Инфраструктура PKI и сертификатов безопасности

Концепция и основы PKI

Принцип работы сертификатов SSL / TLS
Здравствуйте! Никак не могу понять... Допустим, я на сервере создал сертификаты SSL/TLS. Для ftp...

Почему список отозванных сертификатов необходимо подписывать?
Возможно вопрос для некоторых прозвучит глупо, но зачем и почему Список отозванных сертификатов...

Алгоритм безопасности
Здравствуйте, уважаемые форумчане! Предлагается универсальная симметричная высокостойкая...

Политика безопасности допустимого
Добрый день, подскажите пожалуйста - как составляется политика безопасности допустимого риска? на...

Цифровые сертификаты

• Версию (обычно v3).
• Серийный номер (уникальный идентификатор).
• Алгоритм подписи (например, RSA, ECDSA или ГОСТ Р 34.10).
• Издателя (удостоверяющий центр, выпустивший сертификат).
• Срок действия (даты начала и окончания).
• Субъект (информация о владельце).
• Информацию о публичном ключе.
• Расширения (дополнительные поля).
• Цифровую подпись издателя.

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17

using System.Security.Cryptography.X509Certificates;
using System.Security.Cryptography.Pkcs;
 
// Получаем сертификат из хранилища
X509Certificate2 cert = GetCertificateFromStore("Subject name");
 
// Создаём подписанное сообщение
ContentInfo contentInfo = new ContentInfo(dataToSign);
SignedCms signedCms = new SignedCms(contentInfo, true);
 
// Подписываем данные
CmsSigner signer = new CmsSigner(cert);
signer.IncludeOption = X509IncludeOption.EndCertOnly;
signedCms.ComputeSignature(signer);
 
// Получаем результат
byte[] signature = signedCms.Encode();

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29

#include <cryptopro/cprocsp.h>
 
// Открываем контейнер с закрытым ключом
HCRYPTPROV hProv;
if (!CryptAcquireContext(&hProv, container_name, NULL, PROV_GOST_2012_256, 0)) {
    // Обработка ошибки
}
 
// Создаём хеш
HCRYPTHASH hHash;
if (!CryptCreateHash(hProv, CALG_GR3411_2012_256, 0, 0, &hHash)) {
    // Обработка ошибки
}
 
// Добавляем данные для хеширования
if (!CryptHashData(hHash, data, data_len, 0)) {
    // Обработка ошибки
}
 
// Подписываем хеш
BYTE signature[256];
DWORD signature_len = sizeof(signature);
if (!CryptSignHash(hHash, AT_SIGNATURE, NULL, 0, signature, &signature_len)) {
    // Обработка ошибки
}
 
// Освобождаем ресурсы
CryptDestroyHash(hHash);
CryptReleaseContext(hProv, 0);

Центры сертификации и их роль

1
2
3
4
5
6
7
8
9
10

<policyMapping>
  <issuerDomainPolicy>1.2.643.100.113.1</issuerDomainPolicy>
  <subjectDomainPolicy>1.2.643.100.113.2</subjectDomainPolicy>
</policyMapping>
<certificatePolicies>
  <policyIdentifier>1.2.643.100.113.1</policyIdentifier>
  <policyQualifiers>
    <cpsUri>https://ca.example.ru/cps.pdf</cpsUri>
  </policyQualifiers>
</certificatePolicies>

1
2
3
4
5

$template = Get-CATemplate -Name "UserCertificate"
$template.CryptoProviders = "Crypto-Pro GOST R 34.10-2012 Cryptographic Service Provider"
$template.KeyAlgorithm = "GR3410_12_256"
$template.KeyLength = 256
Set-CATemplate -Template $template

1

certutil -backup -p <пароль> -f <путь_к_каталогу_резервной_копии>

Современные вызовы PKI

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19

import requests
import json
 
# Получаем список сертификатов, срок действия которых истекает в ближайшие 30 дней
response = requests.get(
    'https://cryptoarm.example.ru/api/certificates/expiring',
    params={'days': 30},
    headers={'Authorization': 'Bearer ' + api_token}
)
 
expiring_certs = json.loads(response.text)
 
# Для каждого истекающего сертификата инициируем автоматическое обновление
for cert in expiring_certs:
    requests.post(
        'https://cryptoarm.example.ru/api/certificates/renew',
        json={'certificate_id': cert['id']},
        headers={'Authorization': 'Bearer ' + api_token}
    )

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22

// Пример использования "КриптоПро IoT" на встраиваемом устройстве
#include <crypto_pro_iot.h>
 
int main() {
  // Инициализация контекста
  CPIOTContext ctx;
  CPIOTInitialize(&ctx, CPIOT_GOST_2012_256);
  
  // Запрос нового сертификата
  CPIOTCertRequest req;
  CPIOTCreateCertRequest(&ctx, &req, "device_id_123", SECRET_KEY);
  
  // Отправка запроса и получение сертификата
  CPIOTSendRequestAndWait(&ctx, &req, "https://ca.example.ru/iot", 30000);
  
  // Установка полученного сертификата
  CPIOTInstallCertificate(&ctx, req.certificate);
  
  // Освобождение ресурсов
  CPIOTCleanup(&ctx);
  return 0;
}

Открытие компании по информационной безопасности
Здравствуйте, я хотел открыть компанию которая будет предоставлять услуги и продавать устройства...

Нужно придумать задачу по методам оптимизации в области информационной безопасности
Для решения этой задачи могут быть использованы методы: 1. Метод неопределенных множителей...

Математическая оценка безопасности сети
Подскажите пожалуйста, есть две сети, как их математически оценить с точки зрения безопасности? ...

Запрос сертификатов по списку номеров сертификатов: что делает приведенная строка кода
Добрый день, извиняюсь за свою глупость: Имеется метод с помощью которого я реализую: Запрос...

Отзовитесь ГУРУ PKI
В организации поднят центр сертификатов на основе MS CA (Win Server 2003 Enterprise) Для...

Шифрование PKI
нужна программа, написанная на любом виде языке программирования, которая осуществляла метод...

PKI. Запутался с сертификатами
Здравствуйте! Я разворачиваю PKI и немного запутался в сертификатах. У меня в сети есть ПК с WinXP,...

Server 2008 PKI и GOST r34.10-2001
Уважаемые коллеги, вопрос по PKI и центру сертификации в условиях жёстких российскихреалий....

IIS, PKI WEB, права только на обновление сертификата
Добрый день! Опишу свою задачу: Есть филиалы, вне домена, на компьютерах которых установлен...

PKI eToken не видит цифровую подпись
На ПК c Win 7 x64 работают в интернет банках Встала необходимость добавить еще один банк Пришлось...

Реализация инфраструктуры открытых ключей PKI
Товарищи знатоки, помоги разобраться с корректным импортом и экспортом открытых ключей...

ИТ инфраструктура с нуля
Ситуация: нужно сделать ИТ инфраструктуру с нуля. Вот примерный набросок, опытные специалисты...