Результатом очередного крупного этапа работ над нашим новым криптопровайдером, КриптоПро CSP версии 4.0, стал релиз КриптоПро CSP 4.0 Bernoulli. В дополнение к большому числу исправлений и улучшений кода, новый релиз отличает от старого ряд существенных нововведений, о которых мы и расскажем в этой заметке.
Основное изменение в структуре работы с провайдером заключается в выделении, наряду с существующим PROV_GOST_2001_DH, двух новых типов провайдера: PROV_GOST_2012_256 и PROV_GOST_2012_512. Тип провайдера определяет алгоритм долговременных ключевых пар, создаваемых с его использованием: для создания долговременных ключей подписи или обмена по ГОСТ Р 34.10-2012 длины 256 или 512 бит необходимо использовать один из двух новых типов провайдера, в соответствии с желаемой длиной ключа. При этом с любым из типов провайдера можно использовать все алгоритмы хэширования и работы с эфемерными ключевыми парами.
Сами ключевые контейнеры для ключей ГОСТ Р 34.10-2012 были полностью переработаны – как по формату, так и по алгоритмам защиты. Отображение полей контейнера с помощью приложения контрольной панели "КриптоПро CSP" тоже было переработано – так, например, теперь в ней отображается связанный c контейнером набор параметров шифрования. Заметим, что хранить в одном контейнере два ключа разных алгоритмов (например, ГОСТ Р 34.10-2012, 256 бит, и ГОСТ Р 34.10-2012, 512 бит) нельзя.
Еще один набор изменений в провайдере связан с внедрением в код решений Технического комитета по стандартизации "Криптографическая защита информации" (ТК 26) о плавном переходе на новые узлы замены ГОСТ 28147-89. В связи с этим, идентификатор параметров шифрования по умолчанию для новых типов провайдера теперь равен значению id-tc26-gost-28147-param-Z, определенному в утвержденном ТК 26 документе "Методические рекомендации по заданию узлов замены блока подстановки алгоритма шифрования ГОСТ 28147-89". При этом, после подгрузки ключа контейнера по умолчанию используются параметры, прописанные в контейнере.
Кроме того, алгоритмы экспорта долговременных ключей ГОСТ Р 34.10-2012 в провайдере переведены на работу с новой функцией диверсификации, основанной на хэш-функции ГОСТ Р 34.11-2012: новый алгоритм экспорта получил идентификатор CALG_PRO12_EXPORT.
Справка по основным отличиям в интерфейсе провайдера представлена в новом разделе "Основные отличия интерфейса КриптоПро CSP версии 4.0 от версии 3.6" нашего Руководства программиста.
Есть много новостей и непосредственно связанных с использованием нашего провайдера конечными потребителями.
Весь наш новый функционал плотно интегрирован в новейшие продукты Microsoft:
- Windows 8.1,
- Internet Explorer 11 Enhanced Protected Mode,
- Internet Information Services 8,
- Active Directory Certificate Services для Windows Server 2012 R2.
К новому релизу наши партнёры подготовили носители и модули поддержки, способные хранить "длинные" (с длиной открытого ключа 1024 бита) ключи:
- ключевые носители eToken Java и JaCarta компании "Аладдин Р.Д.";
- ключевые носители ESMART компании ISBC;
- инженерные образцы карт Gemalto проверены и носители запущены в серийное производство;
- носители компании «Актив» (кроме Rutoken Magistra) поддерживали «длинные ключи» ещё с первого релиза.
Обращаем внимание, что при необходимости совместной работы текущей версии КриптоПро CSP 4.0 с любым из наших ФКН-провайдеров (КриптоПро Рутокен CSP, КриптоПро eToken CSP, КриптоПро Магистра CSP, КриптоПро УЭК CSP) КриптоПро CSP 4.0 должен быть установлен последним.
Чтобы облегчить внедрение современных алгоритмов, наш тестовый удостоверяющий центр теперь может выпускать сертификаты для новых ключей.
Для мобильных устройств – и, в частности, на платформе iOS – мы сделали совершенно новый биологический датчик случайных чисел, создание ключей на котором является занятием гораздо менее утомительным.
А еще используемые в подписи на "длинных" ключах параметры теперь официально рекомендованы для использования Техническим комитетом по стандартизации "Криптографическая защита информации". Но об этом рассказывает уже другая статья в нашем блоге.