В РАБОТЕ

Использование ключей на Рутокене

rtengine позволяет использовать ключи, расположенные на токене. В зависимости от операции будет выбран открытый или закрытый ключ соответственно.

Оба ключа пары должны иметь одинаковый идентификатор объекта и/или имя объекта. Ключевая пара идентифицируется с помощью pkcs11 uri.

Возможные компоненты идентификатора пути:

Пример идентификатора ключевой пары на токене:

Если подключен только один Рутокен с единственной ключевой парой, для идентификации можно использовать только модель:

Генерация ключевой пары в файл

Формат команды:

Описание параметров:

Генерация ключевой пары ГОСТ в файл

Пример:

Значения параметров:

Генерация ключевой пары ECDSA в файл

Пример: 

Значения параметров:

Генерация ключевой пары RSA в файл

Пример:

Значения параметров:

Генерация ключевой пары на Рутокене

Генерация ключевой пары ГОСТ

Через OpenSSL генерация ключевой пары ГОСТ на Рутокене пока не поддерживается. Используйте для этого pkcs11-tool из состава OpenSC.

Формат команды:

Описание параметров:

ГОСТ-2001

Пример:

Значения параметров:

ГОСТ-2012

Пример:

Значения параметров:

или

используйте веб-сервис "Центр регистрации Рутокен"

Для чего?

Генерация ключевой пары ECDSA

Пример:

pkcs11-tool --module /путь/к/librtpkcs11ecp.so --login --pin 12345678 --keypairgen --key-type EC:secp256r1 --id 3132 --usage-derive

Значения параметров:

Генерация ключевой пары RSA

Пример:

pkcs11-tool --module /путь/к/librtpkcs11ecp.so --login --pin 12345678 --keypairgen --key-type RSA:2048 --id 3132 

Значения параметров:

Просмотр объектов на токене

Посмотреть записанные на токен объекты можно с помощью команды:

Формирование запроса PKCS#10 

Сформировать запрос можно:

• с помощью ключа в файле:
  

  openssl req -utf8 -new -key privatekey.pem -out req.csr

• с помощью ключа на Рутокене:
  

  openssl req -utf8 -new -keyform engine -key "pkcs11:your_pkcs11_uri" -engine rtengine -out req.csr

  Формат параметра -key описан в разделе "Использование ключей на Рутокене"

В процессе работы команда попросит ввести PIN-код. После этого потребуется указать данные для сертификата. 

Набор вводимой информации при формировании запроса определяется конфигурационным файлом openssl.cnf. По умолчанию нужно указать следующую информацию:

• State or Province []: Moscow

• Locality []:  RU

• Organization Name []: Aktiv Company

• Organizational Unit Name []: development

• Common Name []: tester

• Email []: tester@rutoken.ru

Есть ли у этих полей обязательные значения (= можно ли вместо Moscow/RU/Aktiv Company указать условно Aaaaa/AU/Some Company)? Или стоит здесь рассказать про CA и флаг match в конфиге?

https://docs.openssl.org/1.0.2/man1/ca/#policy-format

Выпуск самоподписанного сертификата по запросу

Самоподписанный сертификат можно выпустить:

• с помощью ключа в файле:
  

  openssl req -utf8 -x509 -key /путь/к/файлу/privatekey.pem -out cert.cer

• с помощью ключа на Рутокене:
  

  openssl req -utf8 -x509 -keyform engine -key "pkcs11:your_pkcs11_uri" -engine rtengine -out cert.cer -subj "/C=RU/ST=Moscow/L=Moscow/O=Aktiv/OU=devNN/CN=testuser/emailAddress=testuser@mail.com"

Параметры сертификата:

Работа с подписью в формате CMS

Создание подписи

Для создания CMS подписи необходимо иметь сертификат. В тестовых целях в папке sdk\openssl\samples\tool\ предоставлены настройки удостоверяющего центра OpenSSL, который позволяет выпускать сертификаты. 

Для того, чтобы создать CMS-подпись с помощью предоставленного УЦ:

1. Скопируйте папку sdk\openssl\samples\tool\demoCA и конфигурационный файл openssl.cnf в папку с OpenSSL.
2. Выполните команду:
   openssl ca -batch -in req.csr -out cert.cer
3. Создайте CMS подпись: 
   
   • с помощью ключа в файле:
     openssl cms -sign -binary -nosmimecap -in data_to_sign -out signed_cms -outform PEM -inkey seckey.pem -signer cert.cer
   • с помощью ключа на Рутокене:
openssl cms -sign -binary -nosmimecap -in data_to_sign -out signed_cms -outform PEM -keyform engine -inkey "pkcs11:your_pkcs11_uri" -engine rtengine -signer cert.cer



 Используя -nodetach подписываемые данные включаются в состав CMS пакета — присоединенная подпись. Без этой опции подпись будет «отсоединенной».

 Используя -nocerts сертификат подписанта не включается в состав CMS пакета.

Проверка подписи

 openssl cms -verify -binary -in signed_cms -inform PEM -out verified_data -CAfile demoCA/cacert.pem -content data_to_sign

Файл, указанный в -CAfile, является доверенным сертификатом удостоверяющего центра и используется для проверки сертификата подписанта.

В опцию -content передается файл с подписанными данными, если он не был включен в состав CMS пакета.

Если сертификат подписанта не был включен в CMS пакет (отсоединенная подпись), он указывается в опции -certfile.

Шифрование в формате CMS

Зашифрование

  openssl cms -encrypt -binary -<alg> -in test_data -out encrypted_cms -outform PEM respondent.cer

respondent.cer: сертификат адресата, для которого шифруется сообщение.
Где alg может принимать значения:


Для ГОСТ:

gost28147-paramset_a-cfb (для rtengine 0.7): алгоритм, работает в режиме гаммирования с обратной связью с набором параметров А.

gost28147-cfb (для rtengine новее 0.7): алгоритм, работает в режиме гаммирования с обратной связью с набором параметров Z.

Для RSA и ECDSA ключей:
-aes128 — AES-128.
-aes192 — AES-192.
-aes256 — AES-256.
-des — DES.
-des3 — Triple DES (3DES).

Расшифрование на стороне адресата

Расшифровать данные можно:

• с помощью ключа в файле:
  

  openssl cms -decrypt -binary -in encrypted_cms -inform PEM -recip respondent.cer -inkey privatekey.pem -out decrypted_cms_data

• с помощью ключа на Рутокене:
  

  openssl cms -decrypt -binary -in encrypted_cms -inform PEM -recip respondent.cer -keyform engine -inkey "pkcs11:your_pkcs11_uri" -engine rtengine -out decrypted_cms_data

Работа с «сырыми» подписями

Подпись данных 

Подписать данные «сырой» подписью можно:

• с помощью ключа в файле:
  

  openssl dgst -sign privatekey.pem -out file_to_sign.signature file_to_sign.txt

• с помощью ключа на Рутокене:
  

  openssl dgst -keyform engine -sign "pkcs11:your_pkcs11_uri" -engine rtengine -out file_to_sign.signature file_to_sign.txt

  
  Алгоритм хеша будет зависеть от алгоритма ключа.

Проверка «сырой» подписи

1. Получите открытый ключ из закрытого:
   

   openssl pkey -in privatekey.pem -pubout -out publickey.pem

2. Проверьте подпись:
   • с помощью ключа в файле:
     

     openssl dgst -verify publickey.pem -signature signed_file.signature signed_file.txt

   • с помощью ключа на Рутокене:
     

     openssl dgst -keyform engine -verify "pkcs11:your_pkcs11_uri" -engine rtengine -signature signed_file.signature signed_file.txt

Запуск SSL/TLS сервера

Формат команды:

Описание параметров:

Примеры команд:

openssl s_server -key demoCA/private/cakey.pem -cert demoCA/cacert.pem -Verify 7 -CAfile demoCA/cacert.pem -accept 44330 -WWW -purpose any -4

openssl s_server -key "pkcs11:server_key_pkcs11_uri" -keyform engine -engine rtengine -cert demoCA/cacert.pem -Verify 7 -CAfile demoCA/cacert.pem -accept 44330 -WWW -purpose any -4

Запуск SSL/TLS клиента

Формат команды:

Описание параметров:

Примеры команд:

openssl s_client -key privatekey.pem -cert cert.cer -host 127.0.0.1 -port 44330

openssl s_client -key "pkcs11:client_key_pkcs11_uri" -keyform engine -engine rtengine -cert cert.cer -host 127.0.0.1 -port 44330