6.5.3. eCA-VA

Aladdin Enterprise CAИнтеграцииAladdin Enterprise CA

Для использования алгоритмов ГОСТ Р 34.10-2012 и RSA eCA-VA может взаимодействовать со средством криптографической защиты информации (СКЗИ) - криптопровайдером СКЗИ “КриптоПро CSP”.

Взаимодействие eCA-VA с криптопровайдером СКЗИ “КриптоПро CSP” осуществляется через модуль “КриптоПро Java CSP”¹. При каждом запуске eCA-VA определяется наличие на его хосте активного криптопровайдера СКЗИ “КриптоПро CSP”.

До выполнения настройки взаимодействия СКЗИ “КриптоПро CSP” с eCA-VA необходимо подготовить внешнюю гамму². Подключение внешней гаммы необходимо для генерации ключевых пар центров сертификации, субъектов и пользователей по алгоритмам, криптопровайдером которых является СКЗИ “КриптоПро CSP”.

При развертывании нескольких экземпляров eCA-VA под одним средством балансирования нагрузки необходимо для каждого экземпляра программного средства подготовить уникальную внешнюю гамму, чтобы исключить совпадения ключевых пар.

Порядок настройки взаимодействия СКЗИ “КриптоПро CSP” с eCA-VA:

На сервере eCA-VA выполнить установку криптопровайдера СКЗИ “КриптоПро CSP” в соответствии с инструкцией, описанной в разделе 2 документа “СКЗИ “КриптоПро CSP”. Руководство администратора безопасности. Использование СКЗИ под управлением ОС Linux” ЖТЯИ.00101-03 91 03.

Внимание! Перед установкой СКЗИ “КриптоПро CSP” в ОС Альт 8 СП Сервер установите пакет newt52 командой с правами суперпользователя apt-get install newt52.

Внимание! В приведённых ниже командах файлы cpSSL.jar и sspiSSL.jar нужно указывать только если между ЦС и ЦР нужно взаимодействие по ГОСТ TLS.

При отсутствии создайте каталог /opt/aecaVa/services/cryptoproviders командой с правами суперпользователя:

mkdir -p /opt/aecaVa/services/cryptoproviders

Переместите в каталог /opt/aecaVa/services/cryptoproviders файлы ASN1P.jar, asn1rt.jar, JCP.jar и JCSP.jar из состава дистрибутива ПО “КриптоПро Java CSP” командой с правами суперпользователя:

cp {ASN1P.jar,asn1rt.jar,JCP.jar,JCSP.jar,cpSSL.jar,sspiSSL.jar} /opt/aecaVa/services/cryptoproviders

Назначьте права доступа на скопированные файлы:
- Если выполняется первоначальная установка eCA-VA, то назначьте файлам права доступа (chmod 777) командой с правами суперпользователя:
  Окно терминала
```
chmod 777 -R /opt/aecaVa/services/cryptoproviders/{ASN1P.jar,asn1rt.jar,JCP.jar,JCSP.jar,cpSSL.jar,sspiSSL.jar}
```
- Если eCA-VA был ранее установлен, то назначьте владельцем данных файлов пользователя “aeca” и предоставьте ему права доступа к файлам (chmod 700) командами с правами суперпользователя:
```
chown aeca:aeca -R /opt/aecaVa/services/cryptoproviders/{ASN1P.jar,asn1rt.jar,JCP.jar,JCSP.jar,cpSSL.jar,sspiSSL.jar}

chmod 700 -R /opt/aecaVa/services/cryptoproviders/{ASN1P.jar,asn1rt.jar,JCP.jar,JCSP.jar,cpSSL.jar,sspiSSL.jar}
```
Если используется уже заранее подготовленная внешняя гамма, то пропустите этот пункт. Иначе подготовьте внешнюю гамму с помощью утилиты /opt/cprocsp/bin/amd64/genkpim (утилита genkpim входит в состав дистрибутива СКЗИ “КриптоПро CSP”) командами:
```
mkdir -p ~/gamma
/opt/cprocsp/bin/amd64/genkpim <количество ключей> 0x12345678 ~/gamma
```
На хосте eCA-VA поместите каталог с заранее подготовленной внешней гаммой в каталог /opt/aecaVa/dist/ командой с правами суперпользователя:
Окно терминала
```
cp -a ~/gamma/. /opt/aecaVa/dist/gamma
```
В результате в каталоге /opt/aecaVa/dist/gamma появятся подкаталоги db1, db2, kpim.
- Если выполняется первоначальная установка eCA-VA, то назначьте права доступа файлам (chmod 777) командой с правами суперпользователя:
  Окно терминала
```
chmod -R 777 /opt/aecaVa/dist/gamma
```
- Если eCA-VA был ранее установлен, то назначьте владельцем данных файлов пользователя “aeca” и предоставьте ему права доступа (chmod 700) командами с правами суперпользователя:
```
chown -R aeca:aeca /opt/aecaVa/dist/gamma
chmod -R 700 /opt/aecaVa/dist/gamma
```

Подключить данную внешнюю гамму к СКЗИ “КриптоПро CSP” посредством следующих команд с правами суперпользователя ³:

./cpconfig -hardware rndm -add cpsd -name 'cpsd rng' -level 3
./cpconfig -hardware rndm -configure cpsd -add string /db1/kis_1 /opt/aecaVa/dist/gamma/db1/kis_1
./cpconfig -hardware rndm -configure cpsd -add string /db2/kis_1 /opt/aecaVa/dist/gamma/db2/kis_1

Если eCA-VA был ранее установлен, перезапустите сервис aeca-va.service командой с правами суперпользователя:
Окно терминала
```
systemctl restart aeca-va.service
```

Если в дальнейшем к СКЗИ “КриптоПро CSP” будет подключён ПАКМ “КриптоПро HSM”, для обнаружения eCA-VA наличия такого подключения необходимо перезапустить сервис aeca-va.service.

Модуль “КриптоПро Java CSP” входит в состав СКЗИ “КриптоПро CSP”. ↩
Заранее сформированный набор случайных данных, необходимых для генерирования закрытых ключей. При создании сертификатов на КН и с закрытым ключом (PKCS#12) для субъектов с использованием алгоритмов ключей, для которых в активном центре сертификации выбран криптопровайдер СКЗИ “КриптоПро CSP”, Центр сертификации использует внешнюю гамму, заранее подготовленную на биологическом датчике случайных числе (БДСЧ) криптопровайдера “КриптоПро CSP”. ↩
Подключение осуществляется с помощью файла cpconfig (находится в /opt/cprocsp/sbin/amd64). Путь к файлу в командах приведен с учётом нахождения в каталоге /opt/cprocsp/sbin/amd64. ↩

6.5.3. eCA-VA

Footnotes