ЛР8 Удостоверяющий центр КриптоПро УЦ

Методические указания к лабораторной работе по дисциплине «Информационная безопасность в системах обработки информации и управления»

Лабораторная работа №8.
Назначение и основные возможности комплекса Удостоверяющий центр "КриптоПро УЦ".

1. Цель работы.

Ознакомиться с назначением и основными возможностями комплекса Удостоверяющий центр "КриптоПро УЦ".

2. Порядок выполнения работы.

2.1. Изучить теоретическую часть.

2.2. Последовательно выполнить все задания к лабораторной работе.

2.3. Проверить правильность выполнения заданий.

2.4. Оформить отчет по лабораторной работе.

3. Задания к лабораторной работе

3.1. Ознакомиться с назначением и основными возможностями комплекса Удостоверяющий центр "КриптоПро УЦ" на сайте компании «КРИПТО-ПРО». www.cryptopro.ru.

4. Содержание отчета

4.1. Название и цель работы.

4.2. Задание.

4.3. Краткое описание назначения и основных возможностей комплекса Удостоверяющий центр "КриптоПро УЦ".

5. Теоретическая часть

Назначение и основные возможности комплекса Удостоверяющий центр "КриптоПро УЦ".

Полное наименование изделия: программно-аппаратный комплекс «Удостоверяющий центр «КриптоПро УЦ» версии 1.5.

Сокращенное наименование изделия: ПАК «КриптоПро УЦ».

ПАК «КриптоПро УЦ» предназначен для выполнения следующих функций:

• регистрация пользователей Удостоверяющего центра;

• создание закрытых ключей электронных цифровых подписей (электронных подписей);

• изготовление сертификатов открытых ключей;

• приостановление действия, возобновление действия, аннулирование сертификатов открытых ключей;

• ведение реестра сертификатов открытых ключей, обеспечение его актуальности и возможности доступа к нему участников информационной системы;

• выдача сертификатов ключей подписей в форме документов на бумажных носителях.

ПАК «КриптоПро УЦ» обеспечивает:

• информационную безопасность по уровню защиты КС2 (вариант исполнения 1 и 4) при использовании в соответствии с требованиями эксплуатационной документации;

• информационную безопасность по уровню защиты КС3 (варианты исполнения 2 и 3) при использовании в соответствии с требованиями эксплуатационной документации;

• применение совместно с программными компонентами ПАК «КриптоПро УЦ» СКЗИ «КриптоПро CSP» версии 3.6 (изделие ЖТЯИ.00050-02) – для варианта исполнения 1 и 4 и СКЗИ «КриптоПро CSP» версии 3.6.1 (изделие ЖТЯИ.00050-03) – для вариантов исполнения 2 и 3;

• применение программно-аппаратного криптографического модуля (ПАКМ) «Атликс HSM» (изделие ЖТЯИ.00020-01) совместно с программным компонентом «КриптоПро УЦ. Центр сертификации»;

• выполнение функций создания и проверки электронной цифровой подписи (ЭЦП) в соответствии с ГОСТ Р 34.10-2001 и ГОСТ Р 34.11-94, выполнение функций шифрования и имитозащиты в соответствии с ГОСТ 28147-89 с использованием СКЗИ «КриптоПро CSP» версии 3.6, СКЗИ «КриптоПро CSP» версии 3.6.1. и ПАКМ «Атликс HSM»;

• формирование электронных сертификатов открытых ключей пользователей в соответствии с рекомендациями x.509v3 согласно RFC 3280 и RFC 5280 с учётом RFC 4491, позволяющими с помощью криптографических методов (применение ЭЦП) централизованно заверять соответствие открытого ключа атрибутам определенного пользователя;

• аутентификацию программных компонент ПАК «КриптоПро УЦ» и пользователя при обмене информацией между ними с использованием модуля поддержки сетевой аутентификации "КриптоПро TLS", входящего в состав СКЗИ «КриптоПро CSP» версии 3.6 и 3.6.1.

Сертификаты соответствия ФСБ России на ПАК «КриптоПро УЦ»

ПАК «Удостоверяющий Центр «КриптоПро УЦ» обеспечивает:

Ведение реестра сертификатов открытых ключей, изданных Удостоверяющим центром в электронном виде:

• Формирование сертификатов открытых ключей пользователей в электронном виде в соответствии с рекомендациями Х.509 версии 3 согласно RFC 3280 и RFC 5280 с учётом RFC 4491, позволяющих с помощью криптографических методов централизованно заверять соответствие открытого ключа и атрибутов определенному пользователю;

• Контроль уникальности открытых ключей подписи и шифрования в формируемых сертификатах;

• Вывод сертификатов открытых ключей пользователей на бумажный носитель на рабочем месте пользователя;

• Вывод сертификатов открытых ключей пользователей на бумажный носитель на АРМ Администратора Удостоверяющего центра;

• Реализацию механизма занесения в сертификат открытого ключа подписи сведений об отношениях, при осуществлении которых электронный документ имеет юридическое значение.

Ведение реестра зарегистрированных пользователей:

• Выполнение процедуры регистрации пользователя в централизованном режиме с прибытием регистрируемого пользователя в Удостоверяющий центр;

• Выполнение процедуры регистрации пользователя в распределенном режиме без прибытия регистрируемого пользователя в Удостоверяющий Центр.

Генерацию ключей подписи и шифрования:

• Выполнение процедуры генерации личных закрытых и открытых ключей подписи и шифрования пользователя на рабочем месте пользователя;

• Выполнение процедуры генерации личных закрытых и открытых ключей подписи и шифрования на АРМ Администратора Удостоверяющего центра;

• Выполнение процедуры генерации личных закрытых и открытых ключей подписи уполномоченного лица Удостоверяющего центра;

• Выполнение процедуры генерации личных закрытых и открытых ключей подписи уполномоченного лица подчиненного Удостоверяющего Центра.

Ведение реестра запросов и заявлений на сертификаты открытых ключей в электронном виде:

• Формирование запроса на сертификат открытого ключа на рабочем месте пользователя;

• Формирование запроса на сертификат открытого ключа на АРМ Администратора Удостоверяющего центра;

• Вывод запросов на сертификаты открытых ключей пользователей на бумажный носитель на рабочем месте пользователя;

• Вывод запросов на сертификаты открытых ключей пользователей на бумажный носитель на рабочем месте пользователя.

Ведение реестра запросов и заявлений на аннулирование (отзыв) и приостановление/возобновления действия сертификатов открытых ключей в электронном виде:

• Выполнение процедуры формирования запросов на отзыв сертификатов открытых ключей на рабочем месте пользователя;

• Выполнение процедуры формирования запросов на отзыв сертификатов открытых ключей пользователей на АРМ Администратора Удостоверяющего центра;

• Выполнение процедуры формирования запросов от пользователей на приостановление/возобновление действия сертификатов открытых ключей на рабочем месте пользователя;

• Выполнение процедуры формирования запросов на приостановление/возобновление действия сертификатов открытых ключей пользователей на АРМ Администратора Удостоверяющего центра;

• Периодическая публикация списков отозванных сертификатов.

Выполнение процедуры подтверждения подлинности электронной цифровой подписи (электронной подписи):

• Выполнение процедуры подтверждения подлинности электронной цифровой подписи (электронной подписи) в электронных документах;

• Выполнение процедуры подтверждения подлинности электронной цифровой подписи (электронной подписи) уполномоченного лица Удостоверяющего центра в изданных сертификатах открытых ключей.

Реализацию системы оповещения пользователей с использованием почтовых сообщений:

• Управление оповещением пользователей о событиях в процессе регистрации и изготовления сертификата;

• Управление оповещением пользователей о событиях в течении всего жизненного цикла сертификатов открытых ключей.

Реализацию Инфраструктуры Удостоверяющих центров, построенных по иерархической модели (масштабируемость Удостоверяющих центров по вертикали);

Реализацию Инфраструктуры Удостоверяющих центров, построенных по сетевой модели (масштабируемость Удостоверяющих центров по горизонтали);

Реализацию односторонней и двусторонней кросс-сертификации Удостоверяющих центров;

Реализацию Удостоверяющего центра с несколькими Центрами регистрации и несколькими АРМ администратора Удостоверяющего центра (масштабируемость Удостоверяющего центра по горизонтали);

Реализацию многоролевой модели управлениями объектами «КриптоПро УЦ»;

Аудит событий, связанных с эксплуатацией «КриптоПро УЦ».

1. Структурная схема и базовый состав компонент

В базовый состав компонент ПАК "КриптоПро УЦ" входят:

• Центр Сертификации "КриптоПро УЦ";

• Центр Регистрации "КриптоПро УЦ"

• АРМ пользователя: регистрации пользователя, зарегистрированного пользователя с ключевым доступом, зарегистрированного пользователя с маркерным доступом (в составе Центра Регистрации);

• АРМ администратора Центра Регистрации;

• АРМ разбора конфликтных ситуаций.

Структурная схема компонент

 

Все компоненты ПАК "КриптоПро УЦ" 1.5 взаимодействуют друг с другом с использованием защищенного транспортного протокола Transport Layer Security (TLS) с двухсторонней аутентификацией.

Центр сертификации - серверный компонент, осуществляющий изготовление сертификатов ключей подписей пользователей, а также изготовление списка отозванных сертификатов. Действия по изготовлению сертификатов ключей подписей он осуществляет по запросам от Центра Регистрации. Действия по изготовлению списка отозванных сертификатов Центр Сертификации осуществляет по установленному расписанию или по запросам от Центра Регистрации. Соответственно, Центр Сертификации взаимодействует с Центром Регистрации (Центрами Регистрации). Инициатором взаимодействия всегда выступает Центр Регистрации.

Центр Регистрации – серверный компонент, который осуществляет ведение баз данных учетных записей пользователей, изготовленных сертификатов ключей подписей, запросов на сертификаты и т.д. Центр Регистрации предоставляет интерфейс доступа к методам и объектам Удостоверяющего Центра. Центр Регистрации принимает разного рода запросы с Автоматизированных рабочих мест администраторов Центра Регистрации (посредством реализации Интерфейса Внешних Приложений) и от пользователей Удостоверяющего Центра (посредством реализации веб-интерфейса Центра Регистрации), обеспечивает их обработку и хранение, в случае соответствия запросов установленным политикам обработки - пересылает их на Центр Сертификации. Центров Регистрации для одного Центра Сертификации может быть несколько.

Автоматизированное рабочее место (АРМ) администратора Центра Регистрации – компонент, который предназначен для выполнения операций, связанных с регистрацией пользователей, формированием закрытых ключей и запросов на сертификаты открытых ключей, обработкой запросов на сертификаты открытых ключей, получением изданных Центром Сертификации сертификатов, управлением (аннулированием, приостановлением и возобновлением действия) сертификатов и выполнением иных действий по выполнению целевых функций Удостоверяющего Центра. АРМов администраторов для одного Центра Регистрации может быть несколько.

АРМ разбора конфликтных ситуаций - компонент, обеспечивающий выполнение процедур по подтверждению подлинности электронной цифровой подписи (электронной подписи) в электронных документах и установлению статуса сертификата открытого ключа на определенный момент времени. Итогом работы АРМ разбора конфликтных ситуаций является протокол, содержащий результаты выполненных проверок.

АРМ пользователя Удостоверяющего центра – веб-приложение (набор веб-страниц), размещенное на Центре Регистрации и предназначенное для регистрации пользователей, формирования ключей и запросов на сертификаты открытых ключей, получения изданных сертификатов и их управления непосредственно с рабочего места пользователя Удостоверяющего центра.

2. Операционная платформа компонент для ПАК "КриптоПро УЦ" 1.5

 Для ПАК «КриптоПро УЦ»1.5 вариантов исполнения 1 и 4 (уровень защиты – КС2):

• Центр Сертификации «КриптоПро УЦ»: Windows Server 2003 (x86), Windows Server 2008 (x86);

• Центр Регистрации «КриптоПро УЦ»: Windows Server 2003 (x86), Windows Server 2008 (x86 или x64), Windows Server 2008 R2;

• АРМ администратора Центра Регистрации: Windows 2000 Professional, Windows 2000 Server, Windows XP (x86 или x64), Windows Server 2003 (x86 или x64), Windows Server 2008 (x86 или x64), Windows Server 2008 R2, Windows 7 (x86 или x64);

• АРМ разбора конфликтных ситуаций: Windows 2000 Professional, Windows 2000 Server, Windows XP (x86 или x64), Windows Server 2003 (x86 или x64), Windows Server 2008 (x86 или x64), Windows Server 2008 R2, Windows 7 (x86 или x64);

• АРМ пользователя (регистрации пользователя, зарегистрированного пользователя с ключевым доступом, зарегистрированного пользователя с маркерным доступом): Windows 9x/ME/NT4/2000/XP/2003/2008/2008R2/7.

Для ПАК «КриптоПро УЦ» 1.5 вариантов исполнения 2 и 3 (уровень защиты – КС3):

• Центр Сертификации «КриптоПро УЦ»: Windows Server 2003 (x86);

• Центр Регистрации «КриптоПро УЦ»: Windows Server 2003 (x86);

• АРМ администратора Центра Регистрации: Windows XP (x86), Windows Server 2003 (x86);

• АРМ разбора конфликтных ситуаций: Windows XP (x86), Windows Server 2003 (x86);

• АРМ пользователя (регистрации пользователя, зарегистрированного пользователя с ключевым доступом, зарегистрированного пользователя с маркерным доступом): Windows 9x/ME/NT4/2000/XP/2003/2008/2008R2/7.

3. Поддерживаемые на компонентах УЦ средства криптографической защиты информации

Для ПАК «КриптоПро УЦ»1.5 вариантов исполнения 1 и 4 (уровень защиты – КС2):

• Центр Сертификации «КриптоПро УЦ»: КриптоПро CSP 3.6 (ЖТЯИ.00050-02) варианта исполнения 2 (класс защиты КС2), для варианта исполнения 4 для хранения и использования закрытого ключа уполномоченного лица Удостоверяющего Центра - ПАКМ «Атликс HSM» (класс защиты KB2);

• Центр Регистрации «КриптоПро УЦ»: КриптоПро CSP 3.6 (ЖТЯИ.00050-02) варианта исполнения 2 (класс защиты КС2);

• АРМ администратора Центра Регистрации: КриптоПро CSP 3.6 (ЖТЯИ.00050-02) варианта исполнения 2 (класс защиты КС2);

• АРМ разбора конфликтных ситуаций: КриптоПро CSP 3.6 (ЖТЯИ.00050-02) варианта исполнения 2 (класс защиты КС2);

• АРМ пользователя (регистрации пользователя, зарегистрированного пользователя с ключевым доступом, зарегистрированного пользователя с маркерным доступом): сертифицированные ФСБ России версии КриптоПро CSP 2.0, 3.0 и 3.6.

Для ПАК «КриптоПро УЦ»1.5 вариантов исполнения 2 и 3 (уровень защиты – КС3):

• Центр Сертификации «КриптоПро УЦ»: КриптоПро CSP 3.6.1 (ЖТЯИ.00050-03) варианта исполнения 3 (класс защиты КС3) – эксплуатируется совместно с пакетом Secure Pack Rus 2.0; для варианта исполнения 3 для хранения и использования закрытого ключа уполномоченного лица Удостоверяющего Центра - ПАКМ «Атликс HSM» (класс защиты KB2);

• Центр Регистрации «КриптоПро УЦ»: КриптоПро CSP 3.6.1 (ЖТЯИ.00050-03) варианта исполнения 3 (класс защиты КС3) - эксплуатируется совместно с пакетом Secure Pack Rus 2.0;

• АРМ администратора Центра Регистрации: КриптоПро CSP 3.6.1 (ЖТЯИ.00050-03) варианта исполнения 3 (класс защиты КС3) - эксплуатируется совместно с пакетом Secure Pack Rus 2.0;

• АРМ разбора конфликтных ситуаций: КриптоПро CSP 3.6 (ЖТЯИ.00050-03) варианта исполнения 3 (класс защиты КС3) - эксплуатируется совместно с пакетом Secure Pack Rus 2.0;

• АРМ пользователя (регистрации пользователя, зарегистрированного пользователя с ключевым доступом, зарегистрированного пользователя с маркерным доступом): сертифицированные ФСБ России версии КриптоПро CSP 2.0, 3.0 и 3.6.

4. Дополнительные программные комплексы (ПК), входящие в состав ПАК "КриптоПро УЦ" 1.5

В состав ПАК "КриптоПро УЦ" 1.5 входят следующие дополнительные программные комплексы:

• Программный комплекс "Аналитическая отчетность"

• Программный комплекс "Регламентные задания"

• Утилита автономного формирования и использования ключей пользователя УЦ.

ПК "Аналитическая отчетность"