Как работает регистрация и аутентификация с помощью ЭЦП?

Question

[Владимир]

Собственно, сабж. В поисковики понатыкали искусственных идиотов, и в выдаче идет сплошная муть вроде "надо воткнуть токен в USB и выбрать нужную опцию в форме". Помогите разобраться, кто в курсе. Или дайте ссылку на нормальную статью, пожалуйста.

Comments

[alexalexes]

Вас интересуют теоретические основы или конкретная реализация в конкретной системе?

[Владимир]

alexalexes, меня интересует, как это работает в целом, алгоритм. Если можете дать еще и пример реализации в конкретной системе, это будет вообще отлично.

[Everything_is_bad]

Владимир,

и пример реализации в конкретной системе

ну вот и опиши эту "конкретную систему", а то вопрос сейчас слишком общий.

[Владимир]

Everything_is_bad, чувак, ты чо, глупо прикалываешься или под газом? Какую я тебе систему должен описать? Или ты - ИИ и выхватываешь только знакомые последовательности в случайной выборке, а потом бредогенератор включаешь?

[pfg21]

для работы аппаратного ключа ставится програмный драйвер , который предоставляет в операционную систему функции для работы с железкой.
программа, в которой надо авторизироваться через усб-токен, соответственно должна уметь работать с функциями предоставляемыми программным драйвером.
дальше начинаются тонкости :)

к примеру Рутокен Плагин — это программа, которая в сочетании с токенами и смарт-картами Рутокен ЭЦП ... для электронной подписи и двухфакторной аутентификации в браузере.
т.е. ставишь плагин в бравзер. подключаешь рутокен, заходишь на сайт умеющий работать с рутокеном и авторизируешься через отдельный пункт рутокен

[Everything_is_bad]

Владимир, еще раз, ты задаешь очень общий вопрос, ответ на которые без проблема гуглится, т.е. ты серьезно не нагуглил открытый/закрытый ключ? Вместо конкретизации, ты начал нести какую дичь

[Ziptar]

Отдельно смотришь как работают алгоритмы с открытым ключом/асинхронное шифрование, отдельно смотришь как работают challenge-response алгоритмы аутентификации. Дальше различные комбинации. Аббревиатуры "ЭЦП", "КЭП", и прочая просто забудь.

[Владимир]

Отвечу сразу всем, кроме ИИ, он все равно ни слова не поймет) Как работает ЭЦП, и все с этим связанное, я знаю. Меня интересует алгоритм использования ЭЦП для регистрации и последующей аутентификации пользователя. Именно и только это.

[Василий Банников]

Вообще есть два стандарта:
1. FIDO2
2. Гостовская аутентификация.

Принципиально они очень похожие и основаны на ассиметричной криптографии (у клиента закрытый ключ, который умеет шифровать данные, а у сервера - открытый, который позволяет их расшифровывать)

Разница только в том что для гостовской аутентификации нужно ещё специальный плагин в браузер ставить и CSP на компьютер, а на "флешке" изначально хранится сертификат ЭП, который подписан УЦ и позволяет проверить личность пользователя.

В случае FIDO2 на "флешке" хранится ключ, который генерируется для конкретного сервиса.

Answer 1

[Rsa97]

При регистрации клиент передаёт серверу открытый ключ ЭЦП.
При авторизации сервер генерирует случайное значение, отсылает его клиенту. Клиент шифрует закрытым ключом, возвращает зашифрованное значение. Сервер расшифровывает открытым ключом и сверяет значение.

Answer 2

[Владимир]

Кое что внятное все-таки удалось найти. Тем, кто будет читать, чтобы строить:
https://forum.pki.gov.kz/t/autentifikacziya-polzov...
Ссылка из вышеуказанной темы форума с подробным описанием:
https://sigex.kz/blog/authentication/

Если вкратце, то как и написал Rsa97 , идет передача и подписание случайных, уникальных данных. Остальное подтягивается из подписи при необходимости.

Answer 3

[Василий Банников]

Есть два стандарта:
1. Международный FIDO2
2. Российский ГОСТ Р 34.10

Работают они по схожей схеме, различается только момент с выпуском сертификатов.

1. Клиент каким-то образом генерирует ключевую пару (закрытый ключ шифрует, открытый расшифровывает).
Тут используется одно из двух: RSA или Эллиптические кривые.
2. Клиент передаёт свой публичный ключ на сервер

При аутентификации:
1. Клиент сообщает, кто он есть
2. Сервер генерирует челендж (просто длинное случайное число, которое определенным критериям отвечает)
3. Клиент шифрует этот челендж своим закрытым ключом
4. Сервер расшифровывает его открытым ключом и сравнивает, что результат получился такой, какой он и сгенерировал изначально.

Таким образом сервер убеждается, что клиент владеет нужным закрытым ключом и аутентифицирует его.