскольку интерфейс JCA не предоставляет возможности отслеживания состояния подключения Токена к мобильному устройству, ожидается, что при возникновении ошибок при обращении к Токену через интерфейс JCA приложение будет сообщать пользователю об ошибке и советовать проверить состояние подключения Токена в приложении Панель Управления Рутокен.

Примерный порядок действий пользователя при взаимодействии с приложеним, поддерживающим работу с Токеном по защищённому каналу

1) Пользователь запускает приложение.

2) Пользователь задействует функции приложения, осуществляющее обращение к Токену через интерфейс JCA (например, поиск определенного ключа, генерацию ключевой пары).

3) Взаимодействие приложения по интерфейсу JCA с КриптоПро CSP завершилось ошибкой/неудачей (не найден определенный ключ, генерация ключевой пары завершилась неудачей).

4) Приложение сообщает пользователю о необходимости проверить состояние подключения Токена при помощи Панели Управления Рутокен.

5) Пользователь переключается в приложение Панель Управления Рутокен, проверяет, подключен ли Токен, при необходимоcти через графический интерфейс вводит пароль инициализации защищенного канала, и возвращается в исходное приложение.

6) Пользователь повторяет действия, произведенные в п. 2. Они завершаются успешно.

 

  • No labels