Термины

• Ключевой носитель (токен, смарт-карта) — устройство для хранения информации, обеспечивающее защиту хранимой информации. Термин ключевой применяется в силу того, что подобные носители часто используются для хранения ключей (сертификатов, электронно-цифровых подписей), т. е. данных, используемых для аутентификации владельца. Однако, в ключевом носителе могут защищенно храниться любые данные (например, текстовые файлы). Защита обеспечивается:

  • необходимостью ввода пароля (PIN-кода) для доступа к данным;

  • возможностью выполнять криптографические операции непосредственно на ключевом носителе (только для активных ключевых носителей).

• Токен — ключевой носитель, подключающийся непосредственно к компьютеру и не требующий для подключения специальных промежуточных устройств. Обычно реализуется в форм-факторе USB-устройства. Термин токен часто применяется к смарт-картам (см. ниже).
• Смарт-карта — ключевой носитель в форм-факторе кредитной карты, подключающийся к специальному промежуточному устройству — считывателю, подключенному к компьютеру.
• PIN-код — пароль пользователя для доступа к пользовательским данным, хранящимся в ключевом носителе. Термин PIN обычно ассоциируется с цифровыми значениями, однако в PIN-кодах ключевых носителей допускается также использование букв латинского алфавита и, в некоторых моделях, спецсимволов.
• SO-PIN-код — пароль администратора ключевого носителя. Производителями задаются стандартные значения PIN- и SO-PIN-кодов, которые в обязательном порядке должны быть изменены при передаче ключевых носителей в эксплуатацию. Справку по стандартным значениям кодов см. в статьях:
  •  Управление PIN-кодами Рутокена;
  • PIN-коды (пароли) ключевых носителей JaCarta по умолчанию.
• Криптопровайдер — модуль, позволяющий выполнять криптографические операции. Применительно к ключевым носителям это встроенный в носитель программно-аппаратный модуль, позволяющий выполнять криптографические операции непосредственно на ключевом носителе, без экспорта ключей за его пределы.
• Пассивный ключевой носитель — ключевой носитель, не имеющий встроенного криптопровайдера. Например, токены Аладдин JaCarta LT, Рутокен Lite, Рутокен S. Такие ключевые носители предназначены для защищенного хранения данных, и не предназначены для аутентификации с использованием ключевых пар. Такие носители могут не поддерживать сохранение данных типа закрытый ключ и секретный ключ (однако любые данные могут быть сохранены как тип данные).
• Апплет — встроенное приложение ключевого носителя. См, например: Аладдин: Работа с апплетами.
  

  Функции и особенности ключевого носителя определяются содержащимися в нём апплетами. В ключевом носителе может содержаться несколько апплетов с разными функциями. Когда речь идет о работе с ключевым носителем, в самом деле подразумевается работа с одним из содержащихся в нем апплетов. Некорректный выбор апплета при выполнении операций с ключевым носителем может вести к утрате функциональности носителя.

• Активный ключевой носитель — ключевой носитель, способный самостоятельно выполнять криптографические операции, например, генерацию ключевых пар с созданием неизвлекаемого закрытого ключа. Например, токены Рутокен ЭЦП и большинство токенов Аладдин.
• Закрытый ключ — ключ асимметричной криптосистемы, принадлежащий исключительно владельцу ключа и не подлежащий распространению. Используется для дешифрования данных, зашифрованных соответствующим открытым ключом.
• Открытый ключ — ключ асимметричной криптосистемы, создаваемый на основе закрытого ключа и подлежащий распространению. Используется корреспондентами владельца закрытого ключа для шифрования сообщений, предназначенных владельцу закрытого ключа.
• Неизвлекаемый ключ — закрытый или секретный ключ, хранящийся в активном ключевом носителе и не подлежащий передаче за его пределы. Такой ключ, как правило, создается криптопровайдером активного ключевого носителя и все операции с таким ключом выполняются криптопровайдером внутри носителя. Не поддерживается пассивными носителями.
• Секретный ключ — ключ симметричной криптосистемы. Используется:
  • обеими сторонами коммуникации для шифрования и дешифрования данных;
  • владельцем ключа для шифрования и дешифрования собственных данных.
• Ключевая пара — закрытый ключ и соответствующий ему открытый ключ.
• Сертификат открытого ключа (сертификат) — пакет данных, состоящий из открытого ключа и информации о его владельце, скрепленных электронной подписью либо доверенного удостоверяющего центра, либо самого владельца соответвующего закрытого ключа (самоподписанный сертификат). Используется для идентификации владельца открытого ключа.
• PKCS #15: Cryptographic Token Information Format Standard — стандартный формат хранения данных в ключевых носителях. Используется как в активных, так и в пассивных ключевых носителях (доступность тех или иных операций зависит от реализации устройства).
• PKCS #11: Cryptographic Token Interface Standard (Cryptoki) — стандартный программный интерфейс активных ключевых носителей. Является интерфейсом более высокого уровня, чем PKCS #15. Частично применим к пассивным ключевым носителям (зависит от реализации). Описание доступно по ссылке: PKCS #11 Cryptographic Token Interface Base Specification Version 3.0.

• URL (URI) — текстовый адрес ключевого носителя или объекта в ключевом носителе. Служит для идентификации ключевых носителей (объектов в ключевом носителе) при использовании протокола PKCS#11. Например, URL ключевого носителя и URL объекта (публичного ключа) в токене Аладдин JaCarta:

  URL: pkcs11:model=JaCarta%20Laser;manufacturer=Aladdin%20R.D.;serial=4E46002229073933;token=toklabel
  URL: pkcs11:model=JaCarta%20Laser;manufacturer=Aladdin%20R.D.;serial=4E46002229073933;token=toklabel;id=%45;object=objlabel;type=public

  Подробнее см. RFC 7512 The PKCS #11 URI Scheme.

• Слот — условная точка подключения ключевого носителя. Номер слота может использоваться для идентификации ключевых носителей при использовании протокола PKCS#11. Может быть использован в составе URL для идентификации объектов в конкретном ключевом носителе.
• APDU (Application Protocol Data Unit) — протокол обмена данными со смарт-картами.

Ключевые носители, совместимые с Astra Linux

Актуальных список совместимых ключевых носителей приведен на WEB-сайте Astra Linux в разделе Ready for Astra. При написании этой статьи использовались следующие ключевые носители — токены:

• Рутокен S;
• Рутокен Lite;
• Рутокен ECP 3.0;
• Аладдин JaCarta Laser (JaCarta PKI);
• Аладдин JaCarta ГОСТ 2.0.

Далее в примерах используется именно этот комплект подключенных ключевых носителей. Все эти ключевые носители подключаются по интерфейсу USB, и далее в тексте подразумевается именно такое подключение.

Отдельно статья успешно проверена на следующих токенах (в примерах статьи не используются):

• Аладдин JaCarta PRO, так же определяется как Bank of Lithuania Identification card и Gemalto SafeNet eToken Java Based Cards;
• Аладдин SafeNet eToken 5100, он же Aladdin Knowledge Systems Token JC (далее в тексте — eToken).
• Аладдин JaCarta LT.

Отличия в работе с разными моделями описаны непосредственно в примерах команд.

Особенности применения ключевых носителей в виртуальных машинах

При работе с виртуальными машинами (ВМ) ключевые носители, подключенные к хост-машине, могут быть переданы ("проброшены") в виртуальные машины как обычные USB-устройства. При этом:

1. Для корректной передачи и дальнейшей работы устройства в ВМ на хост-машине должна быть отключена служба pcscd:

   sudo systemctl stop pcscd.service pcscd.socket

2. После перезапуска ВМ устройство может отображаться, как переданное ВМ, но быть неработоспособно. Для предотвращения/устранения этой проблемы следует переподключать устройства после перезапуска ВМ.

Программное обеспечение для работы с ключевыми носителями

Инструменты командной строки

Модули аутентификации

Дополнительные библиотеки для работы с ключевыми носителями

Графические инструменты для работы с ключевыми носителями

Подготовка к работе с ключевыми носителями

Установка интерфейсных библиотек производителей

Интерфейсная библиотека Рутокен ЭЦП

Интерфейсная библиотека Рутокен librtpkcs11ecp.so представлена в пакете librtpkcs11ecp. Для установки пакета:

1. Загрузить актуальную версию по ссылке: https://www.rutoken.ru/support/download/pkcs/.

2. Выполнить установку из загруженного файла:

   sudo apt install ./librtpkcs11ecp_*_amd64.deb

В разных обновлениях Astra Linux и на разных аппаратных платформах эта библиотека может размещаться в различных каталогах. Далее в примерах предполагается, что библиотека расположена в файле /usr/lib/librtpkcs11ecp.so (актуально для платформы x86-64). Для того, чтобы определить реальное расположение библиотеки, можно использовать команду:

Драйверы Рутокен S

Драйверы Рутокен S (библиотека librutokens.so) представлены в пакете ifd-rutokens. Для установки пакета:

1. Загрузить актуальную версию по ссылке: https://www.rutoken.ru/support/download/get/rtDrivers-x64-deb.html.

2. Выполнить установку из загруженного файла:

   sudo apt install ./ifd-rutokens_*_amd64.deb

Интерфейсная библиотека Аладдин libjcPKCS11-2.so

Инструкция по установке предоставляется производителем. Библиотека также применима для работы с eToken (для работы с этими токенами следует использовать последние доступные версии библиотеки).

Универсальный интерфейсный модуль openssl libpkcs11.so

Интерфейсный модуль openssl libpkcs11.so обеспечивает единый интерфейс для доступа к ключевым носителям через интерфейсные библиотеки этих носителей. Для доступа к ключевым носителям используется инструменты p11-kit и pkcs11tool (см. далее).

Интерфейсный модуль openssl libpkcs11.so входит в состав пакета libengine-pkcs11-openssl и может быть установлен с помощью графического менеджера пакетов или командой:

После установки пакета:

1. Для использовании модуля libpkcs11.so следует отключить использование модуля opensc-pkcs11.so (если установлен пакет opensc-pkcs11), для чего создать файл /etc/pkcs11/modules/opensc-pkcs11.module, запрещающий использование этого модуля:
   echo -e "enable-in:" | sudo tee /etc/pkcs11/modules/opensc-pkcs11.module > /dev/null
2. Указать интерфейсные библиотеки ключевых носителей, с которыми будет осуществляться взаимодействие через libpkcs11.so, для чего создать соответствующие файлы в каталоге /etc/pkcs11/modules/ (предполагается, что интерфейсные модули установлены):
   1. Для токенов Аладдин:
      
      echo -e "module: /usr/lib/libjcPKCS11-2.so"  | sudo tee /etc/pkcs11/modules/aladdin.module
   2. Для токенов Рутокен:
      
      echo -e "module: /usr/lib/librtpkcs11ecp.so" | sudo tee /etc/pkcs11/modules/rutoken.module       > /dev/null

Специально указывать модуль в конфигурации openssl нет необходимости. Проверить готовность модуля можно командами:

пример вывода команды:

или использовать инструмент командной строки p11toool (см. ниже).

Инструмент командной строки p11tool

Для установки инструмента командной строки p11tool:

1. Для обновлений, вышедших ранее Astra Linux Special Edition 1.8: подключить базовый репозиторий.

2. Установить пакет gnutls-bin:

   sudo apt install gnutls-bin

3. При необходимости использовать интерфейсные библиотеки производителей:

   1. Создать каталог /etc/pkcs11/modules/:
      

      sudo mkdir -p /etc/gnutls

   2. Создать файлы в каталоге /etc/pkcs11/modules/ (общая системная конфигурация). Минимальное содержимое файлов — строка  в формате module: <путь_к_библиотеке>, подробнее см. man pkc11.conf. Пользовательские конфигурации могут быть размещены в каталоге ~/.config/pkcs11/pkcs11.conf, 

Основные действия с ключевыми носителями

Поиск и идентификация подключенных ключевых носителей

Физические устройства — инструмент lsusb

Самой надежной командой для поиска подключенных токенов является команда lsusb. Эта команда:

• не требует установки никаких дополнительных пакетов;
• распознает подключенные устройства на физическом уровне, даже если они программно полностью несовместимы с используемой ОС.

В том числе, командой обнаруживаются токены, работающие по стандартам U2F (FIDO) и FIDO2.

Пример вывода команды (для наглядности приведена только информация о токенах):

• числовой код производителя (VID):
  • 0a89 — Рутокен;
  • 24dc — Аладдин;
  • 0529 — Аладдин eToken;
• числовой код модели (PID):
  • для токенов Рутокен (подробнее см. ATR-строки и PID/VID Рутокен):
    • 0020 — Aktiv Rutoken S;
    • 0030 — Aktiv Rutoken ECP;
    • 0025 — Aktiv Rutoken Lite;
    • 0090 —токены Рутокен U2F, к которым настоящая статья неприменима;
    • 0093 —Aktiv — токены Рутокен MFA, к которым настоящая статья неприменима;
  • для токенов Аладдин:
    • 0620 — Аладдин eToken;
    • 0406 — Аладдин JaCarta SF ГОСТ, к которым настоящая статья неприменима;
    • 0101 — токены Аладдин JaCarta, в том числе:
      • Аладдин JaCarta Laser (JaCarta PKI), рассматриваются далее в статье; 
      • Аладдин JaCarta ГОСТ 2.0, к которым настоящая статья неприменима;
    • 0501 — токены Аладдин JaCarta U2F, к которым настоящая статья неприменима;
    • 0102 — токены Аладдин JaCarta LT;
    • 0401 — токены Аладдин JaCarta WebPass, к которым настоящая статья неприменима.

Инструмент командной строки pcsc_scan

Инструмент командной строки pcsc_scan представлен в пакете pcsc-tools. Установка пакета:

Команда pcsc_scan без аргументов выводит значительный объем информации об обнаруженных ключевых носителях, после чего ожидает подключение новых устройств (прекратить ожидание можно, нажав Ctrl+C):

Using reader plug'n play mechanism
Scanning present readers...
0: Aktiv Rutoken lite 00 00
1: Aktiv Rutoken ECP 01 00
2: Aladdin R.D. JaCarta [SCR Interface] (000000000000) 02 00
3: Aktiv Co. Rutoken S 00 00
4: Aladdin R.D. JaCarta [SCR Interface] (000000000000) 03 00 

Возможно также получить идентификационные строки ключевых носителей (Answer To Reset, ATR):

 Reader 0: Aktiv Rutoken lite 00 00  ATR: 3B 8B 01 52 75 74 6F 6B 65 6E 6C 69 74 65 C2
 Reader 1: Aktiv Rutoken ECP 01 00  ATR: 3B 8B 01 52 75 74 6F 6B 65 6E 20 44 53 20 C1
 Reader 2: Aladdin R.D. JaCarta [SCR Interface] (000000000000) 02 00  ATR: 3B DC 18 FF 81 91 FE 1F C3 80 73 C8 21 13 66 01 06 11 59 00 01 28
 Reader 3: Aktiv Co. Rutoken S 00 00  ATR: 3B 6F 00 FF 00 56 72 75 54 6F 6B 6E 73 30 20 00 00 90 00
 Reader 4: Aladdin R.D. JaCarta [SCR Interface] (000000000000) 03 00  ATR: 3B DC 18 FF 81 91 FE 1F C3 80 73 C8 21 13 66 01 06 11 59 00 01 28

Для ключевых носителей Рутокен значения ATR задокументированы, см. ATR-строки и PID/VID Рутокен. Для ключевых носителей Аладдин ATR одинаковый, и на этом уровне идентифицировать модель устройства не представляется возможным.
Пример кода для анализа ATR: https://github.com/LudovicRousseau/pyscard-contrib/tree/master/parseATR.

Инструмент командной строки p11tool

Инструмент командной строки p11tool представлен в пакете gnutls-bin и может быть установлен командой:

...
Token 3:
	URL: pkcs11:model=PKCS%2315;manufacturer=Aktiv%20Co.;serial=00000000419b79e8;token=Rutoken%20ECP
	Label: Rutoken ECP
	Type: Hardware token
	Flags: uPIN uninitialized
	Manufacturer: Aktiv Co.
	Model: PKCS#15
	Serial: 00000000419b79e8
	Module: opensc-pkcs11.so
...
Token 6:
	URL: pkcs11:model=Rutoken%20ECP;manufacturer=Aktiv%20Co.;serial=413a49ed;token=413a49ed
	Label: 413a49ed
	Type: Hardware token
	Flags: RNG, Requires login
	Manufacturer: Aktiv Co.
	Model: Rutoken ECP
	Serial: 413a49ed
	Module: librtpkcs11ecp.so

Для получения краткого списка URL ключевых носителей можно использовать опцию --list-token-urls:

pkcs11:model=p11-kit-trust;manufacturer=PKCS%2311%20Kit;serial=1;token=System%20Trust
pkcs11:model=JaCarta%20Laser;manufacturer=Aladdin%20R.D.;serial=4E46001953483957;token=4E46001953483957
pkcs11:model=JaCarta%20GOST%202.0;manufacturer=Aladdin%20R.D.;serial=4E46001310573957;token=JaCarta-2%20GOST
pkcs11:model=PKCS%2315;manufacturer=Aktiv%20Co.;serial=00000000419b79e8;token=Rutoken%20ECP
pkcs11:model=PKCS%2315;manufacturer=Aktiv%20Co.;serial=41538f00;token=Rutoken%20S
pkcs11:model=Rutoken%20lite;manufacturer=Aktiv%20Co.;serial=419b79e8;token=419b79e8
pkcs11:model=Rutoken%20ECP;manufacturer=Aktiv%20Co.;serial=413a49ed;token=413a49ed

Получить список URL ключевых носителей можно также использовав опцию --list-all (показать все объекты ключевого носителя), не указав конкретный URL носителя. При этом будет выведено предупреждение и список URL доступных ключевых носителей:

При необходимости можно зафиксировать интерфейсную библиотеку. Например, для интерфейсной библиотеки Рутокен:

Инструмент командной строки pkcs11-tool

Инструмент командной строки pkcs11-tool представлен в пакете opensc и может быть установлен командой:

Available slots:
Slot 0 (0x0): Aktiv Rutoken lite 00 00  token label    : Rutoken ECP  token manufacturer : Aktiv Co.  token model    : PKCS#15  token flags    : token initialized  hardware version  : 0.0  firmware version  : 0.0  serial num     : 00000000419b79e8  pin min/max    : 4/8
Slot 1 (0xc): Aktiv Co. Rutoken S 00 00  token label    : Rutoken S  token manufacturer : Aktiv Co.  token model    : PKCS#15  token flags    : rng, token initialized  hardware version  : 0.0  firmware version  : 0.0  serial num     : 41538f00  pin min/max    : 4/8 

В выводе команды, помимо информации о ключевом носителе, указывается информация для выбора носителя при выполнении операций:

• номера слотов в шестнадцатеричном виде, в примере выше в скобках 0x0 и 0x1;
• индексы слотов в десятичном виде, в примере выше 0 и 1.

Далее для выбора ключевого носителя можно использовать опции:

• --slot <номер_слота> — выбор по номеру слота (номер может быть указан как в шестнадцатеричном, так и в десятичном виде);
• --slot-index <индекс_слота> — выбор по индексу слота (индекс указывается в десятичном виде).

Используемые инструментом модули должны быть указаны в командной строке (опция --module). Например, для интерфейсного модуля Рутокен:

Инструмент командной строки opensc-tool

Инструмент командной строки opensc-tool представлен в пакете opensc и может быть установлен командой:

Выбор ключевого носителя для работы, чтение каталога данных с ключевого носителя

Инструмент командной строки p11tool

При работе с инструментом p11tool ключевой носитель задается указанием его URL. Например, чтение каталога данных ключевого носителя:

Object 0:   URL: pkcs11:model=Rutoken%20ECP;manufacturer=Aktiv%20Co.;serial=413a49ed;token=413a49ed;id=%45;object=testlabel;type=public   Type: Public key (RSA-2048)   Label: testlabel   ID: 45

Object 1:   URL: pkcs11:model=Rutoken%20ECP;manufacturer=Aktiv%20Co.;serial=413a49ed;token=413a49ed;id=%45;object=sert;type=cert   Type: X.509 Certificate (RSA-2048)   Expires: Wed Aug 2 17:26:33 2023   Label: sert   ID: 45

На ключевом носителе доступны два публичных объекта — открытый ключ (тип public) и сертификат открытого ключа (тип cert). Для получения защищенных объектов следует указать PIN-код пользователя и необходимость аутентификации с заданным PIN-кодом (опция --login). PIN-код передается через переменную окружения GNUTLS_PIN, например:

GNUTLS_PIN=12345678 p11tool --login --list-all 'pkcs11:model=Rutoken%20ECP;manufacturer=Aktiv%20Co.;serial=413a49ed;token=413a49ed'

Пример вывода команды:

Object 0:   URL: pkcs11:model=Rutoken%20ECP;manufacturer=Aktiv%20Co.;serial=413a49ed;token=413a49ed;id=%45;object=testlabel;type=public   Type: Public key (RSA-2048)   Label: testlabel   ID: 45

Object 1:   URL: pkcs11:model=Rutoken%20ECP;manufacturer=Aktiv%20Co.;serial=413a49ed;token=413a49ed;id=%45;object=testlabel;type=private   Type: Private key (RSA-2048)   Label: testlabel   Flags: CKA_PRIVATE; CKA_NEVER_EXTRACTABLE; CKA_SENSITIVE;    ID: 45

Object 2:   URL: pkcs11:model=Rutoken%20ECP;manufacturer=Aktiv%20Co.;serial=413a49ed;token=413a49ed;id=%45;object=sert;type=cert   Type: X.509 Certificate (RSA-2048)   Expires: Wed Aug 2 17:26:33 2023   Label: sert   ID: 45

Кроме публичных объектов также показан защищенный объект — закрытый ключ (тип private), причем ключ неизвлекаемый (флаг CKA_NEVER_EXTRACTABLE).

Инструмент командной строки pkcs11-tool

Инструмент pkcs11-tool использует номера слотов (опция --slot) или индексы слотов (опция --slot-index). Пример получения каталога данных ключевого носителя, находящегося в слоте с номером 0x1ffff:

Using slot 0 with a present token (0x1ffff)
Public Key Object; RSA 2048 bits  label:   testlabel  ID:     45  Usage:   encrypt, verify  Access:   local
Certificate Object; type = X.509 cert  label:   sert  subject:  DN: C=RU, ST=MO, L=Moscow, O=Astra, OU=Wiki/emailAddress=le@astralinux.ru, CN=le  ID:     45

Для получения данных с аутентификацией можно использовать опцию --login (при этом PIN-код для аутентификации будет запрошен в интерактивном режиме):

Инициализация (очистка) и подготовка ключевого носителя

Для инициализации обязательными являются указание метки ключевого носителя и SO-PIN-кода. Кроме этого, требуется указать интерфейсный модуль, соответствующий ключевому носителю:

Изменение SO-PIN-кода

Для смены SO-PIN-кода требуется указать действующий и новый коды:

Изменение PIN-кода

Изменение PIN-кода выполняется его владельцем. Для изменения требуется указать действующий и новый коды:

Создание ключевой пары

При работе с активными ключевыми носителями создание ключевой пары выполняется встроенным криптопровайдером на самом носителе:

• --keypairgen — команда создания ключевой пары;
• --label <метка> — метка (имя) ключевой пары;
• --key-type <алгоритм> — алгоритмы, применяемые для создания ключа. Обычно используется rsa:2048, для ключевых носителей с апплетами Аладдин ГОСТ можно использовать алгоритм GOSTR3410-2001:A.
• --id <идентификатор> — идентификатор ключевой пары. Если не задан, то генерируется автоматически.

Подготовка ключевых пар для размещения в пассивных ключевых носителях может быть выполнена с помощью инструмента openssl. См. документацию man openssl-genrsa.

Далее для использования ключей понадобится их идентифицировать. Для идентификации ключей можно использовать номера слотов или полные идентификаторы (URL). Получить их можно командами:

1. Пример получения номеров слотов (понадобится пакет opensc):
   
   pkcs11-tool --module /usr/lib/librtpkcs11ecp.so -O --login --pin 12345678
   

   ---

   sing slot 0 with a present token (0x0)
   Public Key Object; RSA 2048 bits
     label:      2FA Token RSA
     ID:         353edbce2d69b499615cbff8d4a5900e8c010b70
     Usage:      encrypt, verify
     Access:     local
   Private Key Object; RSA 
     label:      2FA Token RSA
     ID:         353edbce2d69b499615cbff8d4a5900e8c010b70
     Usage:      decrypt, sign
     Access:     sensitive, always sensitive, never extractable, local
   Public Key Object; EC  EC_POINT 256 bits
     EC_POINT:   04410447965c58186119f1f99cb07ae69a6738f07780b16bd25104b688e58f05228a20ccb5ef9b1b4deda7ce1def696bc6ea513cffcee5c4c903168b2972041ec6b16b
     EC_PARAMS:  06082a8648ce3d030107
     label:      2FA Token ECDSA
     ID:         4f1ebb46e552b989aeb70ff1918597a6c2259a81
     Usage:      verify
     Access:     local
   Private Key Object; EC
     label:      2FA Token ECDSA
     ID:         4f1ebb46e552b989aeb70ff1918597a6c2259a81
     Usage:      sign
     Access:     sensitive, always sensitive, never extractable, local
2. Пример получения URL (понадобится пакет gnutls-bin):
   
   p11tool --list-keys --login --only-urls
   

   ---

   pkcs11:model=Rutoken%20ECP;manufacturer=Aktiv%20Co.;serial=413a49ed;token=2FA%20Token;id=%35%3E%DB%CE%2D%69%B4%99%61%5C%BF%F8%D4%A5%90%0E%8C%01%0B%70;object=2FA%20Token%20RSA;type=private
   pkcs11:model=Rutoken%20ECP;manufacturer=Aktiv%20Co.;serial=413a49ed;token=2FA%20Token;id=%4F%1E%BB%46%E5%52%B9%89%AE%B7%0F%F1%91%85%97%A6%C2%25%9A%81;object=2FA%20Token%20ECDSA;type=private

Создание сертификата открытого ключа

Для создания сертификата открытого ключа используется ранее созданная ключевая пара. Создание сертификата выполняется с помощью инструмента openssl. Порядок настройки openssl на работу с ключевыми носителями см. в статье Единый доступ к ключевым носителям разных производителей. Пример выпуска самоподписанного сертификата с использованием неизвлекаемого приватного ключа, расположенного на ключевом носителе:

1. Создать запрос на выпуск сертификата:
   
   openssl req -new --keyform engine -engine pkcs11 -key "<идентификатор_ключа>" -out "user.csr" \
           -subj "/C=RU/ST=MO/L=Moscow/CN=user/OU=Wiki/O=Astra" \
           -addext "keyUsage=digitalSignature,keyEncipherment" \
           -addext "extendedKeyUsage=serverAuth,clientAuth" \
           -passin pass:$GNUTLS_PIN
   В результате выполнения команды будет создан файл user.csr с запросом на выпуск сертификата.
2. Создать файл с параметрами сертификата. Например, файл ext.cnf со следующим содержимым:
   

   [ v3_req ]
   basicConstraints       = CA:false
   extendedKeyUsage       = serverAuth,clientAuth
   keyUsage               = digitalSignature,keyEncipherment
   subjectAltName         = email:test@test.com

3. Выпустить самоподписанный сертификат:
   
   openssl x509 -keyform engine -engine pkcs11 -passin pass:$GNUTLS_PIN -extensions v3_req -extfile ext.cnf -req -days 3650 -in "user.csr" -signkey "$url" -out user.crt
   
   
   

Использование интерактивного режима openssl:

Сохранение данных в ключевом носителе

Созданный на предыдущем шаге сертификат загружается (импортируется) в ключевой носитель следующей командой:

• --type cert — тип загружаемых данных (в данном случае — сертификат);
• -w <имя_файла> — имя загружаемого файла;
• --label <метка> — метка создаваемого объекта;
• --id <идентификатор> — идентификатор ранее созданной ключевой пары.

Сохранять на ключевых носителях можно не только ключи и сертификаты, но и любые данные. При этом:

• используется соответствующий тип данных (при использовании pkcs11-tool — тип данных data, для других инструментов см. документацию);
• идентификатор (опция --id) не используется.

Объекты типа данные идентифицируются метками (--label) и именами приложений (--application-label) (а также идентификаторами приложений (OID), но их получение требует регистрации).

Например, команда для сохранения данных в режиме обычного USB-накопителя:

Экспорт данных, сохраненных в ключевом носителе

Для экспорта сохраненных данных используется опция --read. По умолчанию объект выводится в стандартный вывод (stdout), файл для сохранения объекта можно указать с помощью опции --output-file, например:

Удаление данных

Для удаления данных используется опция --delete-object. Остальные опции (идентификаторы объекта, PIN-код) такие же, как в примерах выше: