Криптопро ocsp server
При совместной работе ПАК «КриптоПро УЦ» и ПАК «КриптоПро OCSP Server» для предоставления пользователям актуальной информации о статусах сертификатов по протоколу OCSP рекомендуется использовать совмещенный режим работы. При этом, в качестве источника информации о статусах сертификатов используются базы данных Центра Сертификации и Центра Регистрации ПАК «КриптоПро УЦ». Подробнее о данном режиме можно узнать здесь.
Криптопро revocation provider
В операционных системах семейства Microsoft Windows встроена поддержка технологии Инфраструктуры открытых ключей. Многие приложения, работающие под управлением этих ОС, используют интерфейс CryptoAPI для осуществления функций криптографической защиты информации.
По умолчанию приложения, использующие CryptoAPI, осуществляют проверку статусов сертификатов с использованием списков отозванных сертификатов (СОС). СОС представляет собой список недействительных сертификатов, издаваемый периодически – например, раз в неделю.
СОС не отражает информацию о статусах сертификатов в реальном времени, а также имеет ряд других недостатков, которых лишён протокол OCSP – протокол получения статуса сертификата в реальном времени. Режим установления статуса сертификатов по умолчанию реализован в модуле ОС – Microsoft Revocation Provider.
Но архитектура CryptoAPI предоставляет возможность подключения и внешних модулей проверки статуса сертификата. Таковым и является продукт «КриптоПро Revocation Provider», который предназначен для встраивания проверки статусов сертификатов открытых ключей в режиме реального времени по протоколу OCSP в операционные системы семейства Microsoft Windows.
Схема встраивания «КриптоПро Revocation Provider» в операционные системы семейства Microsoft Windows представлена на рисунке:
Основные характеристики «КриптоПро Revocation Provider»:
Загрузить «КриптоПро Revocation Provider».
Настройки работы с ocsp службой
Для работы со Службой OCSP при создании классической
электронной цифровой подписи необходимо указать параметры доступа к
службе OCSP
в групповых политиках либо в сертификате и настройках
«КриптоАРМ»:
Для работы со Службой OCSP при создании
усовершенствованной электронной цифровой подписи
необходимо
- выполнять следующие условия:
- OCSP-Служба должна быть настроена на работу с базой данных
Удостоверяющего центра (а не по СОС) - Сертификат OCSP-оператора должен иметь расширение
no-check (формируется «КриптоПро УЦ» версии
1.4)
- OCSP-Служба должна быть настроена на работу с базой данных
- указать параметры доступа к службе OCSP в групповых политиках
либо в сертификате и настройках «КриптоАРМ»
Для настройки параметров доступа к службе OCSP в групповых
политиках выполните следующие действия:
- Откройте Пуск —
Выполнить. - Укажите Редактор объекта групповой политики —
gpedit.msc:
- Отредактируйте основные объекты групповой политики:
Политика «Локальный компьютер» —
Конфигурация
компьютера/Конфигурацияпользователя — Административные
шаблоны — Крипто-Про — КриптоПро
OCSP Client (установите
Включен):
для усовершенствованной ЭЦП
- Адрес OCSP Службы: адреспо
умолчанию (указывается в том случае, если она не указана в
сертификате) - Аутентификация (прокси-сервер): тип по
умолчанию (позволяет задать тип аутентификации,
используемый по умолчанию при соединении с прокси-сервером)
(указывается в том случае, если тип аутентификации не указан в
настройке/мастере TSP) - Прокси-сервер: адрес прокси-сервера по
умолчанию (определяет прокси-сервер, используемый по
умолчанию при подключении к службе OCSP) (указывается в том случае,
если тип аутентификации не указан в настройке/мастере TSP)
для классической ЭЦП
- Адрес OCSP Службы: адреспо
умолчанию (указывается в том случае, если она не указана в
настройке OCSP и сертификате) - Аутентификация (прокси-сервер): тип по
умолчанию (позволяет задать тип аутентификации,
используемый по умолчанию при соединении с прокси-сервером)
(указывается в том случае, если тип аутентификации не указан в
настройке OCSP) - Прокси-сервер: адрес прокси-сервера по
умолчанию (определяет прокси-сервер, используемый по
умолчанию при подключении к службе OCSP) (указывается в том случае,
если тип аутентификации не указан в настройке OCSP)
