Перейти к содержанию

Рутокен, JaCarta и аппаратные ГОСТ-ключи

Для ГОСТ-подписей на аппаратном носителе НАЙС.ОС использует совместимый PKCS#11-модуль, который предоставляет операции конкретной модели Рутокен, JaCarta или HSM.

Что требуется определить

  1. Полную модель токена и ревизию прошивки.
  2. Драйверы и библиотеку PKCS#11 производителя для архитектуры НАЙС.ОС.
  3. Необходимость PC/SC и USB-драйвера.
  4. Наличие нужных CKM_GOST... механизмов.
  5. Возможность создания неэкспортируемой ключевой пары ГОСТ 2012/256 или 512.
  6. Модель работы с PIN/PUK, число попыток, политика блокировки.

Проверка

После установки проверенного модуля производителя:

MODULE=/path/to/vendor-pkcs11.so
pkcs11-tool --module "$MODULE" --list-slots
pkcs11-tool --module "$MODULE" --list-mechanisms |
  grep -Ei 'GOST|3410|3411|KUZ|MAGMA'

Путь /path/to/vendor-pkcs11.so требуется заменить действительным файлом. Не предполагается, что модуль для одной модели автоматически подходит другой.

Жизненный цикл ключа

  1. Проводим учёт носителя, записываем серийный номер во внутреннюю систему учёта без публичного раскрытия.
  2. Устанавливаем PIN пользователя и административные параметры по корпоративной политике.
  3. Создаём новую пару ключей на носителе с запретом экспорта секретного компонента.
  4. Получаем запрос сертификата с открытым ключом, подписываем его в УЦ.
  5. Импортируем выданный сертификат как объект PKCS#11 либо связываем сертификат с ключом на стороне приложения.
  6. Выполняем пробную подпись без экспорта закрытого ключа.
  7. Проверяем подпись доверенной стороной и документируем механизм ГОСТ.
  8. Готовим план ротации, отзыва и замены носителя.

Нельзя инициализировать, разблокировать или удалять рабочий токен для диагностики. Все операции изменения PIN и генерации ключа выполняйте на выделенном тестовом экземпляре.

Совместимость с КриптоПро

Контейнеры КриптоПро, сертификаты X.509 и ключи на PKCS#11-токене могут использовать близкие ГОСТ-алгоритмы, но имеют разные интерфейсы хранения. Для обмена проверяйте конкретный формат контейнера, экспортируемость ключа, доступные OID, PIN-политику и поддерживаемые механизмы.

См. PKCS#11 в OpenSSL и совместимость сертификатов.