Настройка для работы с токенами
Настройка для работы с токенами
ПАК «С-Терра Шлюз» совместим с следующими токенами:
- JaCarta PKI, JaCarta-2 ГОСТ, JaCarta-2 PKI/ГОСТ;
- Рутокен Lite, Рутокен ЭЦП 2.0, Рутокен ЭЦП 3.0 (3100, 3220).
Работа с неизвлекаемыми ключами возможна на токенах:
- JaCarta-2 ГОСТ, JaCarta-2 PKI/ГОСТ;
- Рутокен ЭЦП 2.0, Рутокен ЭЦП 3.0.
| Внимание! | Продукт может одновременно работать только с одним типом токенов в рамках работы с одной библиотекой. Возможно одновременное подключение нескольких токенов одного типа. Одновременная работа токенов, требующих взаимодействия с разными библиотеками, невозможна. |
Токены могут применяться для двухфакторной аутентификации пользователей при доступе к консоли разграничения доступа и в качестве ключевого носителя для контейнера с секретным ключом локального сертификата, используемого для СКЗИ.
Если на С-Терра Шлюз используется криптобиблиотека, разработанная компанией «С-Терра СиЭсПи», и контейнер с секретным ключом хранится на токене, то для работы с токенами отредактируйте конфигурационный файл /etc/S-Terra/skzi.conf. Необходимо раскомментировать строки, относящиеся к нужному типу токена.
Пример выполняемых настроек в файле /etc/S-Terra/skzi.conf:
- Для работы токена JaCarta:
TokenLibPath=/usr/lib/libjcPKCS11-2.so
TokenType=etoken
TokenLibFlag=0
- Для работы токена Rutoken:
TokenLibPath=/usr/lib/librtpkcs11ecp.so
TokenType=rutoken
TokenLibFlag=1
Выполните редактирование skzi.conf, затем перезагрузите систему командой reboot.
| Внимание! | По умолчанию ПАК «С-Терра Шлюз» настроен на работу с токенами JaCarta. |
| Внимание! | При инициализации токена PKI не устанавливайте в разделе дополнительных настроек инициализации флажок «При первом входе необходимо изменить пароль»/«Пользователь должен сменить PIN-код». |
Ограничения при использовании USB-токена на С-Терра Шлюз:
- Поддерживается работа только одной из заданных в /etc/S‑Terra/skzi.conf библиотек;
- Существующему пользователю в консоли разграничения доступа нельзя добавить второй фактор аутентификации, нужно создать нового пользователя;
- При изменении PIN-кода пользователя нужно пересоздать контейнер ключевого носителя для СКЗИ и перевыпустить сертификат;
- Имя контейнера ключевого носителя для СКЗИ не должно совпадать с именем контейнера для консоли разграничения доступа.