Для использования алгоритмов ГОСТ Р 34.10‑2012 и RSA Центр сертификации Aladdin eCA может взаимодействовать со средством криптографической защиты информации (СКЗИ) ‑ криптопровайдером СКЗИ «КриптоПро CSP» из состава программного средства с целью реализации следующих возможностей:

• создание ключевой пары (открытый и закрытый ключи) Центра сертификации (корневого или подчиненного);
• подписание сертификата Центра сертификации (самоподписанный сертификат);
• создание контейнеров закрытого ключа Центра сертификации с возможностью указания места хранения;
• подписание запроса на сертификат Центра сертификации в вышестоящем центре сертификации;
• создание ключевой пары (открытый и закрытый ключи) для субъектов (пользователей или технических средств);
• подписание сертификатов доступа для субъектов (пользователей или технических средств – владельцев сертификатов доступа);
• создание контейнеров закрытого ключа субъектов (пользователей или технических средств);
• подписание списка отозванных сертификатов.

Взаимодействие Центра сертификации с криптопровайдером СКЗИ «КриптоПро CSP» из состава программного средства осуществляется через модуль «КриптоПро Java CSP»[1]. При каждом запуске Центр сертификации автоматически определяется наличие на его хосте активного криптопровайдера СКЗИ «КриптоПро CSP».

Также Центр сертификации может интегрироваться с программно‑аппаратным криптографическим модулем (ПАКМ) «КриптоПро HSM»[2] для обеспечения возможности генерации и хранения в последнем закрытых ключей Центров Сертификации. Взаимодействие программного средства с ПАКМ «КриптоПро HSM» осуществляется посредством криптопровайдера СКЗИ «КриптоПро CSP». При каждом запуске Центр сертификации автоматически определяется наличие подключения криптопровайдера СКЗИ «КриптоПро CSP» к ПАКМ «КриптоПро HSM», при наличии подключения будет доступен выбор ПАКМ «КриптоПро HSM» в качестве места хранения закрытых ключей создаваемых Центров Сертификации.

Установка и настройка ПАКМ «КриптоПро HSM» выполняется в соответствии с документом «ПАКМ «КриптоПро HSM». Инструкция по использованию» ЖТЯИ.00096‑01 90 01.

Настройка СКЗИ «КриптоПро CSP» в качестве клиентского приложения ПАКМ «КриптоПро HSM» выполняется в соответствии с документом «СКЗИ «КриптоПро CSP». Руководство администратора безопасности. Использование СКЗИ под управлением ОС Linux» ЖТЯИ.00101‑03 91 03.

[1] Модуль «КриптоПро Java CSP» входит в состав СКЗИ «КриптоПро CSP».

[2] Сетевое устройство, подключаемое либо непосредственно к серверу (хосту), использующему криптографические сервисы ПАКМ «КриптоПро HSM», либо в сегмент локальной сети через стандартные сетевые устройства (коммутаторы, маршрутизаторы, концентраторы) для обслуживания групп серверов и компьютеров пользователей сети.

Настройка взаимодействия с СКЗИ «КриптоПро CSP»

До выполнения настройки взаимодействия СКЗИ «КриптоПро CSP» с Центром сертификации Aladdin eCA необходимо подготовить внешнюю гамму[1]. Подключение внешней гаммы необходимо для генерации ключевых пар центров сертификации, субъектов и пользователей по алгоритмам, криптопровайдером которых является СКЗИ «КриптоПро CSP». При этом, внешняя гамма не используется для генерации ключевой пары центра сертификации, если при его создании в качестве места хранения закрытого ключа выбран ПАКМ «КриптоПро HSM»[2].

Порядок настройки взаимодействия СКЗИ «КриптоПро CSP» с Центром сертификации Aladdin eCA:

• На сервере Центра сертификации Aladdin eCA выполнить установку криптопровайдера СКЗИ «КриптоПро CSP» в соответствии с инструкцией, описанной в разделе 2 документа «СКЗИ «КриптоПро CSP». Руководство администратора безопасности. Использование СКЗИ под управлением ОС Linux» ЖТЯИ.00101‑03 91 03.

• При отсутствии создайте каталог /opt/aecaCa/services/cryptoproviders командой:

• Переместите в каталог /opt/aecaCa/services/cryptoproviders файлы jar, asn1rt.jar, JCP.jar и JCSP.jar из состава дистрибутива ПО«КриптоПро Java CSP» командой:

• Назначьте права доступа на скопированные файлы:
  • Если выполняется первоначальная установка Центра сертификации Aladdin eCA, то назначьте файлам права доступа (chmod 777) командой:

• • Если Центр сертификации Aladdin eCA был ранее установлен, то назначьте владельцем данных файлов пользователя «aeca» и предоставьте ему права доступа к файлам (chmod 700) командами:

• Если используется уже заранее подготовленная внешняя гамма, то пропустите этот пункт. Иначе подготовьте внешнюю гамму с помощью утилиты /opt/cprocsp/bin/amd64/genkpim (утилита genkpim входит в состав дистрибутива СКЗИ «КриптоПро CSP») командами:

• На хосте Центра сертификации Aaddin eCA поместите каталог с заранее подготовленной внешней гаммой в каталог /opt/aecaCa/dist/ командой:

• В результате в каталоге /opt/aecaCa/dist/gamma появятся подкаталоги db1, db2, kpim.
  • Если выполняется первоначальная установка Центра сертификации Aladdin eCA, то назначьте права доступа файлам (chmod 777) командой:

• • Если Центр сертификации Aladdin eCA был ранее установлен, то назначьте владельцем данных файлов пользователя «aeca» и предоставьте ему права доступа (chmod 700) командами:

• Подключить данную внешнюю гамму к СКЗИ «КриптоПро CSP» посредством следующих команд[3]:

• Если Центр сертификации Aladdin eCA был ранее установлен, перезапустите сервис aeca‑ca.service командой:

Если в дальнейшем к СКЗИ «КриптоПро CSP» будет подключен ПАКМ «КриптоПро HSM», для обнаружения Центром сертификации Aladdin eCA наличия такого подключения необходимо перезапустить сервис aeca‑ca.service.

[1] Заранее сформированный набор случайных данных, необходимых для генерирования закрытых ключей. При создании сертификатов на КН и с закрытым ключом (PKCS#12) для субъектов с использованием алгоритмов ключей, для которых в активном центре сертификации выбран криптопровайдер СКЗИ «КриптоПро CSP», Центр сертификации использует внешнюю гамму, заранее подготовленную на биологическом датчике случайных числе (БДСЧ) криптопровайдера «КриптоПро CSP».

[2] Выбор места хранения осуществляется в разделе 3.1.3 эксплуатационного документа «Центр сертификатов доступа Aladdin Enterprise Certificate Authority Certified Edition. Руководство администратора. Часть 2. Функции управления Центра сертификации Aladdin Enterprise Certification Authority» RU.АЛДЕ.03.01.020 32 01-2.

[3] Подключение осуществляется с помощью файла cpconfig (находится в /opt/cprocsp/sbin/amd64). Путь к файлу в командах приведен с учётом нахождения в каталоге /opt/cprocsp/sbin/amd64.

Индикация об отсутствии связи с СКЗИ «КриптоПро CSP»

При отсутствии на хосте Центра сертификации Aladdin eCA активного криптопровайдера «КриптоПро CSP» для центров сертификации, закрытый ключ которых создан с его помощью, в пользовательском интерфейсе будет отображаться следующая индикация:

• В разделе «Центр сертификации» в списках для центров сертификации в соответствующих строках слева от имени отображаемого центра сертификации будет присутствовать индикация вида «треугольник с восклицательным знаком», при наведении на которую курсора будет отображаться всплывающее сообщение «Закрытый ключ центра сертификации недоступен».
• При переходе на карточку центра сертификации справа от индикации состояния центра сертификации будет присутствовать индикация «треугольник с восклицательным знаком», при наведении на которую курсора будет отображаться всплывающее сообщение «Закрытый ключ центра сертификации недоступен».
• В карточке центра сертификации в подразделе «Криптопровайдеры» справа от названия криптопровайдера СКЗИ «КриптоПро CSP» в полях алгоритмов, для которых он был выбран в качестве криптопровайдера при создании центра сертификации, будет присутствовать индикация «треугольник с восклицательным знаком», при наведении курсора на которую будет отображаться всплывающее сообщение «Криптопровайдер недоступен».