Вопрос 2. Состав и назначение центросертификациии цс, цр, арм абонента.

Понятие Удостоверяющий Центр может вызвать путаницу, т.к. означает и концепцию построения средств криптографической защиты информации, так и готовые программно-аппаратные решения в этой области. На практике состав, назначение и политику применения составных компонент Удостоверяющего Центра описывается в документе, называется Регламент. Далее представлен состав Удостоверяющего Центра с точки зрения общей идеи построения СКЗИ этого типа:

Криптографическое ядро;

Центр Сертификации;

Центр Регистрации;

АРМ Абонента;

АРМ разбора конфликтных ситуаций;

Сетевой справочник или Репозиторий.

Центр сертификации (ЦС) - компонент УЦ, предназначенный для формирования сертификатов открытых ключей пользователей и администраторов Удостоверяющего центра, списков отозванных сертификатов, хранения эталонной базы сертификатов и списков отозванных сертификатов.

ЦС взаимодействует только с Центром Регистрации или несколькими Центрами Регистрации по отдельному сегменту локальной сети с использованием защищенного сетевого протокола.

Функционально Центр Сертификации должен обсепечивать:

генерация ключей и сертификата открытого ключа уполномоченного лица УЦ;

смена ключей и сертификата открытого ключа уполномоченного лица УЦ;

формирование сертификата открытого ключа по запросам Центра Регистрации;

ведение базы данных сертификатов с предоставлением доступа к ней ограниченному кругу компонентов системы;

изменение базы данных сертификатов по запросам от Центра Регистрации (аннулирование (отзыв) сертификата, приостановление действия сертификата, возобновление действия сертификата);

формирование списка аннулированных (отозванных) сертификатов открытых ключей по запросам Центра Регистрации;

формирование списка аннулированных (отозванных) сертификатов открытых ключей по запросам Центра Регистрации в автоматическом режиме с периодичностью, заданной в расписании;

ведение архива всех изданных списков аннулированных (отозванных) сертификатов открытых ключей в автоматическом режиме;

обеспечение уникальности следующей информации в сертификатах пользователей: открытый ключ сертификата, серийный номер сертификата;

взаимодействие с Центрами Регистрации: аутентификация Центров Регистрации и определение прав доступа с использованием ключей и сертификатов открытых ключей Центров Регистрации, прием от Центров Регистрации запросов, проверка наличия подписи данной информации на ключе Центров Регистрации, обработка полученных от Центров Регистрации запросов, передача на Центры Регистрации результатов обработки запросов, шифрование информации, передаваемой между ЦС и ЦР в ходе сетевого взаимодействия по защищенному каналу;

протоколирование работы Центра Сертификации.

Центр Регистрации

Центр Регистрации - компонент УЦ, предназначенный для хранения регистрационных данных пользователей, запросов на сертификаты и сертификаты пользователей, предоставления интерфейса взаимодействия пользователей с Удостоверяющим Центром.

Центр Регистрации взаимодействует с Центром Сертификации по отдельному сегменту локальной сети с использованием защищенного сетевого протокола. Взаимодействие пользователей с Удостоверяющим центром обеспечивается за счет использования программного модуля АРМ Абонента.

Центр Регистрации является единственной точкой входа (регистрации) пользователей в системе. Только зарегистрированный в Центре Регистрации пользователь может получить сертификат на свой открытый ключ в Удостоверяющем Центре.

К функциям Центра Регистрации относятся:

обеспечение аутентификации приложений и пользователей при обращении к Центру Регистрации;

ведение Базы Данных (Реестра), содержащей информацию о пользователях и пользовательских сертификатах. База Данных содержит следующую информацию: данные о пользователях, включающиеся в сертификаты открытых ключей, данные о пользователях, не включаемые в сертификаты открытых ключей, открытые ключи пользователей, зарегистрированных в системе, сертификаты пользователей, зарегистрированных в системе, запросы на сертификаты открытого ключа пользователя, запросы на отзыв сертификатов открытого ключа пользователя;

управление шаблонами сертификатов, обеспечивающих определение области применения ключей и сертификатов открытых ключей пользователей;

взаимодействие с Центром Сертификации и внешними приложениями: прием от приложения и передача на Центр Сертификации запросов, подпись данных запросов на ключе Центра Регистрации; прием от Центра Сертификации и передача приложению результатов обработки запросов; проверка подписи Центра сертификации на принимаемой от него информации;

управление режимами работы Удостоверяющего Центра по регистрации и управлению ключами и сертификатами;

обеспечение выполнения Центром Регистрации в автоматическом режиме следующих задач: оповещение пользователей по электронной почте об истечении срока действия сертификатов, оповещение пользователей по электронной почте о необходимости замены ключей, оповещение администратора о возникновении критических ситуаций, получение списка отозванных сертификатов от соответствующего Центра Сертификации, получение списка отозванных сертификатов от Центров Регистрации вышестоящих по иерархии Удостоверяющих Центров, удаление зарегистрированных пользователей, не имеющих ни одного действующего сертификата открытого ключа;

протоколирование работы Центра Регистрации.

АРМ Абонента

АРМ Абонента предназначен для выполнения организационно-технических мероприятий, связанных с управлением личной ключевой информацией и сертификатами (формирование рабочих ключей и сертификатов, отзыв сертификатов, установка списка отозванных сертификатов), а также организации защищенного документооборота между конечными пользователями Удостоверяющего Центра путем предоставления доступа к функциям шифрования/дешифрования информации и формированием/проверкой электронной цифровой подписи под данными.

АРМ Абонента непосредственно взаимодействует с ближайшим к нему по иерархии Центром Регистрации путем пересылки по каналу связи сообщений формата PKCS, содержащих следующую информацию:

заявки на сертификат, поступающие от АРМ Абонента в ЦР;

сертификаты открытого ключа, поступающие от ЦП в АРМ Абонента

сообщения о компрометации ключа от АРМ Абонента в ЦР;

актуальный список отозванных сертификатов, регулярно пересылаемый ЦР на рабочие места абонентов.

К основным функциям АРМ Абонента относятся:

графический пользовательский интерфейс, позволяющий использовать базовые криптографические функции, реализованные в том криптоядре, которое выбрано для использования в Удостоверяющем Центре: подпись и/или шифрование отдельного файла на открытых ключах выбранных абонентов, возможность сохранения подписанных и/или зашифрованных файлов на жесткий диск или внешние носители;

формирование заявки на сертификат по стандарту RSA PKCS#10;

обеспечение возможности получения пользователем выпущенных сертификатов;

вывод электронного сертификата открытого ключа пользователя на бумажный носитель;

работа с ключевой информацией: генерация рабочих ключевых шифрования и ЭЦП пользователя, а также сессионных ключей симметричного шифрования;

работа с локальным хранилищем сертификатов других абонентов: ведение хранилища сертификатов открытых ключей, импорт сертификатов в справочник сертификатов, экспорт собственных сертификатов на внешний носитель, проверка ликвидности сертификата, поиск сертификата в хранилище;

формирование заявки на отзыв сертификата по стандарту RSA PKCS#7;

выполнение функций администрирования списка отозванных сертификатов;

запрос сертификата требуемого абонента и информации о статусе сертификата из Репозитория или Центра Регистрации;

обеспечение взаимодействия с программными модулями Центр Регистрации, Репозиторий и Центр Сертификации в соответствии с регламентом Удостоверяющего Центра;

обеспечение возможности выбора пользователем сертификата, с помощью которого будет осуществляться взаимодействие с ЦР;