КАК НАЗЫВАЕТСЯ КРИПТОПРОВАЙДЕР АППАРАТНЫЙ ЧТО ЭТО ЗА УСТРОЙСТВО

Текущая версия страницы пока не проверялась опытными участниками и может значительно отличаться от версии, проверенной 15 июля 2020 года; проверки требуют 3 правки.

Аппаратное шифрование — процесс шифрования, производимый при помощи специализированных вычислительных устройств.

Текущая версия страницы пока не проверялась опытными участниками и может значительно отличаться от версии, проверенной 16 марта 2019 года; проверки требуют 5 правок.

Криптопровайдер (Cryptography Service Provider, CSP) — это независимый модуль, позволяющий осуществлять криптографические операции в операционных системах Microsoft, управление которым происходит с помощью функций CryptoAPI. Проще говоря, это посредник между операционной системой, которая может управлять им с помощью стандартных функций CryptoAPI, и исполнителем криптографических операций (это может быть как программа, так и аппаратный комплекс).

Текущая версия страницы пока не проверялась опытными участниками и может значительно отличаться от версии, проверенной 1 марта 2023 года; проверки требуют 2 правки.

КриптоПро — разработанная одноименной компанией линейка криптографических утилит (вспомогательных программ) — так называемых криптопровайдеров. Они используются в других программах для генерации электронной подписи (ЭП), работы с сертификатами, организации структуры PKI и т.д.

Для цифровой подписи электронных документов и обмена бланками необходим криптопровайдер. Он шифрует и защищает информацию, хранит секретные ключи — вот что такое КриптоПро. Вот для чего вам необходимо это ПО:

Криптопровайдер (Cryptography Service Provider, CSP) — это специальный независимый модуль, который позволяет осуществлять криптографические операции в операционных системах семейства Microsoft Windows и управление которым происходит по средствам функций криптографического интерфейса (CryptoAPI).

Иными словами, это специализированная программа посредник в операционной системе, которая помогает осуществлять криптографические (шифровальные) операции, работающая по зарубежным или российским криптографическим стандартам (ГОСТ) в операционной системе Windows.

Криптопровайдер Signal-COM CSP это один из распространенных криптопровайдеров в России, он поддерживает российские криптографические алгоритмы и обеспечивает к ним доступ из пользовательских приложений через стандартный криптографический интерфейс компании Microsoft — CryptoAPI 2.0.

Из выше описанного следует, что криптопровайдер (CSP) — необходимое ПО для работы квалифицированной электронной подписи в ОС Windows.

i: На некоторых порталах и площадках криптопровайдер (CSP) может не потребоваться пользователю, т.к. его функции реализованы на стороне сервера портала или площадки.

Электронные подписи (ЭП или ранее – ЭЦП) позволяют существенно упростить обмен документами. С помощью них можно получать различные госуслуги или обмениваться документами с партнерами без использования бумажных оригиналов. Но для корректной работы ЭП требуется установить программу – криптопровайдер. Однако далеко не каждый пользователь имеет представление о данном программном обеспечении.

Что такое криптопровайдер простыми словами?

Слово «криптопровайдер» значит специализированный модуль для операционной системы, который служит для выполнения различных криптографических операций. Управление криптопровайдером происходит через специальный интерфейс.

Замечание. Криптопровайдер часто обозначается сокращенно буквами CSP от английского Cryptography Service Provider.

Простыми словами криптопровайдер – это программное обеспечение, то есть посредник, который позволяет операционной системе выполнять шифровальные функции. Еще проще можно сказать, что это специальная программа для работы с ЭП, обеспечивающая соблюдение стандартов (ГОСТ).

Для работы CPS в Windows компания Microsoft разработала специальный интерфейс – CryptoAPI 2.0.

Для работы на некоторых сайтах не требуется CSP, т. к. его функции выполняются на стороне сервера. Простая ЭП может также работать без CSP, но ее возможности существенно ограничены.

Объекты криптопровайдера

Каждый ключевой контейнер может содержать:

Вне контейнера может находиться исключительно открытый ключ. Для вычисления хеш-функций используются специальные объекты хеширования. Для их создания наличие контейнера не требуется.

Криптосервисы для устройств под управлением Windows

Начиная с версии Windows 2000, Microsoft встроила в операционную систему Microsoft Base Cryptographic Provider. Он имел существенное ограничение – длина ключа не больше 40 бит. После отмены ограничений на экспорт из США ПО с ключами шифрования большей длины на смену этому провайдеру пришел Microsoft Strong Cryptographic Provider.

К сожалению, стандартные средства MS Windows CSP использовать в РФ практически невозможно. С помощью них нельзя вести обмен с госорганами и т. д. Эти ограничения вызваны отсутствием сертификации у продуктов Майкрософт.

Наиболее распространены в России следующие сторонние криптосервисы:

Криптопровайдер – необходимая для корректной и полноценной работы с ЭП программа. Без нее воспользоваться основными преимуществами электронного документооборота не получится. Хорошо, что выбор криптопровайдеров довольно широк.

( 4 оценки, среднее 5 из 5 )

В продолжение вопроса «ЭЦП для подписи файлов сотрудниками»: при использовании юридически значимой ЭЦП (по ФЗ №63) от аккредитованного УЦ, в чём разница между криптопровайдерами? Их много, я знаю, в заголовке я указал КриптоПро CSP и ViPNet CSP как самые распространённые, причём вторая бесплатная. Большинство УЦ если и указывает криптопровайдера, то это КриптоПро, но действительно ли это ограничивает выбор, или с тем же УЦ я могу использовать и бесплатную ViPNet CSP? В чём отличия, есть ли подводные камни?

P. S. Про клиентский интерфейс не спрашиваю: я так понимаю, альтернатив КриптоАРМ нет (нагуглились только КриптЭК, КриптоЛайн и ViPNet CryptoFile, но инфы о них крайне мало).

UPD: По поводу клиентского интерфейса: ViPNet CryptoFile стал доступен для загрузки с сайта производителя, а также внесена ясность в права его использования: он бесплатен для использования с другим ПО ViPNet. Таким образом, ViPNet CSP и ViPNet CryptoFile составляют цельный и бесплатный стек для работы с ЭЦП. Ура 🙂

УЦ практически всегда будет выдавать сертификаты с использованием Крипто-Про CSP, это текущее положение вещей.

А вот для формирования подписи на базе этих сертификатов вполне возможно использовать и ViPNet CSP, выданные в УЦ сертификаты вполне под это подойдут.

Эта тема обсуждалась на форуме Крипто-Про: ссылка.

Альтернативы КриптоАрму тоже можно найти, просто эта программа наиболее популярна.

Нужно уточнять у УЦ на каком криптопровайдере они смогут выдать вам эцп. Контейнеры ключей у КриптоПРО и ViPNet в разном формате поэтому использовать понравившийся не получится, необходима «совместимость с УЦ». Если есть возможность использовать ViPNet то лучше его конечно — ибо бесплатно, плюс имхо vipnet проще. КриптоАРМу все равно какой из них будет использоваться. Да есть небольшой момент, юридически вы должны использовать сертифицированную версию криптопровайдера, если у вас ОС win7 и ниже приобретайте(скачивайте) любой, если win8 то тут печально, с ней совместим и сертифицирован только КриптоПРО 3.6 R3, ViPNet CSP 4.0 сертификацию еще не прошел, он в бете, хотя из практики ставил, работает но с нюансами :). Как то так.

Бесплатных что-то не припомню 🙂
Да и врядли они есть так как в вашем случае (юридически значимая подпись) следует использовать сертифицированное средство подписи, а сертификация процесс требующий денежных вложений.

Ставите Vip Net (бесплатно) и заказываете КЭП в тензоре (700р).
Для создания и подписи документов есть бесплатный виртуальный принтер который делает PDF, подписывает его и пересылает на электронку. Или сохраняет на диск PDF+подпись.
www.nextech.ru/Slides#akt

Скачивайте отсюда криптопро бесплатно cryptoproo.ru и будет вам счастье.

30 сент. 2023, в 07:31

5000 руб./за проект

30 сент. 2023, в 06:51

2000 руб./за проект

30 сент. 2023, в 05:23

1000 руб./в час

Примеры существующих аппаратных шифраторов

ruToken — российское средство аутентификации и защиты информации, использующее сертифицированные алгоритмы шифрования и аутентификации и объединяющее в себе российские и международные стандарты безопасности.

ruToken представляет собой небольшое электронное устройство, подключаемое к USB-порту компьютера (USB-брелок). Он является аналогом смарт-карты, но для работы с ним не требуется дополнительное оборудование (считыватель).

Основные характеристики ruToken:

Общие технические характеристики:

ruToken обладает встроенной файловой системой, отвечающей стандарту ISO/IEC 7816. Обеспечивается прозрачное шифрование всей файловой системы по ГОСТ 28147-89 на основе данных, уникальных для каждого экземпляра ruToken.

Встроенный алгоритм шифрования ГОСТ 28147-89 позволяет шифровать данные в режимах простой замены, гаммирования и гаммирования с обратной связью. ruToken производит выработку 32-битовой имитовставки по ГОСТ 28147-89 и генерацию 256-битовых случайных чисел. Ключи шифрования хранятся в ruToken в защищённом виде, без возможности их экспорта из ruToken. Поддерживается импорт ключей шифрования ГОСТ 28147-89.

ПСКЗИ серии ШИПКА

ПСКЗИ ШИПКА представляет собой специализированное мобильное устройство, позволяющее надежно выполнять криптографические преобразования и хранить ключи.

Семейство включает в себя серию USB-устройств (осознавая, что на рынке СКЗИ сегодня достаточно широк выбор лишь дешевых средств — аналогов смарт-карт, мы разработали модификации со значительно различающимися показателями): ШИПКА-1.5, ШИПКА-1.6 и ШИПКА-1.7, а также устройства в конструктиве CF Type II, PC CARD Type II, ExpressCard 34 и устройство ШИПКА-Модуль.

Криптографическая функциональность всех этих устройств одинакова — это шифрование, ЭЦП, хеш-функция, генерация ключей, долговременное хранение ключей и сертификатов.
Реализация криптографических операций во всех случаях аппаратная (по отношению к ПК).
Для хранения ключевой информации во всех устройствах есть энергонезависимая защищённая память объёмом 4 Кбайт, расположенная непосредственно в процессоре.
Все устройства снабжены дополнительной энергонезависимой памятью типа DataFlash с файловой системой, подобной ISO/IEC 7816; имеют в своём составе аппаратные ДСЧ.
Все модификации ПСКЗИ ШИПКА работают под ОС семейства Win32, имея для этого программные интерфейсы — Криптопровайдер Microsoft CryptoAPI, библиотека API PKCS#11.

Во всех устройствах семейства ШИПКА реализованы все российские криптографические алгоритмы.
В них также реализована возможность поддержки зарубежных криптографических алгоритмов.
Набор зарубежных алгоритмов для всех устройств одинаков:
Шифрование: RC2, DES, DESX, TripleDES;
Хеширование: MD5, SHA-1;
ЭЦП: RSA (ШИПКА-1.5 — 512-бит, остальные — 2048-бит), DSA (ШИПКА-1.5 — 1024-бит, остальные — 2048-бит).
Все устройства являются полностью перепрограммируемыми — firmware может обновляться непосредственно пользователем. Это даёт возможность расширения его функциональности и создания индивидуальных решений для тех или иных задач заказчика, поскольку в целом ряде случаев эксклюзивное решение существенно предпочтительнее стандартного.

Персональное средство криптографической защиты данных ШИПКА-1.7
Характеристики:

2) Типа NAND-flash — до 1Гб (шифрованный диск (шифрование по ГОСТ 28147-89)

При наличии шифрованного диска — только
— ЭЦП + шифрование ГОСТ + хеш ГОСТ;
Если диск не ставить — то доступны так же
— ЭЦП + шифрование DES/TripleDES + хеш SHA-1;
— ЭЦП + шифрование RC2 + хеш MD5;
Скорости:
ЭЦП по ГОСТ Р 34.10-2001:
— выработка ключа — 30 мс,
— вычисление ЭЦП — 40 мс,
— проверка ЭЦП — 70 мс.
Вычисление хеш-функции — около 3 Мбайт/с,
шифрование — около 1,5 Мбайт/с.

Предельная скорость: 1 Мбайт/с, реальная — 500 Кбайт/с без накладных расходов
Возможность обновления firmware без дополнительного оборудования у пользователя есть, включая динамическое перепрограммирование криптографического сопроцессора.

УКЗД серии КРИПТОН

Устройства криптографической защиты данных (УКЗД) серии КРИПТОН — это аппаратные шифраторы для IBM PC-совместимых компьютеров. Устройства применяются в составе средств и систем криптографической защиты данных для обеспечения информационной безопасности (в том числе защиты с высоким уровнем секретности) в государственных и коммерческих структурах.

КРИПТОН — серия аппаратных шифраторов для IBM PC-совместимых компьютеров, выполнены в виде плат расширения ISA и PCI персонального компьютера с процессором i386 и выше.

Программное обеспечение устройств КРИПТОН позволяет:
шифровать компьютерную информацию (файлы, группы файлов и разделы дисков), обеспечивая их конфиденциальность;
осуществлять электронную цифровую подпись файлов, проверяя их целостность и авторство;
создавать прозрачно шифруемые логические диски, максимально облегчая и упрощая работу пользователя с конфиденциальной информацией;
формировать криптографически защищённые виртуальные сети, шифровать IP-трафик и обеспечивать защищённый доступ к ресурсам сети мобильных и удаленных пользователей;
создавать системы защиты информации от несанкционированного доступа и разграничения доступа к компьютеру.

• количество уровней ключевой системы — 3 (главный ключ — пользовательский/сетевой ключ — сеансовый ключ);
• отклонение распределения значения случайных чисел от равновероятного распределения — не более.0,0005;

Crypton Emulator — программный эмулятор функций шифрования УКЗД серии «КРИПТОН» в ОС Windows 95/98/Me/NT 4.0/2000/XP/2003, Solaris 2.x, 7, 8, Linux.

Эмулятор обеспечивает шифрование по алгоритму ГОСТ 28147-89, по функциям шифрования эмулятор полностью совместим с УКЗД серии «Криптон». Таким образом, возможна замена аппаратного УКЗД «Криптон» его программным эмулятором без какого-либо изменения программного обеспечения, использующего УКЗД «Криптон» или Crypton Emulator через стандартный программный интерфейс Crypton API.

С шифратором работает прикладное программное обеспечение, рассчитанное на конечного пользователя, и/или средства разработки — библиотеки, предназначенные для встраивания в продукты независимых разработчиков функций шифрования и/или электронной цифровой подписи (ЭЦП).

Библиотека Crypton API — является необходимой интерфейсной составляющей и обеспечивает программный интерфейс к устройствам криптографической защиты данных (УКЗД) серии КРИПТОН для приложений Win32 и DOS-программ в режиме эмуляции DOS в операционных средах Windows 95/98/NT 4.0/2000/XP/2003, Solaris 2.x, 7, 8 (x86, Sparc). Использование различных компонентов и решений позволяет решать задачи, начиная от абонентского шифрования и ЭЦП и заканчивая шифрованием IP-трафика. Позволяют защищать сведения с высоким грифом секретности, включая сведения, составляющие государственную тайну.

eToken PRO (Java) представляет собой защищённое устройство, предназначенное для строгой аутентификации, безопасного хранения секретных данных, выполнения криптографических вычислений и работы с асимметричными ключами и цифровыми сертификатами.

IronKey флеш-диск с прозрачным аппаратным шифрованием данных. Предназначен для безопасного хранения секретных данных.

Поддержка КриптоПро различными платформами

Для того, чтобы из скриптов WEB-страницы вызвать нативную библиотеку большинство браузеров поддерживают специальные расширения — ActiveX для IE и NPAPI-плагин для GH, MF, Opera, Sаfari и др. В данный момент на рынке существует широкий спектр продуктов, относящихся к браузерным плагинам. Архитектурно данные плагины могут быть исполнены по-разному. Некоторые работают на базе CryptoAPI и требуют дополнительной установки криптопровайдера, другие используют в качестве криптоядра PKCS#11-совместимые устройства и не требуют установки дополнительных СКЗИ на рабочее место клиента. Есть универсальные плагины, которые поддерживают как все основные криптопровайдеры, так и широкий спектр аппаратных СКЗИ.

Кроссбраузерные плагины

ActiveX

Компания Microsoft разработала два основных клиентских ActiveX-компонента, которые транслируют функционал CryptoAPI в скрипты, в браузер.
Для генерации ключа и создания PKCS#10-запроса применятся компонент XEnroll/CertEnroll, а для ЭЦП/шифрования и работы с сертификатами компонент CAPICOM.

В следующих статьях будут подробно рассмотрены оставшиеся решения.

Достоинства аппаратного шифрования

Большое количество средств шифрования данных создаётся в виде специализированных физических устройств. Программные шифраторы, как правило, дешевле аппаратных и в ряде случаев способны обеспечить бо́льшую скорость обработки информации. Перечень достоинств аппаратных шифраторов:

Во все операционные системы Microsoft, начиная с Windows 2000, встроен криптопровайдер Microsoft Base Cryptographic Provider, который обладает набором основных криптографических функций. В Microsoft Base Cryptographic Provider длина ключей шифрования не превышает 40 бит. Так как до января 2000 года в США существовал запрет на экспорт программного обеспечения для шифрования с использованием ключей длиной более 40 бит, то в Windows 98 и ранних версиях Windows 2000 существовала поддержка только этого криптопровайдера. Microsoft Base Cryptographic Provider по сути является урезанным вариантом Microsoft Enhanced Cryptographic Provider. Но после отмены запрета на экспорт стало бессмысленно иметь 2 криптопровайдера, поэтому программисты Microsoft ввели ещё одно название — Microsoft Strong Cryptographic Provider, который ничем не отличается от Microsoft Enhanced Cryptographic Provider. Этот криптопровайдер является криптопровайдером по умолчанию типа PROV_RSA_FULL в Windows 2000, Windows XP, Windows 2003.

Все криптопровайдеры Microsoft могут быть скачаны с сайта Microsoft.

Локальные прокси

Основным принципом действия локального прокси является прием незащищенного соединения от приложения, установка TLS-туннеля с удаленным сервером и передача «прикладного уровня» между приложением и удаленным сервером по этому туннелю.

Некоторые локальные прокси кроме того дополнены механизмом ЭЦП специальным образом промаркированных WEB-форм (Inter-PRO, МагПро КриптоТуннель). Существуют локальные прокси, которые предоставляют для браузера WEB API ЭЦП (систему HTTP-запросов и ответов, аналогичных программному API криптобиблиотеки).

Любой криптопровайдер должен экспортировать набор обязательных функций, которые формируют системный программный интерфейс CryptoAPI, при этом каждая из этих функций соответствует некоторой функции CryptoAPI. Также криптопровайдер должен обеспечивать:

Приложения не работают напрямую с криптопровайдером. Вместо этого они вызывают функции CryptoAPI из библиотек Advapi32.dll и Crypt32.dll. Операционная система фильтрует вызовы этих функций и вызывает соответствующие функции CryptoAPI, которые непосредственно работают с криптопровайдером.

Минимальный состав криптопровайдера — одна DLL. Обычно эта библиотека хранится в папке WINDOWSsystem32. Обязательным является контроль целостности этой DLL.

Кроме стандартных функций CryptoAPI, криптопровайдер обычно поддерживает ряд собственных функций. Если собственные функции не реализованы, то DLL действует, по сути, как промежуточный слой между операционной системой и исполнителем криптографических операций.

Дополнительные возможности аппаратных шифраторов

Использование целой платы расширения только для аппаратного шифрования слишком расточительно. Помимо функций шифрования, производители стараются добавить в свои устройства разнообразные дополнительные возможности, например:

Устройством криптографической защиты данных (УКЗД) называется плата расширения со всеми вышеперечисленными возможностями. Устройство аппаратного шифрования, контролирующее вход на персональный компьютер и проверяющее целостность всех файлов операционной системы, называется также «электронным замком». Понятно, что аналогия не совсем полная — обычные замки сильно уступают этим интеллектуальным устройствам. Хотя ясно, что последним необходимо программное обеспечение — требуется утилита, генерирующая ключи для пользователей и хранит их список для опознания «свой/чужой». Кроме этого, необходима программа для выбора важных файлов и подсчёта их контрольных сумм. Доступ к этим приложениям обычно есть только у администратора по безопасности. Он должен заранее сконфигурировать все устройства для пользователей, а если появятся проблемы, должен разобраться в их причинах.

Пары ключей и симметричные ключи могут находиться только в контейнере. Только открытый ключ пары может находиться вне контейнера.

Закрытые (private) ключи пар ключей экспортируются только в зашифрованном виде. Некоторые криптопровайдеры принципиально не позволяют экспортировать закрытые ключи, даже в зашифрованном виде.
Симметричные ключи при экспорте также обязательно шифруются на открытом ключе получателя или ключе согласования.
Для вычисления хеш-функций создаются объекты хеширования. Для создания объектов хеширования создавать контейнер не нужно.

Криптопровайдеры

Де-факто стандартом отрасли является класс криптосредств, известных как криптопровайдеры. Криптопровайдер — это предоставляющая специальный API и специальным образом зарегистрированная в ОС библиотека, которая позволяет расширить список поддерживаемых в ОС криптоалгоритмов.

Следует отметить, что несовершенство предлагаемых MS Windows механизмов расширения вынуждает разработчиков криптопровайдеров дополнительно модифицировать высокоуровневые криптобиблиотеки и приложения MS Windows в процессе их выполнения для того, чтобы «научить» их использовать российские криптоалгоритмы.

Следует понимать, что не все СКЗИ одного вида реализуют полный объем функциональности, приведенный в таблицах. Для уточнения возможностей криптосредств следуют обратиться к производителю.

Средства криптографической защиты информации

• КриптоПро CSP 1.1
• КриптоПро CSP 3.6
• КриптоПро CSP 3.9

Средства криптографической защиты информации со смарткартами и USB ключами

Инфраструктура открытых ключей

Время на прочтение

Производители средств криптографической защиты информации (СКЗИ) предлагают различные механизмы для интеграции криптосредств в информационные системы. Существуют решения, ориентированные на поддержку систем с Web-интерфейсом, мобильных и десктопных приложений, серверных компонентов. С КЗИ интегрируются в приложения Microsoft и в продукты Open Source, обеспечивают поддержку различных прикладных протоколов и форматов электронной подписи.

С учетом растущего количества проектов с применением ЭЦП и появления массовых проектов для физических лиц, разработчикам подобных проектов требуется хорошо ориентироваться в предлагаемых производителями решениях по ЭЦП для того, чтобы сделать систему удобной в эксплуатации и недорогой в плане техподдержки. Таким образом, если еще лет 5 назад главным фактором выбора криптосредства являлось его полное соответствие требованиям регуляторов, то при сегодняшнем разнообразии важными критериями могут выступать охват поддерживаемых платформ, возможность интеграции с браузером, поддержка мобильных пользователей, возможность установки без прав системного администратора и т.п.

В данном материале сделана попытка классифицировать средства криптографической защиты информации.

Классификация построена на основе:

Кроме того, показаны способы интеграции СКЗИ с Web-приложениями и возможность его использования на мобильных платформах

Общая схема классификации приведена в таблице:

В первой статье рассмотрим решения, начиная с криптопровайдеров по браузерные плагины включительно. В последующих статьях будут рассмотрены остальные средства.

Виды устройств аппаратного шифрования

Современный рынок предлагает 3 разновидности аппаратных средств шифрования информации потенциальным покупателям

Почти все устройства первых двух типов узкоспециализированы. И поэтому нужно досконально исследовать ограничения, которые при установке эти устройства накладывают на соответствующие устройства, прикладное программное обеспечение и операционные системы до того, как принимать конечное решение об их покупке. В противном случае можно зря потратить деньги, нисколько не приблизившись к желаемой цели. Правда, существуют компании, которые продают коммуникационное оборудование вместе с заранее установленными устройствами аппаратного шифрования, что иногда облегчает выбор.

Платы расширения для персональных компьютеров являются более универсальным средством аппаратного шифрования и, как правило, их очень легко настроить так, чтобы они шифровали всю информацию, записываемую на жёсткий диск или пересылаемую в порты и дисководы. Обычно защита от электромагнитного излучения в платах расширения для аппаратного шифрования отсутствует, так как бессмысленно защищать эти платы, если весь компьютер не защищается аналогичным образом.

Нативные библиотеки

Open Source библиотека OpenSSL обладает широкими криптографическими возможностями и удобным механизмом ее расширения другими криптоалгоритмами. OpenSSL является основным криптоядром для широкого спектра приложений Open Source.

После того, как в эту библиотеку компанией Криптоком были добавлены ГОСТы, появились патчи для «гостификации» многих популярных приложения, использующих OpenSSL. На базе OpenSSL некоторые вендоры разработали и сертифицировали СКЗИ, кроме того в ряд продуктов OpenSSL входит «неявным» образом.

PKCS#11

Библиотека PKCS#11 предоставляет универсальный кроссплатформенный программный интерфейс к USB-токенам и смарт-картам.

Функции делятся на:

Таким образом, стандарт PKCS#11 поддерживает полный набор криптопримитивов, пригодный для реализации криптографических форматов (PKCS#7/CMS/CADES, PKCS#10, X.509 и др.) и протоколов (TLS, IPSEC, openvpn и др.).

Для обеспечения быстродействия часть криптопримитивов может быть реализована программно.

В стандарте PKCS#11, начиная с версии 2.30, поддерживаются ГОСТ Р 34.10-2001, ГОСТ Р 34.11-94, ГОСТ 28147-89.

Использование библиотеки PKCS#11 обеспечивает совместимость ПО различных вендоров при работе с токенами. Через PKCS#11 интерфейс умеют работать приложения, написанные на на базе CryptoAPI, NSS, OpenSSL.

Пример совместимости приложений приведен на схеме. Таким образом, возможно использование подходящего приложения в соответствующем месте инфосистемы.

PKCS#11 бывают также без поддержки аппаратных устройств с программной реализацией криптоалгоритмов и хранением объектов в файловой системе.

Примеры – PKCS#11 интегрированный в NSS (Mozilla), проект aToken, библиотека Агава-Про.

У компании Крипто-Про есть библиотека PKCS#11, реализованная на базе MS CryptoAPI:

Существуют PKCS#11-библиотеки для мобильных платоформ. Примером подобной библиотеки служит библиотека для Рутокен ЭЦП Bluetooth, которая позволяет использовать устройство на iOS и Android.

NSS

NSS представляет собой криптографическую библиотеку от сообщества Mozilla. N SS используется такими приложениями, как браузер Mozilla Firefox, почтовым клиентом Mozilla Thunderbird.