ПАРУ КЛЮЧЕЙ НЕВОЗМОЖНО ЭКСПОРТИРОВАТЬ ЧЕРЕЗ ПАНЕЛЬ УПРАВЛЕНИЯ РУТОКЕН

Назад 1 2

RSS: текущая тема

Сообщений с 16 по 30 из 30

Неэкспортируемые закрытые ключи обладают большей защищенностью, т.к. однажды записанный на ключевой носитель закрытый ключ не подлежит копированию при помощи штатных возможностей средства криптографической защиты информации

На днях случайно нашел, как закрытый ключ извлекается из Rutoken lite на раз-два. И понял, что читать надо побуквенно, прямо как в договорах, и что неэкспортируемые ключи нельзя экспортировать штатными средствами, а не штатными очень даже можно.

Итого имеем, что ключ, выдаваемый налоговой может быть компрометирован как минимум:Автором программы-генератора ключа на ПКСистемным администратором, администрирующим ПК сотрудника налоговойСамим сотрудником налоговойНу в общем есть у меня теперь флешка на 64 килобайта, но с сертификатом ФСБ за 2000р. Дорого конечно за флешку на 64 килобайта, ну да ладно.

А теперь вопрос, который возник при побуквенном прочтении топика. ЭЦП 2.0 генерирует ключевую пару внутри, закрытый ключ не покидает ключ (и это прекрасно), и подписывает или дешифрует те данные, что ему засунет софт (в данном случае КриптоПРО). Правильно я понял ?

Из ЭЦП 2.0 можно экспортировать публичный ключ, что собственно и делает налоговая, выдавая этот ключ. Правильно я понимаю ?

И главный вопрос.

Если ключи формата PKCS#11 — то ключи не могли быть сгенерированы где-то ещё, кроме самого токена. Копирование уже сформированных ГОСТ-ключей на Рутокен ЭЦП 2.0/3.0 запрещено — это требование ФСБ.

Все же, приватный ключ ФСБ запрещает генерировать вне токена, и записывать на токен,или этот токен физически не может принять на борт приватный ключ, сгенерированный не им ?Т.е. не получится ли так же как в Lite версии, что ключ конечно хранится надежно, но ключ мог быть (пусть в нарушении требований ФСБ, но физически мог) сгенерирован вне токена ?Ибо проверить, каким софтом и как настраивается токен я не могу. А если токен позволяет залить на борт приватный ключ (т.е. его могли сгенерировать и скомпрометировать) — то как правильно заметил mihmig, получается самый что ни на есть «цирк безопасности».

Ксения Шаврова

Публичный ключ — открытая информация. Делает ли экспорт  ИС ФНС — нужно уточнять у налоговой.

Все же, приватный ключ ФСБ запрещает генерировать вне токена, и записывать на токен, или этот токен физически не может принять на борт приватный ключ, сгенерированный не им ?

Biohumanoid

Ксения Шаврова пишет:

PKCS#11 — платформонезависимый программный интерфейс доступа к криптографическим устройствам, в данном случае к Rutoken ЭЦП 2.0. Также у вас есть библиотека PKCS#11, реализующая этот интерфейс. Но меня интересует:1. Действительно ли налоговая генерирует ключ для ЭЦП 2.0 средствами самого ЭЦП 2.0 через интерфейс PKCS#11 ?2. И как я могу, получив этот токен убедиться, что закрытый ключ был действительно сгенерирован внутри токена, а не залит извне. Что в панели управления Рутокен будет говорить о том, что ключ был сгенерирован внутри устройства ?

Легитимность = правомерность, т.е. я могу его использовать с ФНС. Но меня волнует вопрос, действительно ли я единственный обладатель моего ключа. В Rutoken lite таких гарантий нет, как выяснилось. Вопрос — есть ли такие гарантии в ЭЦП 2.0 ?

Аверченко Кирилл

Импорт закрытых ключей формата ГОСТ PKCS#11 на носители семейства Рутокен ЭЦП физически невозможен.

Gleb

1. Опишите плиз процедуру в налоговой, которую я должен соблюдать, когда туда пойду, чтоб точно получить ключевую пару сгенеренную внутри продукта rutoken эцп 3.0 с неизвлекаемым закрытым ключем, как генеральный директор ООО.2. Возможно ли использовать встроенные алгоритмы шифрования для генерации неизвлекаемых ключей без установки всяких крипто про 5.0? Только с помощью софта от руктокена. Данные ключи не предполагается использовать для общения с государственными органами.

Рутокен ЭЦП 2. 0 — неизвлекаемая ключевая пара

Gleb, добрый день.1. В налоговой необходимо уточнить, чтобы записали «аппаратные» ключи или «ключи для ЕГАИС». 2. Да, это возможно с помощью ПО, которое работает напрямую с нашей библиотекой rtpkcs11ecp или с Рутокен Плагин.

Аверченко Кирилл пишет:

Спасибо большое. По пункту 2, какое это ПО, которое работает с вашей библиотекой? Список ПО есть какой-то? Нужен интерфейс который может искользовать Windows 10 — например шифровать данные или подписывать файлы из скриптов powershell. так-же есть задача использовать аппаратные ключи в сессиях ssh. Есть какой-то манул и пример реализации по данному вопросу? Может быть у вас есть какая-то утилита командной строки для windows/linux и ее исходный код?

ПользовательRutoken20эцп

У меня RuToken ЭЦП 2.0.

2022-06-08 был в налоговой, получил как ИП цифровую подпись, в свойствах RuToken Control Panel для сертификата указано «Crypto-Pro GOST R 34.10-2012 Cryptographic service provider». То есть, насколько я понимаю эту тему, подпись извлекаемая.

Прочитав эту тему (большое спасибо за толковые разъяснения!), сегодня отправился в налоговую получить новую подпись, так как я по соображениям безопасности хочу неизвлекаемую подпись. Я был в Москве, там единственное место выдает подписи — ИФНС 46.

Так вот, я им сразу сказал, что мне нужна именно аппаратная подпись, она же «как для ЕГАИС». Девушка в окошке возражать не стала. Когда подпись уже была записана на токен, я спросил — вы аппаратную сделали? На что мне ответили, что никакого выбора нет, и программа делает в зависимости от токена. Уже зная, что мне несколько месяцев назад сделали неправильную, я попросил кого-то кто может мне ответить, и подошедшая жещина снова мне сказала, что никакого выбора нет.

Ну ладно, я позвонил в поддержку 8-800-222-22-22, там поговорил с первой линией, меня перевели «на специалиста», где меня опять заверили, что никакого выбора нет, и они делают только неэкспортируемые (то есть, неправильные) подписи в формате CryptoPro, и все, точка, никаких больше вариантов.

И во тя добрался до дома, вставил токен, и тадам, RuToken Control Panel для новой подписи показывает «PKCS#11 Object, available using Crypto-Pro Gost 34.10-2012», то есть, я так понимаю, на этот раз она неизвлекаемая, как я и хотел.

Выводы:1) Ни специалисты на телефоне, ни работники в окошке в налоговой сами нифига не понимают.2) То ли они исправили программу за последние 5 месяцев, то ли они пишут подписи какие попало наугад.

как можно не штатными средствами?

штатными не дает экспортировать

Пользователь_345

Здравствуйте. Прошу проконсультировать. Наша фирма использует как Рутокен Lite, так и 2.0. Э П на Рутокене 2.0 работает исправно непосредственно в СБИС при сдаче отчетности и срабатывает при авторизации на Госуслугах, но при попытке подписать документы/заявления вне СБИС, сайты просто не видят носитель 2.0. Сертификат добавлен в хранилище «Личное». В КриптоПро CSP при просмотре сертификатов в контейнере, при нажатии на «обзор» видны только старые сертификаты в Реестре, контейнер Рутокен 2.0 не отображается (в отличие от Lite). При выборе «по сертификату» и нажатии на него, он не появляется в строке. При выборе в Крипто «установить личный сертификат», выбрав сохраненный файл на компьютере, не находится контейнер, ошибка: «не найден контейнер соответствующий открытому ключу сертификата». Верно ли понимаю, что подписание заявлений с Рутокеном 2.0 не представляется возможным вне сайта СБИС (как у нас)?

Николай Киблицкий

Выше писали, что нашли способ копировать подписи, выданные ФНС на рутокен лайт. Вопрос. Ф НС делает эти подписи неэкспортируемыми. Насколько законно это копировать и чем это чревато?Кроме собственной безопасности

vukrov, добрый день. Скопировать неэкпортируемый контейнер можно только с применением нештатного ПО. Что в какой-то мере может попадать под ст 273 УК РФ. Так же повышается риск компрометации ЭП. В случае возникновения инцидента, могут быть проблемы в суде.

46 отредактировано oleg_jaguar)

Не хочу расстраивать криптографов, но «неэкспортируемые» ключи спокойно экспортируются, без применения особых технических знаний и навыков. Это занимает минут 5 🙂 И не только экспортируются, а копируются и перемещаются на усмотрение пользователя куда надо. И пароль снимается. А куда и под что это подпадает — вопрос вообще второй если не третий или десятый 🙂 Или самый последний :)Отсюда вопрос смысл ограничивать некопируемость, чтобы лишний гемор пользователю создать по его копированию? К примеру, если ЭЦП нужно на двух компьютерах использовать. Это как сайты заблокировали, а подключаешь VPN и не заблокировали оказывается 🙂 Очередная фикция. Сами подумайте, как можно запретить копировать то, что можно считывать ?)))

1 2 Далее

Сообщений с 1 по 15 из 30

Наше ООО получило (безвозмездно) от налоговой ЭП ЮЛ на ключевом носителе Рутокен ЭЦП 2.0у которого в спецификациях  (https://www.rutoken.ru/products/catalogue/id_81.html) сказано, что он «позволяет выполнять криптографические операции таким образом, что закрытая ключевая информация никогда не покидает пределы токена.»

Действительно, при попытке скопировать ключ с помощью оснастки «Панель управление Рутокен» или «КриптоПро CSP» появляется сообщение о невозможности экспорта ключа из-за установки соответствующего флага.

1. Как я могу быть уверен, что ключевая пара сформирована самим устройством токена, а не на компьютере сотрудника налоговой (что сразу же переводит ключ в статус скомпрометирован, так как я по умолчанию не доверяю «Леночке между декретами»)?

2. На компьютере с успешно установленными драйверами рутокен-а и утилитой КриптоПро CSP (не ФКН) данный ключ успешно эксплуатируется, из чего я делаю вывод, что криптопреобразования проводятся на ПК а не микропроцессором токена, следовательно ключ покидает токен? . Получается какой-то цирк безопасности?

3. Хотелось бы услышать список причин, по которым признак «неизвлекаемости» ключа стал обязательным.

Действительно, при попытке скопировать ключ с помощью оснастки «Панель управление Рутокен» или «КриптоПро CSP» появляется сообщение о невозможности экспорта ключа из-за установки соответствующего флага.

Есть два термина «неизвлекаемость» и «неэкспортируемость». Эти термины пришли из разных мест, предлагаю разобраться:В нашей терминологии используются:- «Неизвлекаемые» ключи – это аппаратные ключи формата PKCS#11. Для генерации которых использовались аппаратные возможности Рутокена семейств 2.0 и 3.0. Такие ключи успешно используются, например, в ЕГАИС. Все операции с подписью производятся внутри токена и ключи никогда не покидают память токена (не извлекаются во время подписания).- «Неэкспортируемые» ключи – терминология пришла из программного продукта «КриптоПро CSP» — это значит, что во время генерации ключей с помощью «КриптоПро CSP» был установлен флаг «экспорт запрещен», то есть закрытый ключ нельзя скопировать на другой носитель. Но во время работы с таким контейнером, подписание происходит на программном уровне в оперативной памяти компьютера.

Точно сказать какой у вас ключ могу, если вы приложите скриншот «Панель управления Рутокен» — вкладка «Сертификаты» или напишете что указано в поле, обведенном в рамку в этом знании — https://dev.rutoken.ru/display/KB/RU1081

Далее отвечу по пунктам:

Если формат ключей «КриптоПро CSP», 100% гарантии нет. Если ключи формата PKCS#11 — то ключи не могли быть сгенерированы где-то ещё, кроме самого токена. Копирование уже сформированных ГОСТ-ключей на Рутокен ЭЦП 2.0/3.0 запрещено — это требование ФСБ.

А вот тут не всегда. Например, «КриптоПро CSP» версии 5.0 R2 может успешно работать с неизвлекаемыми ключами PKCS, используя библиотеку rtpkcsecp и тогда ключи не извлекаются, а может работать с программными ключами и тогда токен будет в пассивном режиме хранить ключи на смарт-карте под PIN-кодом.

Требования к неизвлекаемости сейчас нет. Согласно требованиям УЦ ФНС есть требования к неэкспортируемости для повышения безопасности. Неэкспортируемые закрытые ключи обладают большей защищенностью, т.к. однажды записанный на ключевой носитель закрытый ключ не подлежит копированию при помощи штатных возможностей средства криптографической защиты информации. Неэкспортируемые закрытые ключи являются более надежным вариантом использования, поскольку получение доступа к такому закрытому ключу требует применения специальных средств и техники.

Mihmig

Да, у нас «обычный» Crypto-Pro GOST R 34.10-2012 Cryptographic Service provider

Правильно ли я понимаю, что для выполнения криптографических операций ключ-таки извлекается из токена?

Сомневаюсь, так как теперь для работы удалённого бухгалтера администраторы будут делать удалённый доступ (Teamviewer, VNC и т.п.) или вообще USB-IP.

Это программные, неэкспортируемые ключи, созданные с помощью «КриптоПро CSP». Аппаратная криптография токена не участвовала в генерации ключей и не участвует в работе с ЭП. Токен выступает в роли пассивного хранилища, защищённого PIN-кодом.

Да, при работе с программными ключами (как у вас сейчас) извлекается для осуществления операций с подписью.

Как раз из-за увеличения мошеннических схем с ЭП и вводятся новые правила получения сертификатов. Сертификат для лица, действующего без доверенности — в единственном числе, неэкспортируемый. Остальные сотрудники будут получать сертификаты на ФЛ без указания ИНН и сопровождать отчетность электронной доверенностью, которая станет обязательной с 01.01.2022.

Ксения, спасибо за подробные ответы!

Kiav

Прочел все сообщения темы. Стало ясно, что несмотря на возможности носителя, вам создали извлекаемый (хоть и неэкспортируемый) ключ. Чисто теоретически, при наличии «специальных средств и техники» у ФНС, копии закрытых ключей у них остаться могут. Остается решить для себя насколько каждый доверяет налоговой в этом плане.

У меня остался ряд вопросов по процедуре получения ЭЦП, которую вам (ООО) пришлось пройти.

В коммерческом УЦ (кстати, возможность пользоваться ЭЦП от них после 1 января будет, но нужно подождать, когда они пройдут переаккредитацию). Вот у них ключ я создаю на своем ПК, а визит в УЦ нужен только для того, чтобы подписать документы на бумаге и показать свое мурло с паспортом.

Edinorog

Купил рутокен эцп с целью перенести на него имеющиеся в реестре ЭЦП и сделать неэкспортируемыми/неизвелкаемыми. Я так, понял, это невозможно? Нужно копию ключей иметь и генерировать их на токене нет возможности.

Сделать неизвлекаемые ключи уже не получится. Неизвлекаемые можно сгенерировать только аппаратными средствами непосредственно на токене. А вот сделать неэкспортируемые — можно. Нужно экспортировать ключи из реестра в формате .pfx и при импорте ключей на токен установить запрет экспорта.

Спасибо. Крипто про 5 для этого не потребуется? 4 хватит?

Asoldatov

Edinorog, да, хватит.

Выявлен фатальный недостаток экспорта через .pfx. Задать имя в контейнере нельзя.получается всегда абракадабра. 20 абаракадабр.

Edinorog, при экспорте в pfx сохраняется имя ключевого контейнера, из которого выполняется экспорт. Можете сперва сделать копию контейнера из Реестра в Реестр, задав нужное Вам имя, а затем — переустановить сертификат из нового контейнера и запросить экспорт в pfx.

На крипто про 4 при импорте pfx имя заменяется на абракадабру, а на крипто про 5 все нормально. Также запрет экспорта можно поставить при импорте на флешку или в реестр. Токен дает какую-то дополнительную защиту вообще при программном ограничении экспорта? Альтернативный софт или пропатченный крипто про позволит вытащить ключи все же? У токена не идет свой аппратный счетчик подбора паролей?

Понял. Если в имени контейнера есть кириллица, то имя заменяется на pfx-абракадабра.

Приветствую. Операционная система Рутокена ограничивает попытки ввода PIN-кода. Количество попыток задается при форматировании  устройства, по умолчанию — 10.

По особенностям создания имени контейнера лучше уточнить в компании КриптоПро.

Поскольку с 1 января 2022 года ФНС для подписи документов ввело специальная ЭЦП (электронно-цифровую подпись), которая находится на специальном носителе – рутокене. Сама по себе идея хороша, но действительность как обычно вносит свои коррективы. Дело в том, что подписывают документы зачастую несколько человек (директор, главный бухгалтер, заместитель директора) и возможности передавать рутокен просто нет. Возможность же копировать ключ ФНС не предусматривает. Как быть в такой ситуации и скопировать ключ с рутокена, расскажем в статье.

Прежде чем приступить к работе по копированию ключа, подготовьте необходимые элементы:

Что такое рутокен

Рутокен – это сертифицированный накопитель, обладающий дополнительной защитой, что позволяет сохранить конфиденциальные данные. На один рутокен можно записать до тридцати подписей, все зависит от объема памяти конкретного устройства.

Обычное съемное USB устройство (флешка) для постоянного хранения не годиться, поскольку не обладает достаточной защитой, в том числе от копирования информации. Поэтому флешку нужно рассматривать только как временное хранилище для переноса подписи на второй рутокен.

Проверяем ключ на не экспортируемость

Прежде чем начать работу, проверьте, может все же ключ можно экспортировать без лишних усилий с вашей стороны.

Копируем рутокен на компьютер или флешку

Итак, вы выяснили, что ключ имеет статус «Не экспортируемый», но скопировать его нужно. Можно действовать следующими методами:

Копируем с помощью утилиты

Этот метод также позволяет перенести не экспортируемый ключ на флэшку или скопировать  на ПК.

Tokens.exe – является утилитой, которая позволяет копировать ключи с рутокена, имеющие статус «не экспортируемый». Для корректного функционирования программы специалисты рекомендуют устанавливать три дополнения, идущие в комплекте с утилитой.

Далее нужно убрать статус «Экспорт запрещен». Для этого понадобится еще одна программа CertFix.000032.exe. Качаем ее и устанавливаем на ПК.

Действуем следующим образом:

Готово! Теперь можно пользоваться  копией ключа, размещенной в реестре.

Используем КриптоПро CSP

Перенести ЭЦП на ПК или флешку поможет сервис КриптоПро CSP.

Приветствую тебя мой друг! Давай знакомиться?! Я администратор и автор данного сайта. Специалист с 10 летним опытом работы в сфере ИТ-технологий. Проконсультирую вас по настройке: компьютеров, ноутбуков, периферийного оборудования. Помогу решить проблемы в работе операционной системы Windows или компонентов компьютера. Подскажу как настроить ваши гаджеты.

( 6 оценок, среднее 4.33 из 5 )