«ViPNet Administrator Удостоверяющий и ключевой центр 3.2 Руководство администратора 1991–2011 ОАО Инфотекс, Москва, Россия ФРКЕ.00006-04 90 03 Этот документ входит в комплект поставки программного обеспечения, и на него ...»

ViPNet Administrator

Удостоверяющий и ключевой

центр 3.2

Руководство администратора

1991–2011 ОАО «Инфотекс», Москва, Россия

ФРКЕ.00006-04 90 03

Этот документ входит в комплект поставки программного обеспечения, и на него распространяются все условия

лицензионного соглашения.

Ни одна из частей этого документа не может быть воспроизведена, опубликована, сохранена в электронной базе данных

или передана в любой форме или любыми средствами, такими как электронные, механические, записывающие или иначе, для любой цели без предварительного письменного разрешения ОАО «Инфотекс».

ViPNet является зарегистрированной торговой маркой программного обеспечения, разрабатываемого ОАО «Инфотекс».

Все торговые марки и названия программ являются собственностью их владельцев.

ОАО «Инфотекс»

127287, г. Москва, Старый Петровско-Разумовский пр., дом 1/23, строение Тел: (495) 737-61-96 (hotline), 737-61-92, факс 737-72- Сайт компании «Инфотекс»: http://www.infotecs.ru Электронный адрес службы поддержки: [email protected] Содержание Введение

О документе

Для кого предназначен документ

Соглашения документа

Назначение программы ViPNet Administrator УКЦ

Новые возможности

Что нового в версии 3.2.3

Что нового в версии 3.2.2

Что нового в версии 3.1

Совместимость ViPNet УКЦ версий 2.8.х и 3.2.х

Информация о внешних устройствах хранения данных

Обратная связь

Дополнительная информация

Контактная информация

Глава 1. Установка программы. Системные требования

Глава 2. Начало работы с программой

Первый старт и первичная инициализация программы УКЦ

Выбор типа источника данных

Назначение администратора сети ViPNet и создание ключей

Выбор алгоритма подписи и параметров ключа подписи

Преобразование баз данных предыдущей версии

Создание мастер-ключей

Завершение инициализации УКЦ

Ввод пароля администратора для входа в программу

Вход в УКЦ, настроенную для работы с SQL Server

Проверки, осуществляемые программой

Проверка событий (критических и рабочих) в программе при старте и в процессе работы

Проверка аномальных ситуаций

Глава 3. Основные действия администратора УКЦ

Создание ключевой информации при первоначальном развертывании сети......... Рекомендации по созданию ключевой информации в связи с изменением структуры сети

Создание ключей при изменениях в структуре своей сети

Создание ключей при установлении взаимодействия с доверенной сетью ViPNet, а также при внесении изменений в это взаимодействие

Когда создавать обновление ключей?

Действия при плановой смене мастер-ключей

Плановая смена мастер-ключей

Плановая смена межсетевого мастер-ключа

Действия при компрометациях ключей

События, квалифицируемые как компрометация ключей

Действия при компрометации ключей пользователя

Действия при компрометации ключей УКЦ

Кросс-сертификация

Организация распределенной системы доверительных отношений между УЦ

Организация иерархической системы доверительных отношений между УЦ

Глава 4. Основные функции программы УКЦ в рамках ключевого центра

Создание ключевой информации

Создание дистрибутивов ключей

Создание ключей узлов

Создание обновлений ключей

Создание ключей пользователей

Создание резервных наборов персональных ключей

Создание ключей при компрометациях

Действия с созданной ключевой информацией

Действия с ключами пользователей

Действия с ключами узлов и обновлениями ключей для СУ

Действия с созданными дистрибутивами ключей

Действия с резервными персональными ключами

Создание мастер-ключей

Смена мастер-ключей своей сети

Создание межсетевых мастер-ключей

Логика выбора межсетевого мастер-ключа

Экспорт и импорт межсетевых мастер-ключей

Экспорт межсетевых мастер-ключей

Импорт межсетевых мастер-ключей

Изменение статуса межсетевого мастер-ключа

Пароль администратора сетевых узлов

Cохранение паролей пользователей и администраторов сетевых узлов................. Смена паролей пользователей ViPNet

Глава 5. Основные функции программы УКЦ в рамках удостоверяющего центра......... Общая информация

Издание сертификатов

Мастер редактирования полей сертификата

Издание сертификатов пользователей сети ViPNet по инициативе администратора УКЦ

Издание (отклонение) сертификатов по запросам, поступившим с СУ пользователей сети ViPNet

Издание (отклонение) сертификатов по запросам, поступившим из ViPNet Registration Point

Отзыв сертификатов, приостановление действия сертификатов, возобновление действия сертификатов

По запросу из ViPNet Registration Point

По инициативе администратора УКЦ

Импорт сертификатов администраторов доверенных сетей ViPNet

Импорт списков отозванных сертификатов доверенных сетей ViPNet.................. Обновление списка отозванных сертификатов своей сети

Обработка запросов на кросс-сертификаты (в том числе запросов на сертификаты из подчиненных УЦ)

Издание кросс-сертификатов

Экспорт кросс-сертификатов

Просмотр запросов и сертификатов

Просмотр запросов на сертификат пользователей

Окно Запрос на сертификат

Просмотр сертификатов

Окно Сертификат

Просмотр списков отзыва сертификатов

Экспорт сертификатов

Печать сертификатов (информация для уполномоченного лица)

Registration Point

Пример распечатки сертификата

Проверка сертификатов

Публикация и прием опубликованных данных

Publication Service

Копирование данных для программы сервиса публикации

Прием данных из программы ViPNet Publication Service

Глава 6. Администраторы УКЦ. Изменение различных данных об администраторах УКЦ

Назначение (снятие) администраторов

Смена текущего администратора

Просмотр и изменение свойств администратора

Просмотр ключевого контейнера текущего администратора

Издание корневого сертификата текущего администратора

Создание запроса на кросс-сертификат к вышестоящему УЦ и установка изданного сертификата в иерархической системе доверительных отношений...... удостоверяющему центру

Ввод в действие кросс-сертификата, изданного в вышестоящем УЦ............. Импорт сертификатов администраторов вышестоящего УЦ

вышестоящему УЦ

Создание запроса на кросс-сертификат к другому УЦ в распределенной системе доверительных отношений

Создание запроса на кросс-сертификат и отправка его в другой УЦ............. Выбор текущего сертификата администратора

Смена пароля администратора

Окно Пароль администратора

Смена ключа защиты УКЦ

Смена ключевого носителя администратора

Глава 7. Экспорт межсетевых служебных данных

Глава 8. Проверка текущих данных

Глава 9. Создание и восстановление резервных копий конфигурации ViPNet УКЦ........ Общая информация

Создание резервной копии текущей конфигурации

Восстановление конфигурации

Редактирование списка резервных копий

Отмена последнего восстановления конфигурации

Глава 10. Просмотр журнала событий программы УКЦ

Глава 11. Настройка УКЦ

Папки ViPNet Администратора

Пароли

Случайные пароли

Пароли администраторов

Персональные ключи

Сертификаты

Срок действия

Список отозванных сертификатов

Шаблоны сертификатов

Создание шаблонов сертификатов

Мастер создания (редактирования) шаблона

Политики применения

Публикация

Точки распространения

Расширенная настройка параметров обновления СОС в точках распространения

Восстановление конфигурации

Журнал событий

Лицензионное ограничение

Ключевые диски Деловой сети РФ

Глава 12. Описание интерфейса программы УКЦ

Общая информация

Окна (папки) программы

Удостоверяющий центр

Сертификаты пользователей

Сертификаты администраторов

Запросы на сертификаты

Запросы на отзыв сертификатов

Списки отозванных сертификатов

Ключевой центр

Своя сеть ViPNet

Доверенные сети ViPNet

Администраторы

Описание свойств объектов ключевого центра

Свойства пользователя

Свойства сетевого узла

Свойства сетевой группы

Описание свойств запросов на кросс-сертификат

Описание окна Издание кросс-сертификатов

Описание окна Запрос на кросс-сертификат

Главное меню программы

Действия

Вид

Справка

Сервис

Панель инструментов

Приложение A. Глоссарий

Приложение B. Указатель

Введение ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора О документе В данном документе описывается назначение и применение программы ViPNet Удостоверяющий и ключевой центр (далее — УКЦ), основные возможности программы, подробное руководство по типовым действиям администратора УКЦ в различных ситуациях, а также полное описание интерфейса программы.

Прежде чем приступить к изучению данного руководства, рекомендуется ознакомиться еще с одним документом (входит в поставку ViPNet Administrator) — «ViPNet Administrator Центр управления сетью. Руководство администратора» (в частности:

Введение, 1, 4 и 6 главы). Эти главы позволят получить общее представление об основных понятиях и структуре сети ViPNet, а также о взаимодействии программ Центр управления сетью (ЦУС) и УКЦ.

Настоящий документ организован следующим образом:

Во введении содержатся общие сведения о программе УКЦ и ее назначении, совместимости программы версий 2.8 и 3.2, а также информация о тех возможностях ViPNet Administrator УКЦ, которые были реализованы в версиях 3.1 и 3.2.

Глава 1 содержит краткие рекомендации по установке ПО ViPNet Administrator и системные требования.

Подробную инструкцию по установке и запуску ViPNet Administrator читайте в отдельном документе «ViPNet Administrator. Инструкция по установке, запуску, удалению», входящем в установочный комплект.

Глава 2 описывает начало работы с программой ViPNet Administrator Удостоверяющий и ключевой центр — действия администратора как при первом запуске УКЦ, так и при последующих запусках, а также основные проверки, осуществляемые УКЦ при входе в программу.

Глава 3 содержит рекомендации и типовой порядок действий администратора УКЦ в различных ситуациях. Включает в себя:

Описание создания ключевой информации при первичном развертывании и изменении структуры сети.

Описание действий администратора при изменениях в структуре своей сети и установлении межсетевого взаимодействия с другой сетью, а также при внесении изменений в это взаимодействие.

Информацию о том, когда нужно формировать обновления ключей вместо формирования ключей узлов.

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Сведения о плановой смене различных мастер-ключей, в которые входят:

Пошаговая инструкция по смене основного мастер-ключа и обновлению Рекомендации по смене межсетевого мастер-ключа и обновлению ключевой Информацию о создании ключевой информации при ее компрометациях.

В главе 4 описываются основные действия администратора в программе УКЦ в качестве ключевого центра. Содержит:

Описание создания ключевой информации различного типа и дальнейшие действия с данной информацией.

Информацию о различных мастер-ключах и их создании, а также вводе в действие, экспорте и импорте межсетевых мастер-ключей.

Описание создания и смены пароля администратора сетевых узлов и групп сетевых узлов, действия по его просмотру и сохранению.

Глава 5 описывает основные действия администратора в программе УКЦ в качестве удостоверяющего центра. Включает в себя:

Сведения о различных способах издания сертификатов для пользователей сети ViPNet и внешних пользователей.

Сведения, необходимые администратору для отзыва, приостановления и возобновления действия сертификатов пользователей.

Описание импорта сертификатов администраторов и списков отозванных сертификатов (СОС) из доверенных сетей ViPNet.

Описание обновления СОС своей сети.

Описание обработки запросов на кросс-сертификаты.

Информацию о том, как можно осуществить просмотр запросов и сертификатов.

Сведения о возможностях публикации информации о СОС и сертификатах.

Глава 6 описывает:

Действия по назначению (снятию) администраторов.

Порядок смены текущего администратора.

Действия при просмотре и изменении данных администратора (просмотр ключевого контейнера, издание корневого сертификата администратора и запроса на сертификат во внешний УЦ, и т.д.).

Глава 7 описывает действия по экспорту межсетевых служебных данных.

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Глава 8 описывает, как проверить аномальные ситуации.

Глава 9 посвящена работе по созданию и восстановлению резервных копий конфигурации.

Глава 10 описывает журнал событий программы.

Глава 11 содержит описание настроек программы.

Глава 12 полностью описывает интерфейс программы.

Необходимая информация о внешних устройствах хранения данных, которые могут использоваться в ViPNet для записи и считывания различной информации (паролей, ключей и т.д.) приведена в разделе Информация о внешних устройствах хранения данных (на стр. 24).

Описание совместимости ViPNet УКЦ версий 2.8 и 3.2 и особенности перехода на версию 3.2 см. в разделе Совместимость ViPNet УКЦ версий 2.8.х и 3.2.х (на стр. 23).

Для кого предназначен документ Данный документ предназначен для администратора ViPNet Удостоверяющий и ключевой центр (см. «Администратор УКЦ»).

В руководстве содержится вся информация, необходимая администратору для настройки и использования программы.

Внимание! Администраторам, установившим версию 3.2 поверх версии 2.8, обязательно следует прочитать раздел Совместимость ViPNet УКЦ версий 2.8.х и 3.2.х (на стр. 23) перед выполнением каких-либо действий в УКЦ.

Соглашения документа Соглашения данного документа представлены в таблице ниже.

Таблица 1. Условные обозначения Указатель Описание Внимание! Указывает на обязательное для исполнения или следования ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Примечание. Указывает на необязательное, но желательное для исполнения или следования действие или информацию.

Совет. Содержит дополнительную информацию общего характера.

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Назначение программы ViPNet Administrator УКЦ ViPNet Удостоверяющий и ключевой центр — это административная программа, которая входит в ПО ViPNet Administrator. Удостоверяющий и ключевой центр по функциям условно можно разделить на два компонента: ключевой и удостоверяющий центры.

Ключевой центр (КЦ) предназначен для создания ключевой информации пользователя, на основе данных, поступающих из программы ViPNet Administrator Центр управления сетью. Созданные ключи передаются пользователям, после чего при наличии соответствующего ПО ViPNet пользователи сети могут безопасно обмениваться конфиденциальной информацией.

КЦ выполняет следующие основные задачи:

Создание ключей пользователей (см. «Ключи пользователя ViPNet»).

Создание ключей узлов (см. «Ключи узла ViPNet»).

Создание паролей.

Обновление ключей пользователей и узлов.

Удостоверяющий центр реализует следующие функции:

Издание сертификатов (см. «Выпуск (издание) сертификата»), отзыв (см. «Отзыв сертификата»), приостановление (см. «Приостановление действия сертификата») и возобновление приостановленного действия сертификатов пользователей, сформированных на узлах сети ViPNet или в ПО ViPNet Registration Point для внешних пользователей.

Отправка запроса и получение сертификата администратора из внешнего удостоверяющего центра, а также импорт и рассылка списков корневых сертификатов (см. «Корневой сертификат») внешних УЦ.

Создание запросов на издание кросс-сертификатов (см. «Кросс-сертификат») для внешних удостоверяющих центров; обработка запросов на кросс-сертификаты и издание кросс-сертификатов по запросам удостоверяющих центров как ViPNet, так и внешних.

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Возможность проверки сертификата открытого ключа (см. «Сертификат открытого ключа подписи пользователя») по заявлению пользователя.

УЦ обеспечивает возможность создания и сертификации открытых ключей подписи, созданных на базе алгоритма ГОСТ Р 34.10-2001. Параметры алгоритмов и их идентификаторы могут выбираться в соответствии с RFC 4357 — «Дополнительные криптографические алгоритмы для использования ГОСТ 28147-89, ГОСТ Р 34.10-94, ГОСТ Р 34.10-2001, ГОСТ Р 34.11-94.» («Additional Cryptographic Algorithms for Use with GOST 28147-89, GOST R 34.10-94, GOST R 34.10-2001, and GOST R 34.11- Algorithms»).

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Новые возможности Что нового в версии 3.2. В этом разделе представлен краткий обзор изменений и новых возможностей программы ViPNet Удостоверяющий и ключевой центр версии 3.2.3.

Изменены некоторые термины и соответствующие названия элементов интерфейса Ключевой диск (КД) Ключи пользователя ViPNet Ключевой набор (КН) Ключи узла ViPNet В связи с изменениями значительно переработан интерфейс программы.

Рисунок 1: Измененный интерфейс программы Также изменены названия пунктов главного и контекстных меню.

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Рисунок 2: Измененные названия пунктов меню Обновлена документация и справка В соответствии с заменой терминов обновилась справка и руководство администратора.

Что нового в версии 3.2. В этом разделе представлен краткий обзор изменений и новых возможностей программы ViPNet Удостоверяющий и ключевой центр версии 3.2.2.

Возможность работы с политиками применения Появилась возможность регистрации и добавления в сертификат или шаблон сертификата политики применения, содержащей сведения об авторских правах, политиках выдачи сертификатов, ограничениях ответственности и другие.

Рисунок 3: Возможность регистрации и добавления политики применения ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Также теперь с помощью специального расширения можно устанавливать соответствие между политиками применения разных удостоверяющих центров при издании кросс-сертификатов.

Рисунок 4: Возможность сопоставления политик применения Издание сертификатов по запросам из внешних приложений Реализована поддержка запросов на издание сертификатов в форматах PKCS#10 и CMC, что позволяет издавать сертификаты по запросам ViPNet CSP или других приложений.

Изменен порядок работы со списками отозванных сертификатов Формирование списка отозванных сертификатов (СОС) осуществляется для каждого сертификата издателя (корневого или подчиненного удостоверяющего центра), в то время как ранее список отозванных сертификатов мог соответствовать нескольким сертификатам. Обновление СОС производится администратором для соответствующего сертификата при наличии доступа к закрытому ключу.

Новые условия при обслуживании сертификатов и кросс-сертификатов Выполнять действия (отзыв, приостановление действия или возобновление приостановленного действия) с сертификатами пользователей сети ViPNet или внешних пользователей, а также отзывать изданные кросс-сертификаты администраторов других удостоверяющих центров, может тот администратор Удостоверяющего и ключевого центра, который является их издателем. При невыполнении данного условия появляется соответствующее уведомление.

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Рисунок 5: Сообщение о невозможности выполнения операции текущим администратором Поддержка бесконтактных карт Mifare Реализована поддержка электронных бесконтактных карт Mifare и Mifare Standart 4K в качестве внешних устройств хранения контейнеров (закрытого ключа и сертификата открытого ключа).

Новый тип точки доступа к публикуемым данным Для онлайн проверки статуса сертификатов создан новый тип точки распространения. Теперь в сертификаты пользователей добавляется расширение, содержащее информацию о сервере OSCP.

Рисунок 6: Использование нового типа точки распространения Улучшен внешний вид документации и справки Изменился шаблон документации и справки, частично переработана структура руководства администратора ViPNet Administrator Удостоверяющий и ключевой Что нового в версии 3. В этом разделе представлен краткий обзор изменений и новых возможностей программы ViPNet Удостоверяющий и ключевой центр версии 3.1.

Возможность создания иерархической системы доверительных отношений ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Реализована возможность построения иерархической системы удостоверяющих центров ViPNet (см. «Организация иерархической системы доверительных отношений между УЦ» на стр. 81).

Изменился срок действия закрытого ключа подписи и сертификата открытого Разделены сроки действия закрытого ключа подписи и соответствующего сертификата открытого ключа. Теперь срок действия закрытого ключа пользователя и уполномоченного лица удостоверяющего центра составляет 1 год, максимальный срок действия сертификата увеличен до 5 лет. При истечении срока действия закрытого ключа появляется соответствующее уведомление. При истечении срока действия закрытого ключа на момент создания запроса на сертификат сообщается, что запрос не будет подписан и его корректность должен подтвердить администратор удостоверяющего центра. В программе ViPNet Удостоверяющий и ключевой центр такие запросы исключаются из автоматической обработки и издание сертификатов по данным запросам возможно только в ручном режиме.

Другая процедура создания запроса на кросс-сертификат Изменился процесс создания запросов на кросс-сертификаты. Мастер создания запроса на кросс-сертификат теперь можно вызвать из контекстного меню при выборе текущего администратора.

Рисунок 7: Измененный интерфейс при создании запроса на кросс-сертификат Ограничение на функционирование программы в части удостоверяющего центра ViPNet ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Реализовано лицензионное ограничение на работу программы ViPNet Удостоверяющий и ключевой центр как удостоверяющего центра. При отсутствии лицензий на издание сертификатов в программе не будет отображаться раздел Удостоверяющий центр и другие элементы интерфейса.

Дополнительные возможности при работе с запросами Добавлены возможности просмотра, удаления и повторного экспорта запросов на издание сертификатов к вышестоящему удостоверяющему центру.

Формирование набора назначений при издании сертификата Появилась возможность при издании сертификатов задавать произвольный набор назначений, соответствующий выбранному типу сертификата (см. Мастер редактирования полей сертификата (на стр. 132)).

Возможность изменения данных пользователя при издании сертификата Реализована возможность редактирования дополнительных полей имени пользователя при издании сертификата (фамилия, имя, инициалы и др.).

Использование шаблонов для распечатки сертификатов Созданы шаблоны для распечатки сертификатов в установленном формате (файлы cert_title.rtf и cert_signatures.rtf). Теперь можно осуществлять редактирование шаблонов, указывать названия удостоверяющего центра или ViPNet Registration Point, а также имена владельца сертификата и уполномоченного лица.

Возможность автоматического обновления ключей Реализована возможность автоматического создания обновлений ключей в соответствии с указанным периодом. Период создания можно задать в настройках программы с помощью соответствующей опции. При включении данной опции Удостоверяющий и ключевой центр в течение заданного периода проверяет наличие файлов, принятых из Центра управления сетью, и в случае их наличия формирует обновление ключей.

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Рисунок 8: Возможность автоматического обновления ключей Возможность изменения цепочки сертификации Появилась возможность при создании запроса на кросс-сертификат редактировать длину пути для цепочки сертификатов.

Обновлена документация и справка ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Совместимость ViPNet УКЦ версий 2.8.х и 3.2.х В УКЦ версии 3.2.х вся ключевая информация для пользователей и СУ имеет новый формат, поэтому следует учесть некоторые особенности при переходе на данную версию с версии 2.8.х. Версия 3.2.х имеет ряд принципиальных отличий от данной версий.

Основные отличия заключаются в следующем:

Изменена ключевая структура и форматы хранения ключевой информации на СУ и в ключевом центре.

Формат исходящих пакетов в драйвере 4.1, формат пакета 4.0 используется только для входящих пакетов. Таким образом, связь с версиями 2.7 и ниже невозможна.

Изменен формат хранения данных в УКЦ.

Изменен формат открытого ключа асимметричных ключей шифрования (АКШ) и порядок рассылки АКШ.

В связи с этим полной совместимости версий нет, особенно в части подписи сообщений и обмена АКШ. В части шифрования и работы УКЦ и межсетевого взаимодействия совместимость достигается при соблюдении правил перехода на новую версию. Порядок и особенности обновления ПО ViPNet УКЦ с версии 2.8.х и выше на версию 3.2.х аналогичны обновлению данного ПО с версии 2.8.х до версии 3.1.х. Подробную информацию о данном обновлении можно узнать в документе «Обновление ПО ViPNet Administrator с версий 2.8.х до версий 3.1.х».

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Информация о внешних устройствах хранения данных В ПО ViPNet для записи и считывания персональной информации (паролей, ключей и т.д.) имеется возможность использовать различные внешние устройства хранения данных (аппаратные носители).

Ниже в таблице перечислены устройства и ключи, с которыми может работать ПО ViPNet. Приведенная таблица содержит следующие данные:

в колонке Тип устройства представлены все типы устройств считывания, доступные для выбора в ПО ViPNet;

в колонке Тип ключа представлены типы ключей, используемые для данных устройств;

в колонке Необходимые условия работы с ключом описаны необходимые условия и важные моменты для использования каждого ключа;

в колонке содержится информация о поддержке стандарта PKCS#11.

Примечание. Стандарт PKCS#11 (также известный как Cryptoki) — один из стандартов семейства PKCS (Public Key Cryptography Standards — криптографические стандарты открытого ключа), разработанных компанией RSA Laboratories. Стандарт определяет независимый от платформы интерфейс API для работы с криптографическими устройствами идентификации и хранения данных.

Aladdin ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора iButton iButton (Dallas) Smartcard Athena SmartCard RIK

ПСКЗИ ШИПКА

Shipka ruToken ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора ruTokenECP Аккорд-5МХ Siemens CardOS Siemens Mifare Rosan Mifare Mifare Mifare 4K Standard4K ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Внимание! Хранение ключевой информации нескольких пользователей на одном устройстве невозможно. Перед записью ключевой информации на устройство, убедитесь, что устройство отформатировано. Однако хранение ключей подписи нескольких пользователей на одном устройстве возможно.

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Обратная связь Дополнительная информация Сведения о продуктах и решениях ViPNet, распространенные вопросы и другая полезная информация собраны на сайте компании «Инфотекс». По предложенным ссылкам можно найти ответы на многие вопросы, возникающие в процессе эксплуатации продуктов ViPNet.

Описание комплекса ViPNet CUSTOM http://www.infotecs.ru/products/line/custom.php.

Сборник часто задаваемых вопросов (FAQ) http://www.infotecs.ru/support/faq/.

Законодательная база в сфере защиты информации http://www.infotecs.ru/laws/.

Информация о решениях ViPNet http://www.infotecs.ru/solutions/vpn/.

Контактная информация С вопросами по использованию продуктов ViPNet, пожеланиями или предложениями свяжитесь со специалистами компании «Инфотекс». Для решения возникающих проблем обратитесь в службу технической поддержки.

Электронный адрес службы поддержки [email protected].

Форма запроса по электронной почте в службу поддержки http://www.infotecs.ru/support/request/.

Форум компании «Инфотекс» http://www.infotecs.ru/forum.

8 (495) 737-6196 — «горячая линия» службы поддержки.

8 (800) 250-0260 — бесплатный звонок из любого региона России (кроме Москвы).

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Установка программы.

Системные требования Установка Удостоверяющего и ключевого центра производится с помощью программы ViPNet Administrator, которая при необходимости также позволяет установить на компьютер и Центр управления сетью.

Минимальные требования к аппаратным средствам для установки ПО ViPNet Administrator Удостоверяющий и ключевой центр следующие:

Процессор — не менее Pentium IV.

ОЗУ — не менее 256 Мбайт.

Не менее 1 Гбайта свободного места на жестком диске.

Операционная система — Windows XP SP3 (32 бит)/Server 2003 (32 бит)/ Vista SP (32/64 бит)/Server 2008 (32/64 бит)/Windows 7 (32/64 бит)/Server 2008 R2 (64 бит).

Для установки программы ViPNet Удостоверяющий и ключевой центр двойным щелчком запустите программу установки setup.exe и следуйте указаниям мастера установки. По завершении выполните установку программы ViPNet Client. Подробную информацию по установке, первоначальному запуску ViPNet Administrator и подготовке ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора рабочего места администратора см. в документе «ViPNet Administrator. Инструкция по установке, запуску, удалению».

Удостоверяющий и ключевой центр поддерживает работу различных внешних устройств хранения данных. Для использования какого-либо внешнего устройства необходимо подключить и установить драйверы этого устройства. Перечень доступных устройств хранения данных и полезная информация об использовании устройств содержится в разделе Информация о внешних устройствах хранения данных (на стр. 24).

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Начало работы с программой ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Первый старт и первичная инициализация программы УКЦ Для запуска программы УКЦ выполните одно из действий:

В меню Пуск выберите пункт Программы, затем ViPNet, затем Administrator и щелкните ViPNet Удостоверяющий и ключевой центр.

При установке путь к программе в меню Пуск мог быть изменен.

Дважды щелкните значок на Рабочем столе (этот значок отображается, только если при установке программы была выбрана соответствующая опция).

Запустите файл KeyCenter.exe (по умолчанию он находится в папке C:\Program Files\ViPNet\ViPNet Administrator\KC).

При первом старте программы будут автоматически созданы необходимые папки для работы УКЦ. Имена некоторых из них позднее можно будет настроить, если выбрать пункт меню Сервис > Настройка (см. «Настройка УКЦ» на стр. 231).

Перечислим наиболее значимые папки, создаваемые программой при первом старте и в процессе работы:

— папка для хранения файла с паролем для входа в программу УКЦ, информации о пользователях, для которых были созданы ключи пользователя др.

/MASTERS — папка для резервных наборов персональных ключей.

/ARCHIVES /EXPORT — папка для экспорта межсетевых мастер-ключей (см. «Межсетевой мастер-ключ»).

— папка для импорта межсетевых мастер-ключей.

— папка для упакованных ключей пользователей (см. «Ключи /KEYKEYKE пользователя ViPNet») и ключей узлов (см. «Ключи узла ViPNet»).

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора — папка для файлов связей пользователей и СУ из ЦУС, предназначенных FROM_NCC для УКЦ (имя папки можно изменить, выбрав пункт меню Сервис > Настройка).

— папка для файлов, подлежащих отправке в ЦУС (имя папки можно изменить, выбрав пункт меню Сервис > Настройка).

При первом старте программы производится первичная инициализация УКЦ. Для этого будет запущен Мастер первичной инициализации Удостоверяющего и ключевого центра. Для работы мастера требуется наличие файлов из программы ЦУС. Используя эти файлы, мастер создаст начальную ключевую информацию для работы программы УКЦ.

В результате работы мастера будут созданы:

Персональный ключ защиты администратора.

Пароль администратора УКЦ.

Ключ защиты УКЦ (на стр. 314).

Ключ подписи и сертификат администратора.

Мастер-ключи:

Мастер-ключ персональных ключей.

Мастер-ключ ключей защиты.

Мастер-ключ ключей обмена.

Межсетевой асимметричный мастер-ключ (сформируется, если будет выбрана соответствующая опция).

Внимание! При установке УКЦ 3.2 на существующие базы действующей сети (с версией КЦ ниже 3.0) будет осуществлено преобразование ключевой информации к формату версии 3.0. Преобразование производится при первом запуске УКЦ (о чем сообщит программа (см. «Преобразование баз данных предыдущей версии»

на стр. 50)), или путем импорта такой информации по завершении первичной ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Рисунок 9: Запуск мастера первичной инициализации Для продолжения нажмите кнопку Далее и следуйте указаниям мастера.

Выбор типа источника данных Откроется окно Выбор драйвера ODBC (Open Database Connectivity) для выбора драйвера, необходимого для доступа к источникам данных, которые нужны для работы.

Примечание. Open Database Connectivity (ODBC) — это стандартное API (application programming interface) для обеспечения доступа к различным источникам данных.

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Рисунок 10: Выбор драйвера Выберите драйвер ODBC для работы с базой данных УКЦ: Microsoft Access Driver или SQL Server. При выборе SQL Server и нажатии кнопки Далее откроется окно мастера для задания сервера SQL, на который будет установлена база данных УКЦ. При выборе Microsoft Access Driver (*.mdb) откроется окно Папки Удостоверяющего и ключевого центра.

В этом и во всех остальных окнах, описанных ниже, можно нажать кнопку Назад для возвращения к предыдущему окну или кнопку Отмена для отмены работы мастера.

Рисунок 11: Выбор сервера ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора В этом окне из выпадающего списка под заголовком Укажите SQL сервер, на который будет установлена база данных УКЦ выберите (или введите) сервер для работы.

После выбора сервера нажмите Далее. Откроется окно мастера для задания типа проверки подлинности пользователя на SQL сервере.

Рисунок 12: Выбор типа проверки при подключении к серверу В этом окне мастера выберите тип проверки подлинности пользователя:

По сетевому имени пользователя Windows NT.

По имени и паролю пользователя SQL сервера (при этом выборе нужно ввести имя и пароль пользователя).

После ввода данных для проверки подлинности пользователя нажмите кнопку Далее.

После нажатия кнопки произойдет проверка подлинности (в это время программа попросит подождать). После успешной проверки и успешного создания базы данных откроется окно мастера с сообщением об успешном создании базы данных УКЦ на SQL сервере. Для продолжения нажмите кнопку Далее. Откроется окно Папки Удостоверяющего и ключевого центра.

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Рисунок 13: Результат создания базы данных Если не удастся подключиться к серверу или создание базы данных будет неуспешным, то в поле отчета будет содержаться сообщение об ошибке с разъяснением того, что именно явилось причинами неуспеха. При этом кнопка Далее будет недоступной. Можно вернуться назад и попытаться, например, выбрать другой SQL сервер или проверить имя введенного ранее сервера.

Если для размещения базы данных УКЦ выбран SQL Server, то при каждом последующем запуске УКЦ будет происходить проверка соединения с SQL Server, на котором была развернута база данных УКЦ. В случае возникновения каких-либо проблем с сервером, вам будет предложено изменить настройки подключения к базе данных (подробнее см. Вход в УКЦ, настроенную для работы с SQL Server (на стр. 56)).

При успешном создании базы (после нажатия кнопки Далее в окне Создание базы данных) откроется окно Папки Удостоверяющего и ключевого центра.

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Рисунок 14: Указание папок Удостоверяющего и ключевого центра В этом окне производится настройка рабочих папок УКЦ:

Папка для приема файлов из ЦУС – в эту папку поступают все файлы из программы ЦУС, необходимые для создания различной ключевой и удостоверяющей информации в УКЦ (по умолчанию FROM_NCC, папка находится на том же уровне, что и папка установки УКЦ). При изменении этой папки следует учитывать, что в настройках аналогичной папки в ЦУС, должна быть указана эта же Папка для отправки файлов в ЦУС – в эту папку попадают все файлы, созданные ключевым центром для отправки на сетевые узлы из программы ЦУС (по умолчанию FOR_NCC). При изменении этой папки следует учитывать, что в настройках аналогичной папки в программе ЦУС, должна быть указана эта же Рабочая папка – по умолчанию это папка установки УКЦ (папка, где располагаются базы данных программы). Данный параметр предназначен для гибкого и быстрого перехода в УКЦ, установленный ранее в другую папку (даже на другой машине). Если при выборе папки (с ранее установленным УКЦ) в указанной папке Рабочая папка будут обнаружены базы данных УКЦ, то программа предложит перейти к вводу пароля для входа в УКЦ (см. «Ввод пароля администратора для входа в программу» на стр. 55).

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Совет. Рекомендуется оставить папки, предложенные программой по умолчанию.

Для продолжения нажмите кнопку Далее. Мастер первичной инициализации продолжит свою работу только после того, как в соответствующую папку (по умолчанию это FROM_NCC) будут помещены сформированные программой ЦУС необходимые файлы – справочники. Откроется окно Назначение администратора сети ViPNet. Если программа обнаружит, что необходимых файлов из программы ЦУС нет, то появится сообщение с просьбой скопировать данные файлы.

Назначение администратора сети ViPNet и создание ключей В данном окне назначьте администратора сети ViPNet (см. «Администратор сети ViPNet»).

Рисунок 15: Выбор администратора сети ViPNet Для этого из списка под заголовком Администратор выберите пользователя, которого хотите назначить администратором. Список содержит всех пользователей сети, информация о которых есть на данный момент в базе данных УКЦ. Для продолжения работы нажмите кнопку Далее. Откроется окно Владелец сертификата.

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Рисунок 16: Заполнение сведений о владельце В этом окне можно ввести различные сведения о владельце сертификата, то есть сведения о пользователе, назначаемом на должность администратора. В поле Имя уже будет подставлено имя пользователя, заданное в ЦУС. Можно отредактировать данное имя.

Если нужно использовать имя в качестве псевдонима, то установите флажок Использовать имя в качестве псевдонима. Имя является обязательным полем, которое должно быть задано. Далее можно заполнить поля по желанию. Можно задать, дополнительно неструктурированное имя в поле с одноименным названием (можно задать любые символы, длина поля ограничена 255 символами).

Для продолжения нажмите кнопку Далее, откроется следующее окно Владелец сертификата, в котором можно по желанию указать сведения о местонахождении владельца сертификата.

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Рисунок 17: Заполнение сведений о местонахождении владельца Например, можно указать страну либо вручную, либо воспользоваться кнопкой выбора. Откроется окно Выберите страну. Выбрав страну, нажмите OK.

Рисунок 18: Выбор страны Для продолжения первичной инициализации нажмите кнопку Далее, откроется окно Параметры ключа подписи.

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Рисунок 19: Выбор параметров ключа подписи В этом окне можно выбрать алгоритм подписи, параметры алгоритма и длину открытого ключа подписи. Подробнее о параметрах, их описании и выборе см. в таблице ниже.

Выбор алгоритма подписи и параметров ключа подписи Таблица 2. Характеристики алгоритма ГОСТ Р 34.10- Совет. Рекомендуется использовать параметры алгоритма, предлагаемые по умолчанию. Данные параметры характеризуются наибольшей скоростью ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора После выбора необходимых параметров, для продолжения нажмите кнопку Далее, откроется окно Срок действия сертификата.

Рисунок 20: Указание срока действия сертификата В этом окне укажите срок действия сертификата выбранного администратора, установив переключатель в одно из трех положений. По умолчанию срок действия сертификата администратора составляет 6 лет и является максимальным сроком действия.

Минимальный срок действия составляет 1 год. Существует три способа задания срока действия сертификата, а именно:

С настоящего момента – указывается продолжительность срока действия в месяцах с данного момента времени.

С настоящего момента до – указываются дата и время окончания срока действия сертификата.

Действителен – указываются дата и время начала и окончания срока действия сертификата (эта опция указывается по умолчанию).

После указания срока действия нажмите кнопку Далее для продолжения. Откроется окно Место хранения ключа подписи и ключа защиты УКЦ.

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Рисунок 21: Выбор места хранения контейнеров ключей Ключ подписи и ключ защиты УКЦ будут сохранены в защищенных контейнерах.

Выберите тип контейнера — файл или внешнее устройство хранения данных. После выбора нажмите кнопку Далее. Откроется окно для указания места хранения контейнеров ключа подписи и ключа защиты.

Рисунок 22: Указание папки хранения контейнера Закрытый ключ администратора должен храниться только на отчуждаемом (относительно рабочего места) носителе ключевой информации. В связи с этим, при ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора выборе типа контейнера В файле, в качестве носителя ключевой информации должна быть указана папка ключевого диска или иного съемного носителя информации.

Укажите либо папку на диске, либо внешнее устройство из списка установленных внешних устройств хранения данных (в этом случае не забудьте обеспечить контакт ключа с выбранным устройством). Для указания внешнего устройства выберите доступный считыватель и устройство, а также при необходимости введите ПИН.

Подробную информацию о поддерживаемых внешних устройствах хранения данных и особенностях работы с ними см. в разделе Информация о внешних устройствах хранения данных (на стр. 24).

Нажмите кнопку Далее. Откроется окно Пароль администратора сети ViPNet для определения типа пароля для защиты закрытого ключа.

Рисунок 23: Создание пароля администратора сети ViPNet В этом окне для выбора типа пароля установите переключатель в одно из следующих положений:

Собственный пароль – пароль задается по желанию из любых символов, но не менее 6 символов.

Cлучайный пароль – пароль будет создан случайным образом на основе парольной фразы из различных слов в соответствии с настройками.

Случайный цифровой пароль – пароль будет создан случайным образом из различных цифр в соответствии с настройками.

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Нажмите кнопку Далее. Откроется окно для задания пароля в зависимости от выбранного типа пароля (номера соответствующих рисунков указаны в скобках у каждого типа пароля).

При выборе задания собственного пароля появится окно Собственный пароль.

Рисунок 24: Ввод собственного пароля В поле Введите пароль укажите пароль и подтвердите его в строке для подтверждения пароля.

При выборе создания случайного пароля (с парольной фразой) будет запущена электронная рулетка.

Рисунок 25: Электронная рулетка ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Выполните действия, предлагаемые в окне Электронная рулетка. После окончании работы электронной рулетки появится окно с паролем и фразой (или двумя фразами) для запоминания.

Рисунок 26: Результат создания случайного пароля на основе парольной фразы Случайный пароль на основе парольной фразы (см. «Парольная фраза») будет представлен в виде символов латинского регистра, соответствующих первым буквам слов парольной фразы, предназначенной для запоминания пароля. Кроме того, ниже пароля на экран будет выдана сама парольная фраза.

Примечание. При самом первом запуске программы параметры для создания случайного пароля устанавливаются по умолчанию: число парольных фраз равно 1, парольная фраза состоит из 4 слов и для пароля берутся по 3 начальные буквы из каждого слова, а язык — русский (если версия программы — русская). Для цифрового пароля — 6 цифр.

При выборе создания случайного цифрового пароля появится окно с цифровым паролем.

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Рисунок 27: Результат создания случайного цифрового пароля Для создания другого случайного или случайного цифрового пароля воспользуйтесь кнопкой Другой, которую можно использовать неограниченное число раз).

Для изменения параметров создания случайного пароля воспользуйтесь кнопкой Свойства. Откроется окно для настройки случайного пароля.

В окне Свойства случайных паролей можно настроить следующие параметры пароля:

Для случайного пароля на основе парольной фразы:

Язык – возможность выбора английского или русского словаря для создания пароля (по умолчанию выбран русский);

Слов в парольной фразе (3, 4, 6, 8) – из скольких слов будет состоять парольная фраза (по умолчанию – 4); при выборе 3 или 4 формируется одна парольная фраза, при выборе 6 или 8 формируются 2 парольные фразы.

Используемых букв (3, 4) – сколько букв от каждого слова парольной фразы будет использоваться для пароля (по умолчанию – 3);

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора В поле Длина пароля отображается подсчитанное программой количество символов в пароле при заданных выше настройках.

Рисунок 28: Настройка параметров случайного пароля на основе парольной фразы Для случайного цифрового пароля:

Количество цифр – из скольких цифр будет состоять пароль (по умолчанию Рисунок 29: Настройка параметров случайного цифрового пароля После завершения настроек нажмите кнопку OK для их сохранения.

После задания собственного или создания случайного пароля нажмите кнопку Далее.

Откроется окно готовности к созданию запроса на сертификат, отображающее все параметры сертификата и пароль, заданные ранее.

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Рисунок 30: Создание запроса на сертификат Данная информация должна быть обязательно сохранена в файл (кнопка Сохранить в файл) или распечатана (Печать). Для этого установите переключатель в соответствующее положение и нажмите кнопку Далее.

При установке новой версии УКЦ поверх предыдущей (ниже 3.0) откроется окно Базы данных предыдущей версии УКЦ (см. «Преобразование баз данных предыдущей версии» на стр. 50).

При создании новой сети откроется окно Создание мастер-ключей (на стр. 51).

Преобразование баз данных предыдущей версии Для того, чтобы ключевая информация предыдущей версии была преобразована в ключевую информацию, соответствующую формату версии 3.0, нужно включить флажок опции Перенести ключевую информацию из обнаруженной базы данных в новую и ввести пароль в для входа в УКЦ или КЦ, который использовался до установки новой версии.

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Рисунок 31: Перенос базы данных предыдущей версии УКЦ Внимание! Без переноса ключевой информации из старой базы данных в новую удаленное обновление ключевой информации на сетевых узлах будет невозможно, что может привести к нарушению работоспособности сети.

Нажмите кнопку Далее для продолжения. Откроется окно Создание мастер-ключей.

Создание мастер-ключей В этом окне отображены все мастер-ключи и их номера, которые будут созданы мастером первичной инициализации. Если включить опцию Создать асимметричный межсетевой мастер-ключ, то сформируется ключевая пара асимметричного мастер-ключа для последующего экспорта в доверенные сети.

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Рисунок 32: Создание мастер-ключей Примечание. Если ранее было выполнено преобразование баз данных предыдущей версии (на стр. 50), то УКЦ преобразует и сохранит предыдущую версию мастера персональных ключей для последующего корректного дистанционного обновления ключей пользователей.

Нажмите кнопку Далее для продолжения.

Завершение инициализации УКЦ Откроется окно Завершение инициализации Удостоверяющего и ключевого центра, и начнется процесс создания первичной ключевой информации. В процессе работы запустится электронная рулетка (см. рисунок на стр. 46). Выполните действия, предлагаемые в окне Электронная рулетка.

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Рисунок 33: Завершение первичной инициализации После создания ключевой информации окно Завершение инициализации Удостоверяющего и ключевого центра будет содержать отчет о результатах работы мастера первичной инициализации. В окне будут перечислены все действия мастера и результат их выполнения: значок означает, что действие выполнено успешно. При неуспешном выполнении значок будет. Об успешном или неуспешном выполнении инициализации программа сообщит в этом окне.

Если все действия успешно выполнились, то название кнопки Далее поменяется на Готово, и она станет доступной. Нажмите ее для завершения первичной инициализации.

При неуспешном выполнении и при нажатии на кнопку Отмена программа выдаст сообщение о неуспешной попытке войти в программу.

При нажатии на кнопку Готово откроется главное окно программы УКЦ, и администратор может начать работу с программой.

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Рисунок 34: Главное окно программы Внимание! Пароль администратора забывать нельзя, иначе администратор не сможет войти в систему. Если к этому моменту он не успеет делегировать свои полномочия другому администратору (см. «Назначение (снятие) администраторов» на стр. 181), то потребуется полная смена мастер-ключей, а значит и всех ключей в системе.

Примечание. Все настройки параметров паролей, произведенные в мастере первичной инициализации, будут использоваться программой по умолчанию для создания паролей других пользователей. Для изменения параметров создания паролей нажмите кнопку Настройка на панели инструментов и измените настройки (см. «Настройка УКЦ» на стр. 231).

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Ввод пароля администратора для входа в программу Ввод пароля администратора может понадобиться в следующих ситуациях:

Вход в программу не в первый раз (то есть все повторные запуски программы после ее инициализации).

Смена текущего администратора во время работы программы (вводится пароль администратора, назначаемого текущим администратором).

Во всех этих случаях на экране появится приглашение ввести пароль администратора УКЦ.

Рисунок 35: Ввод пароля для входа в программу При повторном входе в программу нужно выбрать имя администратора (из ранее назначенных администраторов при первичной инициализации (см. «Первый старт и первичная инициализация программы УКЦ» на стр. 32) и при последующем добавлении (см. «Назначение (снятие) администраторов» на стр. 181)) из списка администратор и ввести пароль этого администратора в поле Пароль. Далее нажать OK.

Если путь к ключам администратора был изменен, или они хранятся на каком-либо внешнем устройстве, то воспользуйтесь кнопкой Параметры. Ниже в окне ввода пароля откроется дополнительное окно Устройство хранения ключей, где можно выбрать место хранения ключей администратора: либо на диске, либо на внешнем устройстве (нажатие кнопки Параметры закрывает это дополнительное окно).

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Рисунок 36: Ввод пароля с использованием устройства хранения ключей Установите переключатель в нужное положение (Папка или Устройство) и:

в случае выбора опции Папка укажите папку для хранения ключей администратора в случае выбора опции Устройство выберите считыватель и имя установленного устройства хранения данных, возможно понадобится ввести ПИН–код к устройству.

Обеспечьте контакт ключа, на котором записаны ключи администратора, с этим устройством.

Подробную информацию о поддерживаемых внешних устройствах хранения данных и особенностях работы с ними см. в разделе Информация о внешних устройствах хранения данных (на стр. 24).

Новое место хранения ключей администратора будет сохранено программой и при следующем старте его указывать не нужно.

При смене текущего администратора нужно только ввести пароль нового текущего администратора.

Вход в УКЦ, настроенную для работы с SQL Server В случае использования SQL Server для хранения базы данных УКЦ:

Данные для установки соединения с SQL сервером, который был указан при первичной инициализации (см. «Выбор типа источника данных» на стр. 34), хранятся в файле sqllogininfo.dat. Вся информация, хранящаяся в этом файле, ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора зашифрована на ключе УКЦ и поэтому не может быть прочитана сторонними приложениями.

Каждый раз при запуске УКЦ после ввода пароля администратора, на основе данных sqllogininfo.dat, будет производиться проверка соединения с указанным SQL сервером.

В случае ошибки при проверке соединения будет отображено диалоговое окно Подключение к SQL Server.

Рисунок 37: Подключение к SQL серверу Ошибки при проверке соединения могут появляться в следующих случаях:

выбранный на этапе первичной инициализации SQL сервер не доступен;

на выбранном SQL сервере изменились учетные данные пользователя, имеющего доступ к базе УКЦ;

изменились настройки проверки подлинности SQL Server;

изменились настройки подключения к SQL Server;

изменился IP адрес или имя SQL Server;

удален или поврежден файл sqllogininfo.dat;

в других случаях.

Чтобы изменить настройки подключения к SQL Server в случае ошибок при проверке соединения:

В диалоговом окне Подключение к SQL серверу, в списке Сервер, выберите или укажите SQL сервер, на котором была развернута база данных УКЦ.

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Выберите режим проверки подлинности при подключении к серверу.

При выборе режима По имени пользователя и паролю SQL сервера, в полях Имя и Пароль укажите имя и пароль пользователя SQL сервера соответственно.

Выбранный пользователь должен иметь соответствующие права на работу с базой данных УКЦ.

Нажмите кнопку Проверить подключение. Если подключение к указанному SQL серверу было выполнено успешно, кнопка OK станет активной. В противном случае, измените настройки подключения и нажмите кнопку Повторить подключение еще раз.

Нажмите кнопку OK. В файл sqllogininfo.dat будут записаны изменившиеся настройки подключения к SQL серверу.

Внимание! В случае возникновения проблем с подключением к SQL серверу, не пытайтесь устранить их самостоятельно, обратитесь к администратору используемого SQL сервера.

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Проверки, осуществляемые программой После ввода пароля администратора программа автоматически делает проверку различных событий. Все события, которые проверяются программой, делятся на следующие:

Критические — события, при наступлении которых программа не может продолжать свою работу и закрывается.

Рабочие — события, при свершении которых администратор УКЦ может или должен предпринимать или не предпринимать какие-то определенные действия.

Аномальные — действия администратора по отношению к аномальным событиям те же, что и по отношению к рабочим.

Критические и рабочие события проверяются программой при старте и в процессе работы автоматически. Аномалии проверяются при старте, а в процессе работы программы их можно проверить, если выбрать пункт главного меню программы Сервис > Проверка текущих данных (см. «Проверка текущих данных» на стр. 217).

Проверка событий (критических и рабочих) в программе при старте и в процессе работы Как было отмечено выше, критические и рабочие события проверяются программой при старте и в процессе работы автоматически. Перечислим проверки этих событий и действия программы в ответ на эти события:

Проверяется целостность всех исполняемых модулей программы и лицензионного файла infotecs.re. Искажение этих данных относится к критическому виду события. Контроль целостности осуществляется путем вычисления имитозащитной вставки для каждого из исполняемых модулей. При обнаружении искажений программа сообщает о найденном несоответствии и завершает свою работу. В этом случае администратор должен поставить в известность должностное лицо, ответственное за безопасность эксплуатации сети ViPNet, выявить причины, приведшие к появлению искажений и устранить их. Особое внимание следует уделить исключению возможностей несанкционированного доступа к компьютеру и ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора умышленного искажения файлов. Восстановление работоспособности программы в данном случае возможно только путем переустановки ПО.

Проверяется наличие ключа подписи и действительного сертификата администратора, целостность и действительность действующего списка отозванных сертификатов (см. «Список отозванных сертификатов (СОС)»). При обнаружении искажений программа сообщает об ошибке инициализации ключей подписи администратора. В этом случае все операции с сертификатами (издание, отзыв, импорт и т. д.) будут либо недоступны, либо приводить к ошибкам. Вместе с тем функциональность программы как ключевого центра будет полностью доступна.

При обнаружении подобных ошибок администратор обязан выявить причины их возникновения. Устранение подобных ошибок возможно либо путем восстановления баз данных УКЦ из архива, либо путем переиздания корневого сертификата администратора (см. «Корневой сертификат»).

Ряд других проверок на наличие искажений сертификатов администраторов доверенных сетей ViPNet, информации о пользователях и сетевых узлах сети, межсетевых мастер-ключей и др. производится по мере обращения к соответствующей информации в процессе работы. При обнаружении подобных искажений программа сообщит об ошибке, и выполнение ряда операций в УКЦ будет невозможно до устранения неполадок.

Проверяется количество лицензий по файлу infotecs.re. Количество сертификатов, которое может издать УКЦ, ограничивается лицензионным файлом. В настройках УКЦ (см. «Настройка УКЦ» на стр. 231) можно указать количество сертификатов, которое осталось до достижения лимита, указанного в лицензии, и настроить выдачу соответствующего предупреждающего сообщения:

Если в папке FROM_NCC есть файлы сертификатов администраторов из доверенных сетей ViPNet, то будет предложено их импортировать (см. «Импорт сертификатов администраторов доверенных сетей ViPNet» на стр. 148).

Если в папке FROM_NCC есть файлы с запросами пользователей, созданными самими пользователями на сетевом узле или запросы внешних пользователей, то будет предложено их обработать (см. «Издание сертификатов» на стр. 131).

Если в папке FROM_NCC появятся файлы с новыми вариантами СУ из доверенных сетей ViPNet, то программа выдаст сообщение о том, что нужно создать ключи узлов, связанных с узлами другой сети, варианты которых изменились.

Проверяется наличие файлов для импорта. Предлагается импортировать их немедленно. При отказе объекты для импорта перемещаются в папку Входящие.

Проверяются и удаляются незарегистрированные в ЦУС пользователи.

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Проверка аномальных ситуаций Текущие данные программы проверяются на наличие аномальных ситуаций при старте программы автоматически, а в процессе работы их можно проверить, если выбрать пункт главного меню программы Сервис > Проверка текущих данных. Перечислим проверки на наличие аномальных ситуаций:

Проверяются срок действия последнего сформированного закрытого ключа и срок действия соответствующего ему сертификата для каждого пользователя. Если осталось дней меньше или столько, сколько указано в настройке (см. «Настройка УКЦ» на стр. 231), то программа сообщит о том, что истекает срок действия последнего сформированного закрытого ключа или соответствующего ему сертификата для таких-то пользователей, и выводится их список.

Проверяется срок действия последнего сформированного закрытого ключа и срок действия соответствующего ему сертификата для каждого пользователя, и, если этот срок уже истек, то выдается соответствующее сообщение, и выводится список с пользователями, у которых истек срок последнего сформированного закрытого ключа или соответствующего ему сертификата. Для таких пользователей рекомендуется сформировать новые ключи пользователей (получив предварительно файлы связей из ЦУС).

Проверяются срок действия закрытого ключа и срок действия соответствующего ему сертификата текущего администратора, и, если осталось дней меньше или столько, сколько указано в настройке, то программа сообщит о том, что истекает срок действия закрытого ключа или сертификата текущего администратора.

Проверяются срок действия закрытого ключа и срок действия соответствующего ему сертификата текущего администратора, и, если этот срок уже истек, то выдается соответствующее сообщение.

Проверяется срок действия списка отозванных сертификатов (СОС), и, если он истек, то программа сообщит об этом и предложит сформировать новый СОС (см.

«Обновление списка отозванных сертификатов своей сети» на стр. 153).

Проверяется срок действия СОС, и, если этот срок истекает не более чем через то количество дней, которое указано в настройках (см. «Список отозванных сертификатов» на стр. 241), то программа сообщит об этом.

Проверяется соответствие номеров сетей ЦУС и УКЦ, и, если номера сетей не совпадают, то выдается предупреждение.

Если вышеописанных ситуаций не найдено при ручной проверке, то появится сообщение, что аномалий не обнаружено.

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Основные действия администратора УКЦ Создание ключевой информации при первоначальном развертывании сети Рекомендации по созданию ключевой информации в связи с изменением ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Создание ключевой информации при первоначальном развертывании сети Развертывание сети начинается с создания необходимой конфигурации в программе ЦУС, которая формирует набор различных справочников для программы УКЦ.

После того, как в папку приема файлов из ЦУС (по умолчанию это будет FROM_NCC, расположенная на уровне папки установки УКЦ) будут помещены сформированные программой ЦУС необходимые файлы связей, администратор УКЦ может произвести первичную инициализацию (см. «Первый старт и первичная инициализация программы УКЦ» на стр. 32) программы УКЦ и начать создание ключевой информации для пользователей и узлов сети.

Создание ключевой информации может происходить в автоматическом и индивидуальном режимах.

Для первичного развертывания сети ViPNet рекомендуется создать дистрибутивы ключей для всех пользователей сети в режиме автоматического создания ключевой информации (см. «Создание дистрибутивов ключей» на стр. 85), при этом обновления ключей высылать не следует.

При первичном создании ключей для СУ будет предложено создать пароль администратора (см. «Пароль администратора сетевых узлов» на стр. 123) для группы Вся сеть. Этот пароль можно создавать, а можно и отказаться от его создания сейчас и создать позже, можно и совсем не создавать.

После создания дистрибутивы отобразятся в папке Ключевой центр > Своя сеть ViPNet > Ключи > Дистрибутивы ключей (см. «Действия с созданными дистрибутивами ключей» на стр. 107), откуда их можно будет перенести в какую-либо папку или на внешние носители, и далее использовать для установки ПО ViPNet на сетевых узлах.

Примечание. В состав самого первого ключевого дистрибутива пользователя входит резервный набор персональных ключей (РНПК). РНПК понадобится пользователю для дистанционного обновления ключей при их компрометации.

Подробнее об РНПК читайте в разделе Действия с резервными персональными ключами (на стр. 111).

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Для сохранения всех паролей пользователей в файле можно воспользоваться пунктом главного меню программы Сервис > Сохранить пароли в файле > Пароли пользователей. Кроме того, программой предусмотрено и индивидуальное сохранение пароля и (или) персональной информации для выбранного пользователя в файл или на внешнее устройство хранения данных (из папки Ключевой центр > Своя сеть ViPNet > Пользователи выбрать пользователя, затем либо дважды щелкнуть мышью на выбранном пользователе, либо в контекстном меню выбрать пункт Открыть, далее из соответствующих вкладок открывшегося окна Свойства пользователя (на стр. 294) сохранить пароль и (или) персональную информацию).

Ключевые дистрибутивы вместе с паролями пользователей нужно каким-либо защищенным способом передать соответствующим пользователям.

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Рекомендации по созданию ключевой информации в связи с изменением структуры сети Если в программе ЦУС структура сети ViPNet изменяется, то в УКЦ необходимо будет произвести ряд действий.

Структура сети может изменяться в следующих случаях:

при добавлении или удалении объектов своей сети, изменении их связей, регистрации пользователей в других коллективах и др. (см. Создание ключей при изменениях в структуре своей сети (на стр. 65));

при установлении межсетевого взаимодействия с другой сетью или изменениями структуры, связанными с другой сетью (см. Создание ключей при установлении взаимодействия с доверенной сетью ViPNet, а также при внесении изменений в это взаимодействие (на стр. 68)).

Создание ключей при изменениях в структуре своей сети Рассмотрим возможные случаи изменений в структуре своей сети и действия администратора, связанные с ними:

Изменение связей объектов сети, удаление объекта сети и пользователя сети без компрометации. В этом случае, на основании поступившей информации из ЦУС об изменениях, необходимо создать ключи узлов (см. «Ключи узла ViPNet») для тех узлов сети, которые были затронуты этим изменением (в которых добавлена или наоборот исключена соответствующая ключевая информация). Это типовая и наиболее часто встречающаяся ситуация. Рекомендуется использовать автоматическое создание ключей узлов. Для этого выберите пункт главного меню Сервис > Автоматически создать > Ключи узлов. Подробнее о создании ключей узлов см. в разделе Создание ключей узлов (на стр. 89).

Созданные ключи узлов появятся в папке Ключевой центр > Своя сеть ViPNet > Ключи > Ключи узлов, откуда их нужно перенести в ЦУС для рассылки по сети и автоматического обновления на сетевых узлах (см. Действия с ключами узлов и обновлениями ключей для СУ (на стр. 105)).

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Добавление нового узла своей сети. При добавлении в ЦУС нового узла сети, на основании поступившей из ЦУС информации об изменениях, необходимо создать измененные ключи узлов для тех узлов сети, которые были затронуты этим изменением (добавлены связи с новым узлом сети), а также дистрибутивы ключей (см. «Дистрибутив ключей») для начальной инсталляции для новых узлов сети.

Рекомендуется использовать автоматическое создание ключей узлов и дистрибутивов ключей. Для создания ключей узлов выберите пункт главного меню Сервис > Автоматически создать > Ключи узлов. Для создания дистрибутивов ключей выберите пункт главного меню Сервис > Автоматически создать > Дистрибутивы ключей. Подробнее о создании дистрибутивов ключей см. в разделе Создание дистрибутивов ключей (на стр. 85).

Созданные ключи узлов появятся в папке Ключевой центр > Своя сеть ViPNet > Ключи > Ключи узлов, откуда их нужно перенести в ЦУС для рассылки по сети и автоматического обновления на сетевых узлах. Созданные дистрибутивы ключей появятся в папке Ключевой центр > Своя сеть ViPNet > Ключи > Дистрибутивы ключей, откуда их можно будет перенести в какой-либо каталог (см. Действия с созданными дистрибутивами ключей (на стр. 107)). Эти файлы вместе с паролями пользователей нужно каким-либо защищенным способом передать на соответствующие новые сетевые узлы.

Добавление нового пользователя или нового ТК и нового пользователя на уже существующий СУ. В этом случае, на основании поступившей информации из ЦУС об изменениях, необходимо создать ключи узлов для тех узлов сети, которые были затронуты этим изменением (если таковые были) и дистрибутивы ключей для добавленных пользователей. Рекомендуется использовать автоматическое создание ключей узлов и дистрибутивов ключей. Для создания ключей узлов выберите пункт главного меню Сервис > Автоматически создать > Ключи узлов. Для создания дистрибутивов ключей выберите пункт главного меню Сервис > Автоматически создать > Дистрибутивы ключей.

Созданные ключи узлов появятся в папке Ключевой центр > Своя сеть ViPNet > Ключи > Ключи узлов, откуда их нужно перенести в ЦУС для рассылки по сети и автоматического обновления на сетевых узлах. Созданные дистрибутивы ключей появятся в папке Ключевой центр > Своя сеть ViPNet > Ключи > Дистрибутивы ключей, откуда их можно будет перенести в какой-либо каталог. Эти файлы вместе с паролями пользователей нужно каким-либо защищенным способом передать соответствующим новым пользователям. Необходимо иметь в виду, что обновления на СУ, на которые были добавлены новые пользователи, должны пройти до того момента, как новый пользователь, получив дистрибутив ключей и пароль, будет активизироваться на этом СУ.

Изменение права подписи у пользователя. Если из ЦУС поступила информация о том, что у каких-то пользователей сети ViPNet удалено или добавлено право подписи, то нужно сформировать обновление ключей узла для тех сетевых узлов, которые затронуло это изменение, поскольку информация о праве иметь подпись ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора содержится в составе обновления ключей узла. Рекомендуется использовать индивидуальное создание обновлений ключей. Для создания обновления ключей узла в папке Ключевой центр > Своя сеть ViPNet > Сетевые узлы выберите нужный сетевой узел и из контекстного меню по правой кнопке мыши выберите пункт Ключи > Создать обновление. Подробнее о создании обновлений ключей см. в разделе Создание обновлений ключей (на стр. 91).

Созданные обновления ключей появятся в папке Ключевой центр > Своя сеть ViPNet > Ключи > Обновления ключей, откуда их нужно перенести в ЦУС для рассылки по сети и автоматического обновления на сетевых узлах.

Регистрация пользователя в другом коллективе. Когда изменения касаются перерегистрации пользователя в другом коллективе, то из ЦУС поступают файлы связей для формирования его ключей (см. «Ключи пользователя ViPNet»). Для создания ключей пользователя в папке Ключевой центр > Своя сеть ViPNet > Пользователи выберите пользователя, для которого есть соответствующий файл связей из ЦУС, и из контекстного меню по правой кнопке мыши выберите пункт Ключи пользователя > Создать. Подробнее о создании ключей пользователя см. в разделе Создание ключей пользователей (на стр. 93).

Созданные ключи пользователя появятся в папке Ключевой центр > Своя сеть ViPNet > Ключи > Ключи пользователя, откуда их нужно перенести в ЦУС для рассылки по сети и автоматического обновления на сетевых узлах (см. Действия с ключами пользователей (на стр. 102)).

Удаление скомпрометированного пользователя из сети. При удалении пользователя в ЦУС, может возникнуть необходимость считать его ключи скомпрометированными. При наличии компрометации ключей (см.

«Компрометация ключей») в программе УКЦ станет доступен только пункт меню Сервис > Автоматически создать > Ключи при компрометациях, который и нужно выбрать. Подробнее о действиях администратора при компрометациях см. в разделе Действия при компрометациях ключей (на стр. 74).

Для сохранения всех паролей пользователей в файле можно воспользоваться пунктом главного меню программы Сервис > Сохранить пароли в файле > Пароли пользователей. Кроме того, программой предусмотрено и индивидуальное сохранение пароля и (или) персональной информации для выбранного пользователя в файл или на внешнее устройство хранения данных (из папки Ключевой центр > Своя сеть ViPNet > Пользователи выбрать пользователя, затем либо дважды щелкнуть мышью на выбранном пользователе, либо в контекстном меню выбрать пункт Открыть, далее из соответствующих вкладок открывшегося окна Свойства пользователя (на стр. 294) сохранить пароль и (или) персональную информацию).

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Создание ключей при установлении взаимодействия с доверенной сетью ViPNet, а также при внесении изменений в это взаимодействие Если требуется организовать связь своей сети с объектами другой (доверенной сети ViPNet (см. «Доверенная сеть»)) сети, то необходимо осуществить ряд действий в ЦУС и УКЦ. Для полноты картины рассмотрим действия и в ЦУС, и в УКЦ. Рассмотрим на примере организации межсетевого взаимодействия между двумя сетями:

Администраторы двух ЦУС выполняют процедуру экспорта из своей сети информации об объектах, которые должны взаимодействовать с объектами другой сети. Экспортируется также по одному из координаторов каждой сети, через которые или с использованием которых будет осуществляться такое взаимодействие. Каким-либо защищенным способом производится обмен этой информацией и ее импорт в свой ЦУС.

Администраторам УКЦ необходимо создать один из межсетевых мастер-ключей (см. «Межсетевой мастер-ключ»). Следует заметить, что симметричные межсетевые мастер-ключи создаются только в одной сети, а в другую передаются, а асимметричный ключ — в обеих сетях, и администраторы двух сетей обмениваются открытыми частями своего ключа. Поэтому администраторам двух сетей предварительно нужно договориться, какие межсетевые мастер-ключи будут использоваться для связи между сетями. Предпочтительно использовать для связи двух сетей симметричный индивидуальный мастер-ключ, так как в этом случае безопасность хранения выше (об этом ключе знают администраторы только двух сетей, а при использовании универсального ключа — администраторы всех сетей, в которые он экспортирован). Стойкость же асимметричного ключа ниже (симметричного индивидуального и симметричного универсального ключа).

Подробно о создании межсетевых мастер-ключей и о логике их выбора см. в разделе Создание межсетевых мастер-ключей (на стр. 114).

Администраторы двух УКЦ производят обмен межсетевыми мастер-ключами по симметричной или асимметричной схеме (см. Экспорт и импорт межсетевых мастерключей (на стр. 118)). Одновременно выполняется обмен справочниками сертификатов администраторов каждой сети и справочниками отозванных сертификатов пользователей каждой сети (даже если этот справочник пустой, то есть сертификаты в сети ни разу не отзывались).

В каждом из УКЦ производится импорт и заверение справочника сертификата администраторов другой сети подписью своего администратора в папке Удостоверяющий центр > Сертификаты администраторов > Доверенные сети ViPNet > Входящие и импорт справочника отозванных сертификатов пользователей другой сети в папке Удостоверяющий центр > Списки отозванных сертификатов > Доверенные сети ViPNet или автоматически после входе в УКЦ (см. Импорт сертификатов администраторов доверенных сетей ViPNet (на стр. 148)).

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора На основании информации, полученной из ЦУС каждой сети, в УКЦ каждой сети необходимо создать новые ключи узлов. На этом этапе будет создана новая ключевая информация только для своего ЦУС и координатора, так как информация о связях других объектов пока неизвестна. После обновления этой информации будет возможно установление соединения между ЦУС двух сетей.

Администраторы каждого из ЦУС устанавливают необходимые связи импортированных коллективов со своими экспортированными коллективами.

Обмениваются уже автоматически через установленное соединение вновь сформированными экспортными данными и отправляют информацию о новых связях своих объектов в свои УКЦ.

На основании полученных данных в УКЦ необходимо создать новые ключи узлов для СУ, которых затронули изменения (ключи пользователей в этой ситуации не изменяются). Эти ключи узлов обычным образом отправляются в свой ЦУС для рассылки по своей сети и автоматического обновления.

Если в дальнейшем происходят изменения в конфигурации, касающейся объектов другой сети, то производятся действия, аналогичные действиям, описанным в разделах Основные действия администратора УКЦ (на стр. 62) и Основные функции программы УКЦ в рамках ключевого центра (на стр. 83), а также:

При изменении в другой сети, связанной с объектами своей сети, сертификата администратора, то в ЦУС для УКЦ поступают новые справочники сертификатов подписей администраторов из доверенных сетей ViPNet, и их необходимо импортировать в свою сеть для замены старых в папке Удостоверяющий центр > Сертификаты администраторов > Доверенные сети ViPNet или автоматически после входа в УКЦ (см. Импорт сертификатов администраторов доверенных сетей ViPNet (на стр. 148)).

Если в другой сети, связанной с объектами своей сети, произошел отзыв сертификатов каких-либо пользователей, то в ЦУС для УКЦ поступают новые справочники отозванных сертификатов пользователей из доверенных сетей ViPNet и их нужно импортировать в свою сеть в папке Удостоверяющий центр > Списки отозванных сертификатов > Доверенные сети ViPNet или автоматически после входе в УКЦ (см. Импорт списков отозванных сертификатов доверенных сетей ViPNet (на стр. 151)).

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Когда создавать обновление ключей?

Существуют ситуации, когда не нужно формировать полные ключи узла, а достаточно сформировать обновление ключей.

Обновление ключей производится в следующих случаях:

Если произошла смена пароля администратора сетевой группы узлов (см. «Пароль администратора сетевых узлов» на стр. 123). В этом случае создайте обновления ключей самостоятельно (см. Создание обновлений ключей (на стр. 91)).

Если создана новая подпись администратора УКЦ (см. «Издание корневого сертификата текущего администратора» на стр. 187). В этом случае обновление ключей создается автоматически на завершающем этапе работы мастера создания сертификата администратора.

Если пришел экспорт справочников сертификатов администраторов (см. «Импорт сертификатов администраторов доверенных сетей ViPNet» на стр. 148) или СОС (см. «Импорт списков отозванных сертификатов доверенных сетей ViPNet» на стр.

151) из доверенных сетей ViPNet. В этом случае при импорте сертификатов администраторов или СОС предлагается создать обновление ключей. При отказе следует создать обновления ключей самостоятельно.

Если из ЦУС поступила информация о том, что у каких-то пользователей сети ViPNet удалено или добавлено право подписи. В этом случае произведите создание обновлений ключей самостоятельно.

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Действия при плановой смене мастерключей Рекомендуется осуществлять плановую смену ключей — смену ключей с установленной в системе периодичностью, не вызванную компрометацией ключей.

Рекомендуется проводить плановую смену мастер-ключей (см. «Плановая смена мастерключей» на стр. 71) (персональных мастер-ключей, мастер-ключей защиты, мастерключей обмена) не реже одного раза в год.

Согласно установленному порядку, межсетевые мастер-ключи также должны обновляться не реже одного раза в год (см. «Плановая смена межсетевого мастер-ключа»

на стр. 72).

Плановая смена мастер-ключей Для смены какого-либо мастер-ключа выберите его в папке Ключевой центр > Своя сеть ViPNet > Ключи > Мастер-ключи и воспользуйтесь пунктом Сменить контекстного меню (подробнее см. Смена мастер-ключей своей сети (на стр. 113)).

После смены мастер-ключа необходимо произвести обновления ключей пользователей и ключей узлов для всех пользователей и СУ, для этого выполните следующие действия:

В ЦУС сформируйте все справочники.

Скопируйте из ЦУС в УКЦ справочники связей всех сетевых узлов и справочники связей всех пользователей.

Если в сети есть координаторы, на которые установлена Linux-версия ПО ViPNet, для этих координаторов скопируйте из ЦУС в УКЦ полный объем дистрибутивов.

В УКЦ создайте ключи пользователей (см. «Создание ключей пользователей» на стр. 93) и ключи узлов (см. «Создание ключей узлов» на стр. 89), затем перенесите их в ЦУС. Ключи узлов рекомендуется создавать в автоматическом режиме.

Для координаторов, на которые установлена Linux-версия ПО ViPNet, создайте дистрибутивы ключей (см. «Создание дистрибутивов ключей» на стр. 85). Затем перенесите созданные дистрибутивы в папку установки ViPNet Administrator, в подпапку \FOR_NCC\DST.

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора В ЦУС отправьте все обновления на сетевые узлы с отложенной датой (рекомендуемая дата обновления через 10 дней с момента отправки).

Внимание! Для того чтобы все обновления дошли на компьютеры всех СУ и прошли в автоматическом режиме, необходимо, чтобы за эти 10 дней все СУ и координаторы подключились к сети и СУ имели связь со своим координатором.

Если это условие не будет выполнено, то для отключенных СУ обновления придется производить вручную!

Также следует иметь в виду, что в то время, пока не истек срок назначенного обновления, в УКЦ и ЦУС желательно не производить никаких действий. Если же что-то было изменено, то в ЦУС все обновления необходимо отсылать с более поздней датой, чем дата, указанная для обновления, отосланного в связи с плановой сменой основного мастер-ключа.

Перед обновлением ключей рекомендуется расшифровать письма программы «Деловая почта» на абонентских пунктах (см. «Абонентский пункт (АП)»). Если после обновления ключей на абонентский пункт придут письма, зашифрованные на старых ключах, они не будут приняты.

Более подробно об отправке обновлений см. в документации на программу ViPNet Центр управления сетью.

Плановая смена межсетевого мастер-ключа Перед тем, как осуществлять плановую смену межсетевого мастер-ключа, следует договориться с администраторами доверенных сетей, для связи с которыми будет использоваться новый мастер-ключ, по следующим вопросам:

при планировании изменения типа используемого межсетевого мастер-ключа следует договориться, какие межсетевые мастер-ключи будут использоваться для связи между сетями, и где эти ключи будут создаваться (см. Создание межсетевых мастер-ключей (на стр. 114));

о времени проведения смены мастер-ключа и последующего обновления ключей узлов для СУ сетей.

Для создания нового межсетевого мастер-ключа в папке Ключевой центр > Доверенные сети ViPNet > Мастер-ключи > Текущие используйте пункт Создать контекстного меню.

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора После того, как была произведена смена межсетевого мастер-ключа и (или) выполнена операция экспорта (импорта) (см. «Экспорт и импорт межсетевых мастер-ключей» на стр. 118), необходимо также:

Ввести этот мастер-ключ в действие (см. «Изменение статуса межсетевого мастерключа» на стр. 121).

В ЦУС создать новые файлы связей для всех СУ, связанных с доверенной сетью на этом ключе.

В КЦ создать ключи узлов в режиме автоматического создания ключей (см.

«Создание ключей узлов» на стр. 89).

В ЦУС отправить обновления на все СУ (дата обновления должна быть согласована с администраторами доверенных сетей, которых затрагивает данная плановая смена межсетевого мастер-ключа).

Внимание! Напомним, что после смены межсетевого мастер-ключа, связь между СУ разных сетей, использующих данный мастер-ключ, будет возможна только после обновления на всех соответствующих СУ данных сетей.

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора Действия при компрометациях ключей Под компрометацией ключей подразумевается утрата доверия к тому, что используемые ключи обеспечивают безопасность информации (целостность, конфиденциальность, подтверждение авторства, невозможность отказа от авторства).

Различают явную и неявную компрометацию ключей.

Явной называют компрометацию, факт которой становится известным на отрезке установленного времени действия данного ключа.

Неявной называют компрометацию ключа, факт которой остается неизвестным для лиц, являющихся законными пользователями данного ключа.

Наибольшую опасность представляют неявные компрометации ключей.

Решение задачи защиты ключей от компрометации направлено на исключение компрометаций вообще или, по крайней мере, на то, чтобы свести неявную компрометацию к явной.

События, квалифицируемые как компрометация ключей Основные события, при которых ключи могут считаться скомпрометированными:

Посторонним лицам мог стать доступным файл ключевого дистрибутива.

Посторонним лицам мог стать доступным съемный носитель с ключевой информацией.

Посторонним лицам мог стать доступным пароль пользователя, и эти лица могли иметь доступ к компьютеру пользователя.

Посторонние лица могли получить неконтролируемый физический доступ к ключевой информации, хранящейся на компьютере.

На компьютере, подключенном к сети, не установлен модуль ViPNet Монитор, или он устанавливался в 4 или 5 режим работы, а также:

в локальной сети считается возможным присутствие посторонних лиц;

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора на границе локальной сети отсутствует (отключен) сертифицированный Увольнение сотрудников имевших доступ к ключевой информации.

Нарушение печати на сейфе с ключевыми носителями.

Наличие в подписи под входящим документом сертификата, находящегося в списке отозванных сертификатов.

Случаи, когда нельзя достоверно установить, что произошло с ключевыми носителями (в том числе случаи, когда ключевой носитель вышел из строя и доказательно не опровергнута возможность того, что данный факт произошел в результате несанкционированных действий злоумышленника).

К событиям, требующим расследования и принятия решения по компрометации, относятся возникновение подозрений по утечке или искажению информации в системе конфиденциальной связи.

При наступлении любого из перечисленных выше событий пользователь ViPNet должен немедленно прекратить работу на своем компьютере и сообщить о факте компрометации (или предполагаемом факте компрометации) администратору УКЦ своей сети.

По факту компрометации ключей должно быть проведено служебное расследование.

Действия при компрометации ключей пользователя Для простоты изложения назовем пользователя, ключи которого скомпрометированы, скомпрометированным пользователем.

Компрометация ключей СУ имеет место только при компрометации какого-либо пользователя на данном СУ.

В случае компрометации ключей пользователя администратор УКЦ оповещает об Оператор ЦУС объявляет ключи данного пользователя скомпрометированными и создает справочники связей при компрометациях с необходимой информацией для УКЦ, а именно:

программа ЦУС создает файлы связей для полной замены индивидуальной ключевой информации скомпрометированных пользователей и замены ключей сетевых узлов, где зарегистрированы данные пользователи;

ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора для всех сетевых узлов, с которыми связаны узлы, где зарегистрированы скомпрометированные пользователи, формируются файлы связей для частичного обновления ключевой информации;

для пользователей (с нескомпрометированными ключами), зарегистрированных в коллективах, где имеются скомпрометированные пользователи, формируются файлы связей для частичного обновления индивидуальной ключевой Если скомпрометированы ключи координатора, на котором установлена Linuxверсия ПО ViPNet, оператор ЦУС должен скопировать из ЦУС в УКЦ полный объем дистрибутивов для этого координатора.

Оператор ЦУС оповещает о факте компрометации ключей всех пользователей, связанных со скомпрометированным пользователем. После получения данного сообщения пользователи не должны использовать скомпрометированные ключи.

Далее в УКЦ необходимо сформировать новую ключевую информацию. Для этого станет доступен пункт меню Сервис > Автоматически создать > Ключи при компрометациях, который нужно выбрать для генерации ключей при компрометации (см. «Создание ключей при компрометациях» на стр. 99).

Если скомпрометированы ключи координатора, на котором установлена Linuxверсия ПО ViPNet, в УКЦ необходимо создать дистрибутив ключей для этого координатора (см. «Создание дистрибутивов ключей» на стр. 85). Затем нужно перенести дистрибутив в папку установки ViPNet Administrator, в подпапку \FOR_NCC\DST.

Все сформированные файлы с новой ключевой информацией зашифрованы на нескомпрометированных ключах, поэтому могут передаваться на абонентский пункт и пользователю по любым каналам связи, в том числе и открытым.

В случае признания факта компрометации закрытого ключа подписи пользователя, УКЦ отзывает сертификат этого пользователя. Сертификат попадает в список отозванных сертификатов. Данный список должен быть отправлен всем пользователям сети ViPNet.

Отозванные сертификаты открытых ключей пользователя не удаляются из базы УКЦ и хранятся в течение установленного срока действия для проведения (в случае необходимости) разбора конфликтных ситуаций, связанных с применением ЭЦП.

Информация, содержащаяся на скомпрометированных съемных ключевых носителях, после проведения служебного расследования должна быть уничтожена с использованием утилиты clean.exe.

Внимание! Если были произведены действия, связанные с компрометацией ключей пользователя на одном из сетевых узлов, убедитесь в том, что все пользователи данного узла получили обновления. Обратите внимание, что если ViPNet Administrator Удостоверяющий и ключевой центр 3.2. Руководство администратора один из пользователей принял обновление, а другой (другие) нет, то при следующей смене ключей (компрометации, смене мастер-ключей) автоматическое обновление ключевой информации может оказаться невозможным. В таких случаях, для восстановления работоспособности потребуется проведение процедуры первичной установки сетевого узла с новым ключевым дистрибутивом. Это может привести к частичной или полной утере ранее принятой, зашифрованной корреспонденции в программе ViPNet Деловая Действия при компрометации ключей УКЦ При компрометации ключей хотя бы одного администратора УКЦ вся ключевая информация в сети считается скомпрометированной. В этом случае должна быть немедленно остановлена работа на симметричных ключах шифрования.

Для восстановления работы системы необходимо:

Удалить с жесткого диска все ключи с использованием утилиты clean.exe.

Начать формирование ключевой системы с нулевой отметки (см. «Создание ключевой информации при первоначальном развертывании сети» на стр. 63).