Работа с криптографическими ключами и сертификатами

3.На банковской стороне из удостоверяющего центра получен новый сертификат клиента, сформированный на основе запроса на сертификат, полученного от клиента.

4.На банковской стороне полученный открытый ключ (сертификат) включается в список сертификатов, пригодных к использованию для соответствующего клиента.

5.На банковской стороне открытый ключ (сертификат) помещается в специальную структуру, защищенную от искажения ЭЦП, выработанной на текущих ключах банка.

6.Полученная на шаге 5 структура переправляется клиенту.

7.Клиент, получив сформированную в банке структуру, проверяет ЭЦП банка под ней, далее полученный в структуре открытый ключ / сертификат проверяется на соответствие новому секретному ключу клиента. В случае их соответствия происходит замена рабочих ключей клиента на новые.

8.После завершения замены ключей клиент сообщает банку о завершении процедуры смены ключей. Для этого служит первый пришедший от клиента документ, подписанный новыми ключами.

9.На банковской стороне старый сертификат клиента исключается из списка сертификатов, пригодных для использования клиентом.

Для пользователя все указанные выше операции скрыты. В общем случае, для смены ключей пользователю необходимо совершить только два действия:

1.Инициализировать смену ключа (через прикладной интерфейс клиентского места);

2.Завершить процедуру смены ключа, когда из банка придет новый сертификат клиента (также через прикладной интерфейс).

Примечание

Подробное описание алгоритмов удаленной перегенерации выходит за рамки настоящего документа и подробно изложено в документе «Техническое задание на реализацию сервиса управления ключевой информацией в системе "ДБО BS-Client"».

9.6.Перегенерация банковского ключа

Впредыдущем разделе дано краткое описание алгоритма удаленной перегенерации клиентских ключей. Но необходимость в смене ключей может возникнуть и у банковского администратора. В этом случае процесс смены ключей происходит иначе, чем для ключей клиента.

Смена ключей банковского администратора состоит из следующих основных этапов:

1.Генерация новых банковских ключей.

2.Рассылка нового банковского сертификата всем клиентам, связанным с банковским администратором, ключи которого подлежат замене.

3.Смена текущих банковских ключей на новые.

Как и при смене клиентских ключей, новый открытый ключ банка высылается в специальной структуре, заверенной подписью, выработанной на текущих ключах банковского админи-

47

Работа с криптографическими ключами и сертификатами

стратора. При использовании такого подхода пользователь застрахован от регистрации открытых ключей (сертификатов), произведенных третьими лицами.

9.7. Использование списков отозванных сертификатов. Компрометация ключа

В предыдущих двух пунктах кратко описаны алгоритмы плановой смены клиентских и банковских ключей. Данные операции могут быть произведены без ущерба для стойкости защиты только в том случае, если на период выполнения описанных процедур старый ключ пригоден к использованию. Но при работе с криптографическими ключами также возможны внештатные ситуации, в результате которых использование тех или иных ключей становится недопустимым с точки зрения защиты информации.

Классическим примером такой ситуации является утеря пользователем своего секретного ключа (вместе с носителем). В этом случае ключ считается скомпрометированным и непригодным к дальнейшему использованию.

В случае компрометации клиентского ключа, клиенту необходимо как можно раньше сообщить в банк об этом. Банковский администратор, сразу после поступления подобного заявления от клиента, должен заблокировать соответствующий сертификат на банковской стороне (пометить его, как скомпрометированный (поставить признак «запрещен») в соответствующем криптопрофиле клиента).

После этого ключ клиента становится непригодным к использованию в рамках системы "ДБО BS-Client". Это справедливо как для криптографий с открытыми ключами, так и для криптографий, использующих сертификаты. Отсутствие отличий между этими двумя видами криптографий объясняется схемой передачи данных между клиентской и банковской частью "ДБО BS-Client". Дело в том, что прямую связь между клиентами с помощью рабочих мест "ДБО BS-Client" установить невозможно. В любом случае, данные пересылаются через банковскую часть, на которой происходит контроль ЭЦП клиента.

Таким образом, в случае исключения скомпрометированного открытого ключа (сертификата) из списка допустимых к использованию клиентских ключей, в момент приема информации банковской стороной, она будет забракована, как подписанная недопустимыми для использования ключами.

После блокирования скомпрометированных ключей на банковской стороне необходимо сгенерировать новый комплект ключей для клиента и зарегистрировать их на банковской стороне, как допустимые к использованию данным клиентом. После этого новый комплект ключей необходимо выдать клиенту.

Т.к. комплект содержит обе части ключевой пары (открытый и секретный ключ) пересылка комплекта по открытым каналам связи не допускается. Новый комплект должен быть выдан клиенту в банке лично, с выполнением всех необходимых формальностей, определенных службой безопасности банка. После получения нового комплекта клиент получит возможность воспользоваться описанным выше механизмом перегенерации ключей для смены ключей, полученных в банке на сгенерированные самостоятельно.

48

Работа с криптографическими ключами и сертификатами

9.8. Использование списков отозванных сертификатов (СОС)

Списки отозванных сертификатов (СОС, CRL), применяются в СКЗИ, использующих сертификаты. Данные списки формируются на уровне центров сертификации (ЦС) и служат для блокирования скомпрометированных по тем или иным причинам сертификатов, срок действия которых еще не истек.

При проверке действительности сертификата (такая операция производится каждый раз при проверке ЭЦП, и при шифровании), при наличии актуального на момент проверки СОС, осуществляется поиск сертификата в СОС. В случае обнаружения проверяемого сертификата в СОС, сертификат признается недействительным.

Как было отмечено ранее в системе "ДБО BS-Client" для блокирования клиентского сертификата в рамках системы "ДБО BS-Client" нет необходимости обязательно оповещать об этом всех клиентов. Достаточно заблокировать скомпрометированный клиентский сертификат на стороне банка. Для выполнения указанной блокировки можно воспользоваться механизмом, предоставляемым СОС. Для блокирования сертификатов, включенных в СОС, при каждом выпуске СОС в удостоверяющем центре, необходимо обновить используемый список для всех банковских ключей.

9.9. Использование USB-токенов

Для безопасного хранения ключевой информации в системе "ДБО BS-Client" могут быть использованы USB-токены: eToken и Rutoken. Недопустимо одновременное использование токенов различного типа.

Для обеспечения поддержки использования токенов необходимо выполнить настройку банковской части системы (см. разд. 4.7.2.6 «Использование USB-токенов для хранения ключе-

вой информации» док. Полное руководство пользователя).

Для большинства токенов возможность их использования пользователями клиентской части системы доступна после установки соответствующих драйверов. Перечень СКЗИ и драйвера, необходимые для работы с USB-токенами, отражены в разд. A.1.1 «Общий перечень поддер-

живаемого ПО» док. Инструкция по установке и начальной настройке системы.

49