Download - Svetlin Nakov

При използването на PKCS#12 хранилища, съхранявани във вид на файл,
има риск някой да прекопира този файл и да подслуша по някакъв начин
паролите за достъп до него, след което да извлече личните ключове без
знанието на собственика на хранилището. При използването на смарт карта
с криптопроцесор не е възможно личните ключове да бъдат извлечени и
прекопирани поради хардуерни съображения. Остава възможността картата
да бъде открадната физически, но рискът от това е много по-малък в
сравнение с риска от прекопирване на файл.
Стандарти за достъп до смарт карти
Смарт картите имат собствен криптопроцесор, собствена операционна
система, защитена памет и собствена файлова система. Достъпът до тях
става на различни нива с различни протоколи. Стандартът ISO 7816
(http://www.maxking.com/iso78161.htm) описва основните компоненти на
смарт картите и работата с тях на ниско ниво.
На по-високо ниво за достъп до смарт карти се използва стандартът
PKCS#11, който дефинира програмен интерфейс за взаимодействие с
криптографски устройства (cryptographic tokens) – като смарт карти, хардуерни
криптографски ускорители и други [PKCS#11].
Софтуерът, който се доставя заедно със смарт картите, обикновено съдържа
имплементация на PKCS#11 за съответната карта и за съответния
карточетец.
PKCS#11 стандартът не позволява физически да се извличат личните
ключове от смарт карта, но дава възможност за използване на тези ключове
с цел шифриране, дешифриране или подписване на данни. Разбира се, за да
се извърши подобна операция, е необходимо преди това потребителят да
въведе своя PIN код, който защитава достъпа до картата.
PKCS#11 стандартът предоставя интерфейс за достъп до защитени хранилища
за ключове и сертификати, съхранявани върху смарт карта. По тази
причина със смарт картите може да се работи по начин, много подобен на
работата с PKCS#12 хранилища. Една PKCS#11 съвместима смарт карта,
обаче, има много повече възможности от едно PKCS#12 хранилище.
1.2.4. Издаване и управление на цифрови сертификати
Когато един сертификационен орган издаде цифров сертификат на свой
клиент, клиентът в крайна сметка получава едно защитено хранилище за
ключове и сертификати, което съдържа издадения му сертификат, свързаният
с него личен ключ и цялата сертификационна верига, която удостоверява
автентичността на сертификата.
Защитеното хранилище се предоставя на клиента или във вид на PFX файл
или върху смарт карта или се инсталира директно в неговия уеб браузър.
След това то може да бъде експортирано в друг формат или да се използва
директно за автентикация, за подписване на документи, за проверка на
подпис, за шифриране и дешифриране на информация и т.н.
33