Создание защищенных Web-сайтов/порталов на базе Apache и российской криптографии.
Российские госсайты: кризис доверия
Web-сервер Apache разрабатывается и поддерживается открытым сообществом разработчиков под эгидой Apache Software Foundation и включён во многие программные продукты, среди которых СУБД Oracle и IBM WebSphere. С апреля 1996 и до настоящего времени является самым популярным HTTP-сервером в Интернете.
Безопасность Web-порталов, создаваемых на базе Apache, достигается авторизацией доступа к порталам путем предъявления пользователем личного сертификата X509 и последующей защитой (шифрованием) трафика между порталом и браузером (приложением) пользователя.
Авторизованный доступ и шифрование трафика обеспечивает подключаемый модуль modssl.
Для поддержки российской криптографии (ГОСТ Р 34.10-2001/ГОСТ Р 34.10-2012, ГОСТ Р 34.11-94/ГОСТ Р 34.11-2012, ГОСТ 28147-89) при создании Web-приложений с использованием Apache ООО «ЛИССИ-Софт» на базе СКЗИ «ЛИРССЛ-CSP» разработало модуль LirModSSL, который обеспечивает поддержку HTTPS в соответствии с рекомендованными Техническим комитетом 26 наборами алгоритмов шифрования шифрсьют (ciphersuite - набор криптографических параметров защищенного сетевого соединения) на основе ГОСТ 28147-89 для протокола безопасности транспортного уровня (TLS):
- TLS_GOSTR341001_WITH_28147_CNT_IMIT;
- TLS_GOSTR341112_256_WITH_28147_CNT_IMIT.
Использование модуля LirModSSL позволяет обеспечить пользователям как анонимный, так и авторизованный доступ к Web-порталам с предъявлением личных сертификатов ключей проверки электронной подписи по ГОСТ Р 34.10-2001и ГОСТ Р 34.10-2012, а шифрование трафика - по ГОСТ 28147-89.
Для доступа к защищенному порталу по протоколам TLS-1.0, TLS-1.1 и/или TLS-1.2 должны использоваться браузеры и/или приложения, поддерживающие шифрсьют TLS_GOSTR341001_WITH_28147_CNT_IMIT и/или TLS_GOSTR341112_256_WITH_28147_CNT_IMIT.
Браузер Firefox
)
Браузер Redfox
)
Браузер Internet Explorer
)
Браузер SeaMonkey
)
Браузер Chromium
)
Браузер Firefox для Android
)
В качестве примера пользовательского приложения, работающего с защищенным Web-порталом, можно рассматривать криптоплагин:
)
)
)
Тестовые страницы для тестирования TLS-1.0, TLS-1.1 и/или TLS-1.2 для ГОСТ-овых шифрсьют:
TLS_GOSTR341001_WITH_28147_CNT_IMIT/TLS_GOSTR341112_256_WITH_28147_CNT_IMIT:
)
Доступ к сайту ООО "ЛИССИ-Софт" возможен также по протоколу TLS (TLS-1.0, TLS-1.1 и/или TLS-1.2), как в анонимном режиме по адресу https://www.lissi.ru , либо https://soft.lissi.ru , так и в авторизованном режиме (при наличии у пользователя сертификата, выданного тестовым УЦ ООО "ЛИССИ-Софт" по адресу https://lissi.ru:9943.
Для разработчиков Web-порталов интерес также представляет модуль php-lirssl, реализующий поддержку российской криптографии в скриптовом языке PHP, применяемом для разработки веб-приложений. Проверить работу модуля php-lirssl можно с помощью криптоплагина:
Взаимодействие с веб-серверами
- Подписание строки клиентом, проверка на сервере;
- Подписание строки на сервере, проверка на клиенте (PKCS#7);
- Шифрование строки на сервере, расшифрование на клиенте;
- Шифрование строки на клиенте, расшифрование на сервере;
- Установка авторизованного TLS-соединения.
