Ключи пользователей могут храниться на различных устройствах, называемых «ключевые носители» («ключевые хранилища»). Ключи на ключевых носителях хранятся в виде специальной структуры, называемой «ключевой контейнер».
Примечание. Виды поддерживаемых ключевых носителей и их использование в зависимости от программно-аппаратной платформы отражены в п. 3.10 Формуляров ЖТЯИ.00101-03 30 01 и ЖТЯИ.00102-03 30 01.
С точки зрения принципов использования ключей ключевые носители подразделяются на следующие типы:
• Функциональный ключевой носитель (ФКН). Такой ключевой носитель содержит в себе функциональные возможности генерации ключей, обеспечения невозможности экспорта хранимых ключей за пределы носителя и содержит в себе реализацию криптографических алгоритмов, выполняемых с использованием хранимых на носителе ключей (т.н. активный вычислитель). Конкретный набор функций и их реализация зависят от ФКН конкретного разработчика и от модуля поддержки ФКН в СКЗИ. Важной особенностью при работе с ФКН, поддерживаемыми СКЗИ КриптоПро CSP, является защита канала связи между ФКН и СКЗИ по протоколу SESPAKE. Таким образом обеспечивается конфиденциальность и неизменность передаваемых между СКЗИ и носителем данных. Для некоторых носителей такая поддержка отсутствует (см. соответствующие примечания к таблице 3.1 Формуляров ЖТЯИ.00101-03 30 01 и ЖТЯИ.00102-03 30 01).
Примеры ФКН:
Рутокен ЭЦП 3.0 (форм-факторы указаны в формуляре на Рутокен ЭЦП 3.0);
Рутокен ЭЦП 2.0 3000 (USB, Type-C, micro);
СмартПарк Форос 2. Базис и СмартПарк Форос 3. Базис;
Aladdin R.D. JaСarta SF/ГОСТ
и т.д.
• Пассивный ключевой носитель (пассивное хранилище ключевой информации). Такой ключевой носитель предназначен только для хранения ключевых контейнеров пользователей. При необходимости использования такого ключевого носителя требуемый ключевой контейнер обрабатывается средствами СКЗИ.
Примеры Пассивных ключевых носителей:
USB-токены Рутокен Lite, Рутокен S, Рутокен КП, смарт-карты Рутокен Lite SC;
ГМД 3,5”, USB-флэш-накопители;
USB-токены Aladdin R.D. JaCarta PKI, JaCarta PKI/BIO, JaCarta PRO JaCarta LT;
ОСКАР, Форос, Форос 2, Форос 3, R301 Форос, ПЭК-М;
Dallas Touch Memory (iButton) DS199x
и т.д.
• КриптоПро Cloud CSP (модуль взаимодействия с сервисом хранения ключей). Обеспечивает те же функциональные возможности, что и модуль взаимодействия с ФКН, предоставляя интерфейс для взаимодействия с сервером в целях выполнения операций с ключами, хранящимися в сервисе хранения ключей. При этом защита канала связи между СКЗИ и сервисом обеспечивается по протоколу TLS. Необходимо наличие сертификата соответствия ФСБ России (положительного заключения) на средство электронной подписи, реализующее на серверной стороне указанный сервис хранения ключей. Подробнее об использовании КриптоПро Cloud CSP см. п. 2.4 документов Инструкций по использованию графического приложения. Инструменты КриптоПро ЖТЯИ.00101-03 92 06 и ЖТЯИ.00102-03 92 06 КриптоПро CSP.
При использовании пассивных ключевых носителей и ФКН без поддержки SESPAKE необходимо обеспечить выполнение следующих условий:
• подключение съемных носителей должно осуществляться непосредственно к считывателю (считывателю смарт-карт, USB-портам и т.п.), с обеспечением отсутствия канала связи между носителем и СКЗИ, в котором может действовать нарушитель;
• при конструктивном исполнении считывателя ключевого носителя с кабелем необходимо обеспечить нахождение считывателя и кабеля на той же контролируемой территории, что и ПЭВМ, и отсутствие доступа нарушителя к ним.
При невозможности выполнения указанных условий необходимо с учётом модели возможных угроз и нарушителя разработать организационно-технические мероприятия по защите взаимодействия носителя с СКЗИ с последующей оценкой таких мероприятий в рамках проведения соответствующих исследований.
Примечание. При удаленном подключении ключевых носителей необходимо использовать ФКН с поддержкой SESPAKE.
При использовании любых типов ключевых носителей помимо требований эксплуатационной документации на СКЗИ КриптоПро CSP необходимо руководствоваться эксплуатационной документацией на сами носители.
Доступ к ключевому носителю любого типа должен быть защищён паролем и/или PIN-кодом (за исключением случаев, отдельно оговоренных в документации на СКЗИ КриптоПро CSP и используемые носители). Носители могут поддерживать код доступа PUK, используемый для разблокировки носителя. Перед началом работы с ключевым носителем необходимо сменить установленные по умолчанию значения PIN и PUK (при поддержке PIN и PUK на носителе).
EN
