ПАК «С-Терра Шлюз» совместим с следующими токенами:
• JaCarta PKI, JaCarta-2 ГОСТ, JaCarta-2 PKI/ГОСТ;
• Рутокен Lite, Рутокен ЭЦП 2.0, Рутокен ЭЦП 3.0 (3100, 3220).
Работа с неизвлекаемыми ключами возможна на токенах:
• JaCarta-2 ГОСТ, JaCarta-2 PKI/ГОСТ;
• Рутокен ЭЦП 2.0, Рутокен ЭЦП 3.0.
|
Внимание! |
Продукт может одновременно работать только с одним типом токенов в рамках работы с одной библиотекой. Возможно одновременное подключение нескольких токенов одного типа. Одновременная работа токенов, требующих взаимодействия с разными библиотеками, невозможна. |
Токены могут применяться для двухфакторной аутентификации пользователей при доступе к консоли разграничения доступа и в качестве ключевого носителя для контейнера с секретным ключом локального сертификата, используемого для СКЗИ.
Если на С-Терра Шлюз используется криптобиблиотека, разработанная компанией «С-Терра СиЭсПи», и контейнер с секретным ключом хранится на токене, то для работы с токенами отредактируйте конфигурационный файл /etc/S-Terra/skzi.conf. Необходимо раскомментировать строки, относящиеся к нужному типу токена.
Пример выполняемых настроек в файле /etc/S-Terra/skzi.conf:
• Для работы токена JaCarta:
TokenLibPath=/usr/lib/libjcPKCS11-2.so
TokenType=etoken
TokenLibFlag=0
• Для работы токена Rutoken:
TokenLibPath=/usr/lib/librtpkcs11ecp.so
TokenType=rutoken
TokenLibFlag=1
Выполните редактирование skzi.conf, затем перезагрузите систему командой reboot.
|
Внимание! |
По умолчанию ПАК «С-Терра Шлюз» настроен на работу с токенами JaCarta. |
|
Внимание! |
При инициализации токена PKI не устанавливайте в разделе дополнительных настроек инициализации флажок «При первом входе необходимо изменить пароль»/«Пользователь должен сменить PIN-код». |
Ограничения при использовании USB-токена на С-Терра Шлюз:
• Поддерживается работа только одной из заданных в /etc/S‑Terra/skzi.conf библиотек;
• Существующему пользователю в консоли разграничения доступа нельзя добавить второй фактор аутентификации, нужно создать нового пользователя;
• При изменении PIN-кода пользователя нужно пересоздать контейнер ключевого носителя для СКЗИ и перевыпустить сертификат;
• Имя контейнера ключевого носителя для СКЗИ не должно совпадать с именем контейнера для консоли разграничения доступа.