Типы ключей, используемых в ViPNet и схемы их формирования

Система защиты информации ViPNet использует комбинацию криптографических алго­ритмов с симметричными и асимметричными ключами.

Симметричный ключ - это случайная комбинация заданной длины двоичных символов (в СКЗИ «Домен-К» - 256 бит), которая полностью определяет алгоритм шифрования. Иначе говоря, кто знает симметричный ключ, может зашифровать на этом ключе и расшифровать все зашифрованное на этом же ключе. По-другому, симметричный ключ - любой ключ из пары идентичных ключей, такой, что если он используется для шифрования, то другой ключ может быть использован для расшифрования и наоборот.

Асимметричный ключ - это пара ключей: асимметричный секретный ключ (АСК) и асимметричный открытый ключ (АОК).

Симметричные алгоритмы используются для шифрования и проверки целостности ин­формации. Асимметричные алгоритмы используются для обмена ключами и создания элек­тронной цифровой подписи.

Особенность комбинирования криптографических алгоритмов с симметричными и асим­метричными ключами заключается в том, что шифрование информации происходит на комби­нации симметричного ключа, созданного администратором УКЦ, и ключа, созданного на основе асимметричных ключей, создаваемых пользователями.

СКЗИ «Домен-К» представляет собой пакет библиотек и программ, реализующих ключе­вой центр, прикладной криптографический интерфейс, криптографический драйвер.

В СКЗИ «Домен-К» используются четыре уровня ключей защиты.

· Ключи защиты первого уровня - ключи защиты мастер-ключей.

· Ключи защиты второго уровня - ключи защиты классических секретных ключей обмена коллективов. Данные ключи называются ключами защиты ключей обме­на. Ключ защиты ключей обмена данного коллектива является общим для всех абонентов данного коллектива.

· Ключи защиты третьего уровня или персональные ключи — ключи защиты ключей защиты первого и второго уровней. Используются также для защиты секретных асимметричных ключей шифрования, секретных ключей электронной подписи и jump-ключей и некоторых других ключей.

· Ключи защиты четвертого уровня или парольные ключи - ключи, получаемые из паролей с помощью функции хэширования. Предназначаются для защиты персо­нальных ключей.

Мастер-ключи (МК) подразделяются на 2 группы (для версий 2.8 и 3.0):

1. Основные (внутрисетевые) мастер-ключи - предназначены для формирования ключей защиты и ключей обмена СУ в рамках одной сети. Первое формирование клю­чей производится автоматически после установки ПО УКЦ. Последующее формирова­ние инициируется администратором по истечении срока действия ключа. В данной группе находятся 3 типа ключей:

• Мастер персональный ключей - Mp_N Предназначен для генерации пер­сональных ключей защиты абонентов;

• Мастер ключей защиты коллективов - Md_N Предназначен для генера­ции ключей защиты коллективов;

• Мастер ключей обмена - Mc_N Предназначен для генерации ключей обме­на коллективов.

2. Межсетевые мастер-ключи - предназначены для формирования симметричных ключей обмена между СУ, зарегистрированными в разных сетях. Данные ключи форми­руются при необходимости установления связи между СУ, зарегистрированными в раз­ных сетях. В УКЦ могут присутствовать межсетевые мастер - ключи 3 типов:

• Индивидуальный симметричный мастер-ключ - создается для установ­ления связи с одной конкретной сетью - Mi^. Характеризуется номером

сети, создавшей ключ N, номером сети для связи с которой предназначен М и своим серийным номером. Для передачи ключа администратор УКЦ осу­ществляет его экспорт. При экспорте ключ шифруется на парольном ключе экспорта. Пароль, в зависимости от настроек УКЦ, либо задается админист­ратором, либо формируется как случайный, при экспорте ключа. Передача экспортированного ключа должна осуществляться по доверенному каналу связи. Импортирован данный ключ может быть только в ту сеть, для связи с которой он предназначен. При импорте ключа производится проверка ими- товставки на парольном ключе экспорта. Если проверка успешна, то ключ перешифровывается на ключе защиты ключевого центра импортирующей сети.

• Асимметричный мастер-ключ - пара ключей Ma_N = (MSa_N,A£Pa_N)

для выработки общего мастер-ключа между сетями по протоколу Диффи - Хелмана с параметрами ГОСТ Р 34.10-94 или ГОСТ Р 34.11-94. Алгоритм и параметры выбираются администратором при формировании ключа. Харак­теризуется номером сети, создавшей ключ N и своим серийным номером.

Секретная составляющая ключа MSa_N защищается на ключе защиты клю­чевого центра и хранится в УКЦ. Экспорт этой части не производится. От­крытая часть ключа подписывается действующим ключом подписи админи­стратора УКЦ, создавшего мастер-ключ и передается по произвольным ка­налам связи в УКЦ других сетей. При импорте открытых частей асиммет­ричных мастер-ключей из других сетей А£Ра_м производится проверка

подписи под ключом. Импорт производится только в случае успешной про­верки подписи и сертификата администратора УКЦ, подписавшего ключ. В отличии от симметричных мастер-ключей срок действия ключа дополни­тельно ограничивается сроком действия сертификата администратора УКЦ, подписавшего данный ключ.

• Универсальный симметричный мастер-ключ - Ми_м предназначен для

установления связи между 2 и более сетями. Характеризуется номером сети, создавшей ключ и своим серийным номером. Методы формирования экспор­та и импорта идентичны индивидуальным мастер-ключам, но импортирован ключ может быть в несколько сетей одновременно. Формировать и исполь­зовать данный ключ рекомендуется только в случае отсутствия других типов мастер-ключей для обеспечения бесперебойной генерации ключевой инфор­мации СУ или для организации временной защищенной связи в условиях от­сутствия возможности обмена другими типами мастер-ключей.

Ключ ЭЦП пользователя представляет собой асимметричную пару ключей, сформирован­ную по алгоритму ГОСТ Р 34.10-94 (для версии 2.8 и 3.0) или ГОСТ Р 34.10-2001 (для версии

3.*): Sj=(SS_IySPj).

Ключи ЭЦП могут формироваться как в УКЦ, так и на СУ при создании запроса на серти­фикат подписи.

При создании ключа в УКЦ секретный ключ подписи защищается на персональном ключе пользователя. На СУ при получении ключа подписи из УКЦ секретный ключ перешифровыва- ется на случайном ключе защиты пользователя. При создании ключа подписи на СУ секретный ключ шифруется на случайном ключе защиты пользователя. При переносе на отделяемые носи­тели (eToken, SmardCard и т.д.) ключ подписи перешифровывается на парольном ключе пользо­вателя

Формирование ключей при первоначальном развертывании сети

Развертывание сети начинается с создания необходимой конфигурации в Центре управ­ления сетью, который формирует набор различных справочников для УКЦ. После этого начина­ется процесс формирования ключей в УКЦ.

При каждом запуске УКЦ осуществляется выбор источника генерации случайных чисел и инициализируется программный датчик случайных чисел.

При первоначальном запуске УКЦ формируются три различных мастер-ключа этой сети (для формирования ключей обмена коллективов, для формирования ключей защиты ключей обмена и для формирования персональных ключей), а также ключ защиты мас­тер-ключей. Мастер-ключи шифруются на ключе защиты мастер-ключей и в таком виде сохраняются на жестком диске.

Формирование ключей в связи с изменением структуры сети (модификацией)

Структура сети может изменяться:

при добавлении или удалении объектов своей сети, изменении их связей, регистрации пользователей в других коллективах и др.

при установлении взаимодействия с другой сетью или изменениями структуры связей, в части узлов, связанных с другой сетью.

Формирование ключей при изменениях в структуре своей сети

На основании поступившей информации из ЦУСа об изменениях в структуре своей сети УКЦ формирует измененные ключевые наборы для тех узлов сети, которые были затронуты этим изменением (в которых требуется добавление или наоборот исключение соответствующей ключевой информации). Это типовая и наиболее часто встречающаяся ситуация. Новые ключе­вые наборы для сетевых узлов помещаются в склеенные файлы, которые шифруются на ключах защиты общих коллективов соответствующих узлов, попадают в ЦУС для рассылки по сети и автоматического обновления на соответствующих узлах.

Формирование ключей при установлении взаимодействия с другой сетью, а также при внесении изменений в это взаимодействие

Рассмотрим эту процедуру на примере установления соединения между сетью А и Б.

1. Администраторы двух ЦУСов выполняют процедуру экспорта из своей сети информации об объектах, которые должны взаимодействовать с объектами другой сети.

2. Путем личной встречи или другими надежными каналами производится обмен этой инфор­мацией и ее импорт в свой ЦУС.

3. Администраторы двух УКЦ производят обмен межсетевыми мастерами по симметричной или асимметричной схеме, как это было указано выше. При экспорте мастеров ключи шиф­руются на парольных фразах, которые должны быть сообщены друг другу. Обмен выполня­ется при личной встрече или другими каналами. Одновременно выполняется обмен спра­вочниками открытых ключей УЛ каждой сети.

4. В каждом из УКЦ производится сертификация справочника открытых ключей УЛ другой сети подписью своего УЛ.

5. На основании информации, полученной из ЦУСа каждой сети, УКЦ каждой сети формирует новые ключевые наборы для соответствующих узлов. На этом этапе будет сформирована новая ключевая информация только для своего ЦУСа и Координатора, на котором зарегист­рирован ЦУС, так как информация о связях других объектов пока неизвестна. После авто­матического обновления этой информации будет возможно установление соединения между ЦУСами сетей А и Б.

6. Администраторы каждого из ЦУСов устанавливают необходимые связи импортированных коллективов со своими экспортированными коллективами. Обмениваются уже автоматиче­ски через установленное соединение вновь сформированными экспортными данными и от­правляют информацию о новых связях своих коллективов в свои УК

7. На основании полученных данных в УКЦ формируются новые ключевые наборы для узлов, которых затронули изменения (в ключевых дискетах абонентов в этой ситуации изменений быть не может). Эти ключевые наборы обычным образом отправляются в свой ЦУС для рассылки по своей сети и автоматического обновления.

Два узла разных сетей, если между ними установили взаимодействие, и между ними вклю­чено использование асимметричных ключей шифрования автоматически также обменива­ются своими открытыми ключами шифрования.