РУТОКЕН CSP PRO ФКН КРИПТОН

Время на прочтение

К написанию данной статьи меня подтолкнули сразу несколько вещей:

Так что, наверное, так и пойдем. Кому что-то не интересно, можете переходить на интересный заголовок.

Основные преимущества ФКН

Средство криптографической защиты информации (СКЗИ) КриптоПро Рутокен CSP соответствует требованиям ГОСТ 28147-89, ГОСТ Р 34.11-94, ГОСТ Р 34.10.2001 и требованиям ФСБ России к СКЗИ и средствам электронной подписи по классам КС1 и КС2. Может использоваться для криптографической защиты информации, не содержащей сведений, составляющих государственную тайну.

Для повышения удобства работы и хранения данных веб-сайт rutoken.ru использует файлы COOKIE. Продолжая работу с веб-сайтом, Вы даете свое согласие на работу с этими файлами.

Данная страница перенесена в архив. Актуальную информацию можно узнать в разделе по ссылке.

КриптоПро Рутокен CSP — программно-аппаратное СКЗИ, которое объединяет возможности российского криптопровайдера КриптоПро и идентификатора «Рутокен КП».

В КриптоПро Рутокен CSP криптографические операции на закрытых ключах выполняются внутри ключевого носителя и ключи не покидают usb-токен. В продукте реализована уникальная технология ФКН, которая защищает от атак на протокол обмена между программной частью и ключевым носителем, а также обеспечивает дополнительную безопасность закрытых ключей.

СКЗИ КриптоПро Рутокен CSP реализовано с использованием архитектуры ФКН и дополнительно содержит набор ограничительных счетчиков, позволяющих существенно ограничивать возможности по реализации атак связанных с опробованием значений пароля (PIN).

Возможности КриптоПро Рутокен CSP:

Аппаратные средства

КриптоПро Рутокен CSP используется с USB ключом «Рутокен КП» российской компании «Актив», базирующемся на высокоскоростном 32-разрядном микроконтроллере архитектуры ARM7.

Области применения

СКЗИ КриптоПро Рутокен CSP предназначено для использования в российских системах PKI, в системах юридически значимого электронного документооборота и в других информационных системах, использующих технологии электронной подписи, например:

Сертификация

Сертификат соответствия СФ/124-3012 от 17.01.2017 г. (действителен до 01.09.2018).

Программное обеспечения для работы с СКЗИ Рутокен CSP

Дистрибутив для скачивания

Программно-аппаратное СКЗИ, которое объединяет возможности российского криптопровайдера КриптоПро CSP и USB-токена Рутокен. В КриптоПро Рутокен CSP криптографические операции на закрытых ключах выполняются внутри токена, при этом ключи не покидают само устройство.

В продукте реализована уникальная технология функционального ключевого носителя (ФКН), которая защищает от атак протокол обмена между программной частью и токеном, а также обеспечивает дополнительную безопасность закрытых ключей. Срок действия закрытого ключа пользователя — до 3-х лет. КриптоПро Рутокен CSP имеет сертификат ФСБ о соответствии требованиям, предъявляемым к средствам электронной подписи и к средствам криптографической защиты информации по классам КС1 и КС2.

Продукт КриптоПро Рутокен CSP устарел и больше не поддерживается. Если у вас есть вопросы по выбору других продуктов со схожей функциональностью — .

Решение КриптоПро Рутокен CSP — это совместная разработка компаний «КриптоПро» и «Актив», в которой интегрированы возможности криптопровайдера КриптоПро CSP и USB-токенов Рутокен. Важной особенностью технологии ФКН является разделение криптографических мощностей между криптопровайдером КриптоПро CSP и Рутокен КП — специально адаптированной под технологию ФКН моделью криптографического USB-токена, выполненной на базе .

Рутокен КП используется в технологии ФКН для генерации ключевых пар, выработки ключей согласования, осуществления электронной подписи и т. п. Выполнение этих операций на борту токена обеспечивает максимально высокую степень сохранности ключевой информации. Рутокен КП используется и поставляется только в составе КриптоПро Рутокен CSP, отдельно этот USB-токен не распространяется.

В новой версии КриптоПро Рутокен CSP, помимо Рутокен КП, есть поддержка стандартной модели Рутокен ЭЦП 2.0 для генерации и надежного хранения ключевых пар и контейнеров КриптоПро CSP. Ключевая информация хранится на Рутокен ЭЦП 2.0 без возможности ее извлечения. Использование Рутокен ЭЦП 2.0 в составе КриптоПро Рутокен CSP дает оптимальную по стоимости и возможностям конфигурацию решения для случаев, когда повышенные требования к уровню защиты каналов связи с ключевым носителем не предъявляются.

Решение КриптоПро Рутокен CSP является преемником СКЗИ КриптоПро CSP и поддерживает все его возможности. Также оно полностью интегрируется в инфраструктуру открытых ключей, базирующуюся на удостоверяющем центре «КриптоПро УЦ».

Данная статья содержит общую информацию о поддерживаемых КриптоПро CSP 5.0 ключевых носителях и связанном с ними функционале.

КриптоПро CSP 5. 0 поддерживает три класса извлекаемых ключевых носителей (токенов и смарт-карт)

1) — хранят ключ подписи под паролем. Для формирования подписи ключ зачитывается в оперативную память CSP.2) з защиты канала (активные) — сами генерируют ключ, сами подписывают данные. C SP передает в токен на подпись документ и пароль. Канал между токеном/смарт-картом и криптопровайдером не защищен.3) Н с защитой канала (с SESPAKE) — аналогичны «активным», но для аутентификации используют надежный протокол SESPAKE, в результате которого между токеном и криптопровайдером устанавливается защищенный канал.

Большинство активных токенов для целей совместимости с предыдущими версиями CSP можно использовать в нескольких режимах. Идентификатором режима является префикс уникального номера «апплета».

Например, при перечислении считывателей функцией CryptGetProvParam(PP_ENUMREADERS) токен Рутокен ЭЦП 2.0 3000 будет отображен как три носителя:

rutoken_fkc_XXXXXXX — ФКН с защитой канала;rutoken_crypt_XXXXXXX — ФКН без защиты канала;rutoken_ecp_XXXXXXX — пассивный.

КриптоПро CSP 5. 0 поддерживает функциональность, которая позволяет ограничивать допустимые для использования режимы работы.

Для этого используется функция CryptSetProvParam(PP_CARRIER_TYPES).

CRYPT_CARRIER_TYPES types;types.enabled_types = ENABLE_CARRIER_TYPE_CSP;types.enabled_operations = DISABLE_EVERY_CARRIER_OPERATION;CryptSetParam(hProv, PP_CARRIER_TYPES, (BYTE*)&types, 0);

Допустимые значения enabled_types (можно комбинировать через побитовое ИЛИ):

ENABLE_CARRIER_TYPE_CSP — разрешить использование носителей обычных пассивных криптоконтейнеров (CSP 3.6 — CSP 4.0);ENABLE_CARRIER_TYPE_FKC_NO_SM — разрешить использование ФКН без SM (Рутокен ЭЦП, JaCarta ГОСТ и т.п.);ENABLE_CARRIER_TYPE_FKC_SM — разрешить использование ФКН с SM (SESPAKE).

Допустимые значения enabled_operations (можно комбинировать через побитовое ИЛИ):

DISABLE_EVERY_CARRIER_OPERATION — запрещены любые операции с неуказанными в enabled_types носителями;ENABLE_CARRIER_OPEN_ENUM — запрещено создавать ключи на неуказанных в enabled_types носителях;ENABLE_CARRIER_CREATE — запрещено использовать (но не создавать) ключи на неуказанных в enabled_types носителях.

КриптоПро CSP 5. 0 R2 дополнительно поддерживает функциональность, которая позволяет ограничить допустимые для использования конкретные режимы работы конкретных носителей.

Для этого используется функция CryptSetProvParam(PP_UNIQUE_FILTER). Она принимает аргументом регулярное выражение, которое накладывается на уникальный номер «апплета».

Например, если стоит задача «разрешить только Рутокен Лайт и Рутокен ЭЦП 2.0, но на Рутокен ЭЦП 2.0 создавать только в активном режиме», вызов будет выглядеть так:

Аналогичное условие для JaCarta LT и JaCarta-2 ГОСТ:

Кроме фильтрации по уникальным номерам КриптоПро CSP 5. 0 поддерживает возможность установки поддерживаемых типов носителей.

Например, разрешить работу только со смарт-картами.

Для этого используется функция CryptSetProvParam(PP_MEDIA_TYPE), которая принимается в качестве аргумента тип, носители которого будут разрешены в данном процессе. Возможные варианты: SCARD (смарт-карты и токены), REGISTRY (реестр), FAT12 (флеш-накопители и съемные диски), CLOUD (облачные ключи) и т.д.

Начиная с версии КриптоПро CSP 5. 0 R2 11998 для работы с носителями Рутокен ЭЦП 2. 0, JaCarta-2 ГОСТ и ESmart Токен ГОСТ используются библиотеки PKCS#11.

Работа через них является аналогом режимов rutoken_crypt/jacarta_crypt/esmart_hw(ФКН без защиты канала), но идентификаты режимов получили префикс «pkcs11_». Для этих версий вызов должен выглядеть так:

О способах генерации неизвлекаемых ключей на активных токенах  и обычных ключей на пассивных токенах с помощью КриптоПро ЭЦП Browser plug-in можно почитать в статье.

Какой именно токен выбрать?

Выбор токена зависит от того, как он будет сгенерирован на устройство и как в дальнейшем будет работать.

Рассмотрим разновидности ключей электронной подписи в связке с токенами от компании Актив — Рутокен.

1. Извлекаемые ключи ЭП — создаются с помощью программного криптопровайдера (КриптоПРО CSP). Закрытый ключ хранится в защищённом ключевом контейнере на токене. Вся работа с ключами производится средствами этого программного криптопровайдера. При этом, во время операций с подписью, после ввода правильного PIN-кода, закрытый ключ ненадолго извлекается в оперативную память компьютера.

2. Неизвлекаемые ключи ЭП — создаются с использованием аппаратных возможностей устройства Рутокен (СКЗИ на токене). Такие ключи ЭП хранятся не просто в защищённом ключевом контейнере, но и в специальном внутреннем формате. При работе с подписью все операции производятся внутри токена — закрытый ключ никогда не выдается наружу.

Извлекаемые ключи делятся на:

Этот параметр устанавливается во время генерации контейнера или при импорте ключей. Впоследствии этот параметр уже не изменить.

В том случае, если ключ генерируется на флешку, жесткий диск или в реестр компьютера, запрет экспорта особо не ограничивает возможность копирования контейнера. Вы можете скопировать контейнер средствами ОС.

А вот запись неэкспортируемого контейнера на Рутокен, позволяет вам защититься от копирования контейнера средствами ОС и криптопровайдера.

Неизвлекаемые ключи делятся на два вида:

ФКН (функциональный ключевой носитель) генерируется с помощью двух составляющих: аппаратных возможностей устройства Рутокен и КриптоПро CSP.

Какие бывают модели Рутокен? ⠀

Аппаратная криптография на токене не равно вшитая в токен программа КриптоПро CSP. То есть если вы получили модель Рутокен с записанным на нее извлекаемым контейнером формата КриптоПро или с ключами формата ФКН, то вне зависимости от того какая у вас модель Рутокен — пассивная или активная, для работы с таким типом ключей, нужно будет приобрести лицензию на КриптоПро CSP.

Рассмотрим с помощью каких средств криптографической защиты информации можно сгенерировать извлекаемые ключи.

Есть 3 варианта:

Неизвлекаемые ключи формата PKCS#11 можно сгенерировать с использованием активных токенов из линейки Рутокен ЭЦП 2.0 и 3.0. Именно эти две линейки содержат в себе возможности аппаратной криптографии.

Для генерации можно использовать инструмент от компании Актив — это Рутокен SDK , или воспользоваться инструментами, которые выпускают наши партнеры. Если речь идет о КриптоПро CSP, то ключи формата PKCS#11 можно сгенерировать  с помощью версии 5.0  R2 и выше.

На устройства из линеек ЭЦП 2.0 или 3.0 всегда генерируются только неизвлекаемые ключи с использованием аппаратной криптографии Рутокена.

Для того, чтобы сгенерировать ключи ФКН с защитой канала нужно использовать устройство Рутокен ЭЦП 2.0 3000 или токены из линейки Рутокен ЭЦП 3.0 — именно в этих моделях добавлена возможность генерации и работы с такими ключами. Важно так же что для ключей такого формата подойдет версия КриптоПро CSP 5.0 и выше.

Изменения в законодательстве

Начать, пожалуй, стоит с того, что в прошлом году отменили обязательное нотариальное удостоверение сделки, если имеется общая долевая собственность и все владельцы долей участвуют в сделке. Безусловно — это позитив, ибо нотариусы совсем охренели — этих ребят стоит держаться подальше при возможности.

Что ж? УЦ Росреестра оказывается единственной альтернативой. Начинаем изучать. У Ц располагается по ссылке. Нажимаем «Сколько стоит?». 2200 рублей с записью на токен. 700 рублей — Предоставляется в электронном виде личность удостоверяется в офисе. Опаньки! В электронном виде, это означает, что работают по схеме с запросом на сертификат. То есть можно самым правильным способом сгенерировать пару у себя на рабочем месте, отправить им запрос, а в офисе только пройти процедуру удостоверения личности — то чем и должен заниматься УЦ.

Резюме

Несмотря на то, что Росреестр остался фактическим монолистом на рынке ЭП для сделок по недвижимости, работает четко. До этого я пользовался УЦ Тензор, где физлицу можно получить сертификат ЭП за 500 рублей. Но скорость работы, факт того, что не нужно ставить дополнительный софт, как у Тензора, сертификат на 15 месяцев — всё это даёт мне основание похвалить впервые за много лет Росреестр. 200 рублей переплаты относительно Тензора того стоят, ИМХО.

Возможности

Новый токен под старым брендом. Вроде какая-то добавка 3000 в конце и вообще не понятно о чем это. А между тем перед нами принципиально новый носитель ключевой информации. С классическим Рутокен ЭЦП 2.0 его объединяет пожалуй лишь то, что он может быть с ним совместим, и по прежнему на нём можно хранить неизвлекамые закрытые ключи, криптографические операции с которыми происходят прямо в контроллере девайса, а закрытые ключи никогда не покидают его пределов.

А в чем же разница? Пожалуй, отличия четыре:

Давайте теперь по порядку.

ФКН с SESPAKE дает возможность защитить канал обмена между драйвером/криптопровайдером и контроллером хранилища. Раньше подобный перехват был возможен, и любой любитель Wireshark с установленным USBcap мог лицезреть открытые PIN-коды при работе с классическим Рутокен ЭЦП 2.0, которые транслируются в APDU командах контролера, что потенциально даёт вектор атаки по подслушиванию PIN’а и дальнейшему подписыванию всего и вся без взаимодействия с пользователем. И хотя формально закрытые ключи всё равно остаются неизвлекаемыми, это может перестать быть принципиальным моментом.

Ускорение. Уж не знаю как и почему, но если у вас было несколько сертификатов на одном токене Рутокен ЭЦП 2.0, то тормоза были обеспечены. Особенно при попытке софта перебрать все сертификаты или найти контейнер с нужным. Ваш покорный слуга хватал лично ситуации, когда в некоторых системах ЭДО дешифрация маленького документа занимала более минуты. Всё кончилось тем, что Тензор в своих плагинах даже запретил использование аппаратных токенов совместно с КриптоПро 5-й версии, чем вызвал много подозрений. Теперь всё не так, я даже не замечаю разницы между тем, когда на токене был один сертификат, и теперь, когда их четыре (Тензор при этом всё равно не работает с аппаратными ключами в версиях плагинов где-то с осени 2019 года).

Режим PKCS#11 — это возможность использовать библиотеку производителя, которая реализует стандартное API PKCS#11 по работе с ним (напрямую без КриптоПровайдера). Под Windows применяется мало, т.к. Windows Crypto API является доминирующим способом. Под Linux похоже увы, если не брать гипотетическую возможность установить КриптоПро под Linux и использовать его. КриптоПро под Linux представляет собой по сути реализацию Windows Crypto API, то есть ни одна традиционная софтина под Linux это не поддерживала и не будет поддерживать. Скорее это возможность для разработчиков пилить госзаказ и разрабатывать соответствующие серверные продукты под Linux с возможность криптографии ГОСТ. О применении в Linux Desktop речи не идет. Тем не менее Рутокен поставляет свою библиотеку PKCS#11 для старого Рутокен ЭЦП 2.0 и мне даже удавалось как-то подружить её с плагином ГосУслуг для аутентификации по электронной подписи. С ФКН возможности такой, как я понимаю нет, но возможно компания Актив меня поправит.

Отсутствие режима работы без КриптоПро. Скорее всего это связано с предыдущим пунктом. Но на практике сложилась некоторая путаница при использовании Рутокен ЭЦП 2.0. Почему-то мало кто знает, что Рутокен ЭЦП 2.0 умеет прекрасно работать с КриптоПро 5-й версии. Возможно, из-за того, что он появился задолго до КриптоПро 5. В результате, различные участники рынка наработали кастомные решения, которые позволяют работать с Рутокен ЭЦП 2.0 без КриптоПро. Это приводило к достаточно серьезным трудностям в диагностике проблем на сайтах. Ты говоришь, что у тебя КриптоПро и Рутокен ЭЦП 2.0, а тебе говорят, что Рутокен ЭЦП 2.0 не работает через КриптоПро. С 3000-м альтернативы, похоже, никакой нет. Только КриптоПро 5. Хорошо это или плохо — время покажет.

Картинки

Если вы используете КриптоПро 5-й версии, то поддержка идет из коробки. Отличия для пользователя минимальны. Создание ключевого контейнера:

В отличие от тупого носителя у вас теперь есть выбор в каком режиме вырабатывать ключевую пару. Верхний — новый режим ФКН, внизу старый режим Рутокен ЭЦП 2.0 с поддержкой PKCS#11, посередине — режим тупого токена, в котором всю работу делает криптопровайдер.

При создании первого контейнера в режиме ФКН КриптоПро попросит задать PUK-код и пароль:

В результате получим ключевую пару, которую можно посмотреть через Панель управления Рутокен:

Рутокен ЭЦП 2.0 3000 стал для меня долгожданной заменой для ранее использованного функционального ключевого носителя из АПК КриптоПро Рутокен CSP 3.6, который умел только старые ГОСТы. Тем не менее, я очень расстраиваюсь, что для работы с этим всем добром приходится держать виртуалку с виндой. Было бы здорово, если бы Рутокен раскрыл описание своей реализации протокола SESPAKE. Думаю, что прикрутить стандартные линуксовые библиотеки для работы с этим токеном можно будет будет без особых проблем.

«Рутокен ЭЦП 3. 0 NFC» совместим со следующими криптопровайдерами

Функции устройства доступны через два интерфейса: традиционный USB (Type-А, Type-C) и бесконтактный (NFC). Это позволяет подписывать документы на смартфонах и планшетах.

Возможность электронной подписи документа будет доступна, даже когда на устройстве нет доступа к мобильной сети или интернету. Чтобы подписать документ, нужно приложить токен к NFC-считывателю устройства. После этого токеном будет вычислен сертификат.

Как подписать документ бесконтактным способом

Архитектура ФКН реализует принципиально новый подход к обеспечению безопасного использования ключевой информации, которая хранится на аппаратном носителе.

Кроме формирования электронной подписи и генерации ключей шифрования непосредственно в микропроцессоре, ключевой носитель позволяет эффективно противостоять атакам, связанным с подменой хэш-значения или подписи в канале связи.

Что нужно для работы с сертификатом через «Рутокен ЭЦП 3. 0 NFC» с ПО «Такскома»

Для работы с сертификатом:

Сейчас работу по NFC на «Рутокен ЭЦП 3.0 NFC» поддерживает только мобильное приложение «Такском-Файлер».

Обновление Росреестра по части проведения электронных сделок

В предыдущей статье на эту тему мы рассматривали оформление сделок с помощью основного портала Росреестра (не доступен в момент написания). Вначале я решил пойти по проторенной тропе, но очень быстро упёрся в то, что введенный кадастровый номер помещения не валидируется, хотя введен абсолютно правильно. Анализ HTML-кода показал, что в валидатор вставлен костыль, который отвергает большинство кадастровых номеров по первой группе цифр, которая обозначает регион. Все регионы кроме шести штук (16, 26, 47, 61, 63 и 76) оказались таким образом как бы забаненными. Нигде об этом естественно не написано. Хотелось разбомбить.

Однако я быстро вспомнил, что аналогичный функционал, но с другим интерфейсом был представлен в личном кабинете гражданина в Росреестре (авторизация через ЕСИА), который мне не удалось протестить в прошлой статье. Сходил туда и беглый осмотр показал, что для Питера никаких ограничений нет. Значит будем делать так.

О возможных причинах такого поведения Росреестра

В настоящий момент в Росреестре идет активная миграция на новую информационную систему — ФГИС ЕГРН. Миграция происходит по регионам. Возможно, что старый интерфейс для электронных заявлений не предназначен для работы с ФГИС ЕГРН. А новый, который в личном кабинете, предназначен.

Переходим на вкладку «Услуги и сервисы» и выбираем нужную услугу:

Далее нас ждет несколько шагов по заполнению заявления (в зависимости от выбранной услуги):

На первом шаге необходимо просто согласиться и поставить галочку.

Далее, к сожалению, скриншоты не публикую, так как в них содержится много персональных данных.

На втором шаге необходимо проверить и заполнить данные заявителя. Данные подтягиваются из ЕСИА, но если у вас профиль заполнен не полностью, то что-то придется дописать. Также Росреестр плохо подтягивает из ЕСИА адреса проживания и регистрации — скорее всего вам придется указать их вручную. Также отмечу, что на данном шаге есть возможность добавить других заявителей. Это необходимо сделать, если у квартиры несколько собственников.

На третьем шаге указываются (в данном случае) данные о собственности (реквизиты помещения, доли и т.д.).

Четвертый шаг самый сложный. Тут необходимо загрузить все документы. Начиная со сканов паспорта, которые каждый заявитель заверяет своей электронной подписью, заканчивая договорами и прочими документами, которые должны заверяться электронными подписями тех, кто их подписывает. Например, договор, должен быть подписан всеми сторонами сделки. Кроме того, может понадобиться документ, который у вас есть только в бумажном виде или от стороны, которая в сделке не участвует — например, согласие супруга. Тут можно прибегнуть к нотариусу — нотариусы умеют сканить документы и своей электронной подписью подписывать сканы и факт того, что получившийся электронный документ полностью тождественен документу на бумажном носителе. Возможно, если весь документ составляет сам нотариус, то он может сразу сделать его электронным со своей подписью без вывода на бумагу — не поверял работают ли так нотариусы на практике.

Для подписи одного документа несколькими электронными подписями так, чтобы все подписи попали в один файл (Росреестр не поддерживает возможность указать несколько файлов с подписями, которые относятся к одному документу), в каментах к прошлому посту рекомендовали использовать бесплатную утилиту Криптолайн фирмы Такском. Действительно, утилита — огонь, хоть интерфейс и чудаковат.

На последнем (пятом) шаге, вам предстоит повторно проверить состав поданного заявления, подписать его и отправить. Перед отправкой вас спросят о желании составить второе заявление в этом же пакете документов. Если вы регистрируете сделку (переход прав), а не просто регистрацию прав, то это необходимо сделать. Причем первое заявление должно подаваться текущими собственниками помещения, а второе — от имени тех, кому право переходит. В оба заявления нужно прицепить договор, подписанный всеми сторонами сделки.

В казалось бы безвыходной ситуации нашелся выход. Всё потому что гики — это не образ жизни, а стремление к неизведанному. Прошлый мой опыт, сотканный из просто желания попробовать неизведанное, обернулся реальной пользой.

COVID-19 и РосРеестр

Альтернативой этому стали нотариусы, которые могут в электронном виде отправлять документы на регистрацию сделки в Росреестр, но они берут очень дорого за нотариальное удостоверение сделки. Другая альтернатива — ДомКлик от Сбербанка: если покупатель покупает в ипотеку, то ДомКлик позволяет зарегистрировать всё электронно (даже с небольшой выгодой по процентной ставке).

Покупатель нашелся по ипотеке, и дружно решили оформляться через ДомКлик. Но не тут-то было. Недвижимость оказалась старой, и регистрация прав была осуществлена в 1995 году. Если вы регистрировали свои права до 31.01.1998, то нужно:

Однако ДомКлик такие заявления подавать не умеет. Нотариусы тоже за это не берутся по неизвестным мне причинам, которые я не выяснял. Сделка оказалась под угрозой, так как МФЦ предложил запись аж на 23 сентября.

И тут выхожу я весь в белом и говорю: «А давайте сделаем это в электронном виде сами?»