Внимание! |
Создать СА сертификат и рабочий сертификат Сервера управления можно с помощью доверенного УЦ, а потом импортировать их на Сервер управления. Существуют следующие ограничения: • поле CN СА сертификата должно начинаться с зарезервированной строки CN=UPServer CA certificate. (Для последующего выпуска рабочего сертификата СА сертификат не должен быть конечного типа, т.е. его поле Basic Сonstraints должно содержать значение subject type=CA.) • поле CN рабочего сертификата должно начинаться с зарезервированной строки CN=UPServer work certificate. • при импорте сертификатов сервера управления (CA и Work) их контейнеры должны быть системными. CA сертификат Сервера управления должен отличаться от любого другого сертификата, выпущенного УЦ. Поэтому Сервер управления в качестве CA сертификата примет только сертификат со строкой Common Name = UPServer CA certificate <GUID>. В противном случае, злоумышленнику понадобится любой сертификат, выпущенный Удостоверяющим центром для получения полного контроля над сетью. На Сервере управления предусмотрен выпуск самоподписанного СА сертификата, если политика УЦ не позволяет выпустить сертификат с таким полем CN. |
Можно выполнить создание СА сертификата непосредственно на Сервере управления.
Шаг 1: В группе CA certificate (Рисунок 59) заполните поля в окне Create new CA certificate, например, следующими значениями и нажмите кнопку Create (Рисунок 72):
Рисунок 72
• Public key algorithm - алгоритм генерации открытого ключа СА сертификата и ЭЦП, доступны три алгоритма:
• RSA - длина открытого ключа - 2048 бит
• GOST_341001 (ГОСТ Р 34.10-2001) - длина открытого ключа - 512 бит, для использования этого алгоритма на Сервере управления должен быть установлен СКЗИ «КриптоПро CSP»
• GOST_R341012_256 (ГОСТ Р 34.10-2012) - длина открытого ключа - 256 бит, для использования этого алгоритма на Сервере управления должен быть установлен СКЗИ «КриптоПро CSP»
Внимание! |
При использовании алгоритма ГОСТ Р 34.10-2012 может возникнуть проблема получения обновлений Клиентами управления ранних версий (3.1, 3.11, 4.1). Во избежание возникновения проблем необходимо либо использовать алгоритм ГОСТ Р 34.10-2001 для создания сертификатов при работе со старыми Клиентами управления, либо обновить Клиентов управления до версии 4.2 согласно разделу «Сценарий обновления Клиента управления до версии 4.2». |
• Organization - название организации
• Organization Unit - название отдела в организации
• Common Name - заполняется автоматически
• Lifetime - срок действия сертификата в месяцах
Шаг 2: Будет выдано предупреждение о создании СА сертификата (Рисунок 73). Нажмите кнопку Yes.
Рисунок 73
Шаг 3: В следующем окне Set the container parameters of a new CA certificate введите пароль к ключевому контейнеру или оставьте поля пустыми (Рисунок 74). Нажмите кнопку ОК.
Рисунок 74
Шаг 4: После успешного создания сертификата будет выдано подтверждение, нажмите кнопку ОК (Рисунок 75).
Рисунок 75
Область CA certificate примет следующий вид (Рисунок 76).
Рисунок 76
Внимание! |
Рекомендуется создать резервную копию ключевого контейнера и CA сертификата сервера управления. |
Можно создать два СА сертификата (Рисунок 77), например, один с использованием алгоритма RSA, а другой - алгоритма GOST для генерации открытого ключа. СА сертификатов Сервера управления может быть несколько. Выбор из списка актуального CA сертификата осуществляется нажатием кнопки Set Default. В результате напротив этого CA сертификата в столбце Active появится звездочка (*).
Рисунок 77