• Электронная подпись в доверенной среде на базe загрузочной Ubuntu 14.04 LTS и Рутокен ЭЦП Flash

      Процедура наложения электронной подписи, призванная обеспечить подтверждение целостности подписанного документа и его авторства, сама по себе может быть небезопасной.
      Основные атаки на ЭП — это кража ключа и подмена подписываемой информации, а также несанкционированный доступ к средству ЭП (например, USB-токену) посредством кражи его PIN-кода.

      Реализуются данные атаки различными способами и на различных уровнях. На уровне ОС это внедрение вредоносного ПО (вирусы, программы-шпионы, руткиты и т.п.), которое способно похищать ключи, PIN-коды и делать подмену документов посредством чтения и/или подмены данных в памяти системного процесса, используя различные механизмы «хака», заложенные в ОС.
      Если мы говорим о подписи в браузере, то к данным атакам добавляется возможность проведения атаки man-in-the-middle, направленной на модификацию подписываемых данных на web-странице или на кражу PIN-кода или на перехват secure token для возможности злоумышленнику прикинуться абонентом системы. Кроме того, на сайтах возможна атака типа CSS, обусловленная безалаберностью разработчиков сайта.

      Очевидно, что максимально защитить клиента при проведении процедуры ЭП возможно лишь комплексом мер.
      К данным мерам можно отнести:
      • применение для электронной подписи криптографических смарт-карт/USB-токенов с неизвлекаемыми ключами
      • использование правильной реализации протокола TLS на сайте
      • правильное конфигурирование этой правильной реализации протокола TLS
      • использование специальных аппаратных средств для визуализации подписываемых данных перед наложением подписи (trustscreen)
      • корректная реализация браузерных плагинов и расширений, которые обеспечивают ЭП в браузере
      • регламентирование процедуры подписи для пользователя с учетом встроенных в браузер механизмов безопасности
        • проверка сертификата TLS-сервера пользователем перед ЭП
        • запуск браузерных плагинов и расширений только на доверенном сайте (сейчас правильно настроенные браузеры предупреждают пользователя о запуске)
        • ввод PIN-кода токена по запросу только доверенного сайта
        • реагирование на предупреждение браузера о получении «смешанного» контента — часть по HTTPS, часть по HTTP
      • защита ОС от вредоносного ПО (создание доверенной среды)

      Некоторое время назад наша компания выпустила новый Рутокен ЭЦП Flash. Это устройство «два в одном» — криптографический токен и управляемая FLASH-память в едином корпусе. При этом контроллер позволяет настраивать FLASH-память таким образом, что атрибуты настройки нельзя изменить без знания PIN-кода к устройству.

      В данной статье мы сделаем кастомную Ubuntu 14.04 LTS, в которую «упакуем» смарткарточные драйвера и Рутокен Плагин. Эту ОС запишем на FLASH-память Рутокен ЭЦП Flash (USB-live) и специальными средствами сделаем ее read-only, так, что без знания PIN-кода злоумышленник не сможет снять этот атрибут.

      Таким образом, получим загрузочное устройство, при загрузке с которого пользователь сразу получит возможность подписи документов в браузере на неизвлекаемых ключах в доверенной среде, целостность которой гарантируется управляющим контроллером USB-токена.
      Читать дальше →
    • Конструируем локальный криптографический TLS-прокси c HTTP API электронной подписи



        Электронные торги, госуслуги, системы корпоративного электронного документооборота, дистанционного банковского обслуживания и другие подобные системы находятся в сфере интересов регуляторов и вынуждены использовать российские криптосредства для обеспечения конфиденциальности и юридической значимости.

        Основным средством взаимодействия пользователя и информационной системы медленно, но верно становится браузер.
        Если внимательно рассмотреть вопрос интеграции популярных браузеров и российских криптосредств, то вырисовываются следующие проблемы:
        • Браузеры используют совершенно различные криптографические библиотеки (MS Crypto API, NSS, openssl). Универсального криптосредства, которое «добавляет» ГОСТы во все эти библиотеки нет
        • Механизмы встраивания многих криптосредств в операционную систему и в браузер «завязаны» на версию ОС. С выходом обновления ОС работоспособность криптосредства может кончиться
        • Google Chrome отказывается от поддержки плагинов, работающих через NPAPI. А многие российские вендоры криптосредств разработали плагины, используя именно данный механизм
        • На мобильных платформах браузеры не поддерживают плагины


        В данной ситуации наиболее универсальным решением представляется вынести реализацию TLS-ГОСТ и функций ЭЦП в отдельное сетевое приложение, которое принимает запросы от браузера на localhost, позволяет «туннелировать» соединения между браузером и удаленными web-серверами (real proxy), а также предоставляет HTTP API для функционала ЭЦП, работы с сертификатами, токенами и т.п.
        Не скажу, что идея является новой, но давайте попробуем сделать некоторый конструктор для ее реализации.

        Деталями конструктора будут:


        Любители модульных архитектурных экпериментальных решений приглашаются под кат.

        Читать дальше →
      • Библиотека для встраивания электронной подписи в приложения С++

        • Tutorial


        Наша компания продолжает развивать линейку библиотек, которые позволяют встраивать электронную подпись с использованием российских криптоалгоритмов в информационные системы различного типа.

        Некоторое время назад мы поддержали Рутокен ЭЦП в openssl, затем выпустили кроссплатформенный плагин для браузера, а теперь сделали высокоуровневую криптобиблиотеку для встраивания в С++ приложения.

        Концептуально данные решения выполнены идентично: используется аппаратная реализация российских криптоалгоритмов на чипе Рутокен ЭЦП, обеспечивается поддержка цифровых сертификатов X.509, запросов на сертификаты PKCS#10, подписанных и зашифрованных сообщений CMS.

        Новая библиотека пригодится тем, кто пишет «толстые клиенты», десктопные приложения, свои браузерные плагины и т.п.

        Поддерживаемые устройства:
        • USB-токен Рутокен ЭЦП
        • Смарт-карта Рутокен ЭЦП
        • Bluetooth-токен Рутокен ЭЦП
        • Trustscreen-устройство Рутокен PINPad
        • USB-токен Рутокен WEB (HID)


        Основные сценарии применения библиотеки с примерами кода под катом.
        Читать дальше →
      • Встраивание электронной подписи в системы с WEB-интерфейсом с помощью браузерного плагина и openssl

        • Tutorial


        Несколько лет назад нашей компанией был выпущен продукт Рутокен Плагин, который предназначен для встраивания электронной подписи в системы с web-интерфейсом. Основываясь на полученном опыте интеграции продукта в реальные проекты мне хочется отметить, что нередко разработчики для реализации серверной части предпочитают использовать поддерживающий российские криптоалгоритмы openssl.

        В данной статье будет расписана типичная схема подобной интеграции, основанная на следующих сценариях использования плагина:

        • Регистрация на портале (с выдачей сертификата или по имеющемуся сертификату)
        • Строгая аутентификация на портале
        • Электронная подпись данных и/или файлов в формате CMS
        • Шифрование данных и/или файлов в формате CMS


        Данные сценарии предполагают клиент-серверное взаимодействие, написание клиентских скриптов на JavaScript и соответствующих им серверных вызовов openssl.

        Подробности под катом.
        Читать дальше →
        • +16
        • 17,6k
        • 4
      • Криптографические решения. От облачной подписи к доверенной среде

          Данная статья является продолжением статьи «Криптографические решения. От криптопровайдеров до браузерных плагинов» и охватывает криптографические решения:

          • облачная подпись
          • отдельные браузеры с российской криптографией
          • отдельные почтовые клиенты с российской криптографией
          • российская криптография в фреймворках, платформах, интерпретаторах
          • настольные криптографические приложения
          • средства формирования доверенной среды

          Читать дальше →
          • +11
          • 15,4k
          • 9
        • YotaPhone 2: инновации и безопасность

            2 декабря в МСИ «Гараж» в Парке Горького состоялась презентация YotaPhone 2. Компания «Актив», в которой я работаю, является технологическим партнером YotaDevices, поэтому мне удалось приобщиться к новому смартфону еще до презентации. Как приверженец платформы iOS я весьма прохладно отнесся к появлению этого девайса, но все же приписываемая ему инновационность вызывала любопытство.


            Подробности под катом
            Читать дальше →
          • Криптографические решения. От криптопровайдеров до браузерных плагинов

              Производители средств криптографической защиты информации (СКЗИ) предлагают различные механизмы для интеграции криптосредств в информационные системы. Существуют решения, ориентированные на поддержку систем с Web-интерфейсом, мобильных и десктопных приложений, серверных компонентов. СКЗИ интегрируются в приложения Microsoft и в продукты Open Source, обеспечивают поддержку различных прикладных протоколов и форматов электронной подписи.

              С учетом растущего количества проектов с применением ЭЦП и появления массовых проектов для физических лиц, разработчикам подобных проектов требуется хорошо ориентироваться в предлагаемых производителями решениях по ЭЦП для того, чтобы сделать систему удобной в эксплуатации и недорогой в плане техподдержки. Таким образом, если еще лет 5 назад главным фактором выбора криптосредства являлось его полное соответствие требованиям регуляторов, то при сегодняшнем разнообразии важными критериями могут выступать охват поддерживаемых платформ, возможность интеграции с браузером, поддержка мобильных пользователей, возможность установки без прав системного администратора и т.п.

              В данном материале сделана попытка классифицировать средства криптографической защиты информации.
              • Рассмотрены в основном СКЗИ, использующиеся на клиентских местах для защиты клиент-серверных соединений по протоколу TLS, для организации ЭЦП, шифрования передаваемых данных;
              • Не рассматриваются СКЗИ, применяемые для создания VPN и шифрования файловой системы, хранимых данных, а так же УЦ;
              • Отдельно выделены аппаратные криптографические устройства.

              Классификация построена на основе:
              • технологий интеграции (CryptoAPI, Active-X, NPAPI и др.), которые поддерживают СКЗИ для встраивания в приложения и прикладные системы;
              • интерфейсов, которые предоставляют СКЗИ для встраивания в приложения и прикладные системы.

              Кроме того, показаны способы интеграции СКЗИ с Web-приложениями и возможность его использования на мобильных платформах

              Общая схема классификации приведена в таблице:
              Криптопровайдеры Нативные библиотеки (openssl-style, PKCS#11, NSS, собственные интерфейсы) Локальные прокси Браузерные плагины Облачная подпись Браузеры с российской криптографией
              Почтовые клиенты с российской криптографией Российская криптография в фреймворках, платформах, интерпретаторах Настольные криптографические приложения Криптография в BIOS UEFI Сервис-провайдеры ЭЦП Эмуляторы доверенной среды
              Аппаратные средства

              В первой статье рассмотрим решения, начиная с криптопровайдеров по браузерные плагины включительно. В последующих статьях будут рассмотрены остальные средства.

              Читать дальше →
            • YotaPhone, Android и немного криптографии

                Привет, Хабр!

                По акции YotaDevices к нам в компанию попал тот самый Йо́тафон для опытов.
                Обзоров по дизайну/производительности/качеству камеры/зачем_вообще_это_сделали было достаточно много, да и мы, собственно, не задавались целью написать очередной.
                Интересно было другое — показать возможность интеграции современного смартфона на базе Android с современными средствами криптографической защиты информации.



                Подробности под катом
                Читать дальше →
              • Авторизация на портале Госуслуг с помощью Рутокен ЭЦП

                  Одному из сотрудников нашей компании понадобилось зарегистрироваться на портале Госуслуг. Как известно, на портале сейчас есть возможность входить в личный кабинет по логину/паролю, либо по электронной подписи. Вариант с логином/паролем был отброшен в силу профессиональной паранойи, и поехал сотрудник в УЦ Ростелекома — оператора системы — получать сертификат. В УЦ ему в качестве носителя электронной подписи/аппаратного СКЗИ не предложили Рутокен ЭЦП. В силу корпоративного патриотизма сотрудник решил не форсировать события, а попробовать-таки зайти на Госуслуги, используя для электронной подписи Рутокен ЭЦП.
                  Что из этого получилось, описано под катом.



                  Читать дальше →
                • Щит и меч в системах ДБО – 2, или как бороться с MITM-атаками и несанкционированным удаленным доступом

                    В январе 2013 мы уже писали про универсальное решение для систем ДБО. За прошедший год был совершен ряд переработок, направленных на совершенствование защиты от хищений и увеличение юзабилити.

                    Заняться этим нас подвигло резкое увеличение числа атак на системы ДБО, связанных с использованием удаленного доступа к компьютерам пользователей. К сожалению, при таком виде атаки, обычная двухфакторная аутентификация никак не способна защитить финансовые активы компании. Очевидной мерой противодействия является необходимость создания доверенной среды с невозможностью применения средств удаленного управления.

                    Итак, напомним, что такое Рутокен PINPad. Это решение класса TrustScreen, способное формировать доверенную среду и визуализировать подписываемый документ перед наложением электронной подписи. Подпись происходит непосредственно на самом устройстве после физического нажатия пользователем соответствующей кнопки на экране. Таким образом, мы защищаемся от атак, совершаемых при помощи средств удаленного управления, подмены содержимого документа при передаче его на подпись (Man-in-the-browser).

                    image
                    Читать дальше →
                  Самое читаемое