Инструкция по организации защищенного канала связи с использованием технологии на базе СКЗИ «КриптоПро NGate» (настройка VPN-туннеля)

Общие положения
Технические условия
Создание и отправка запроса на сертификат Клиента
Установка корневого сертификата
Альтернативный способ установки корневого и личного сертификата
Подключение VPN-туннеля
Список приложений

1. Общие положения

1.1. В целях выполнения требований действующего законодательства Российской Федерации в сфере информационной безопасности, доступ внешних пользователей (далее — Клиентов) к внутренним защищаемым информационным ресурсам и сервисам (далее — защищаемые ресурсы) общества с ограниченной ответственностью «Спектрум кредитное бюро» (далее — ООО «СКБ») предоставляется по защищенному каналу связи реализованному на базе средства криптографической защиты информации «Криптографический сетевой программный комплекс «КриптоПро NGate» (далее – КСПК NGate).

1.2. КСПК NGate используется для обеспечения и предоставления Клиентам безопасного доступа (в туннельном режиме, а также по технологии ГОСТ TLS) к защищаемым ресурсам ООО «СКБ» и защиты этих ресурсов от несанкционированного доступа со стороны сетей общего пользования.

1.3. Программное обеспечение «КриптоПро NGate Клиент», используется для построения VPN-соединения между Клиентом и защищаемыми ресурсами ООО «СКБ».

1.4. В настоящей Инструкции определяются условия и требования по организации защищенного канала связи. Данная Инструкция предназначена для Клиентов и помогает выполнить самостоятельную установку и настройку программного обеспечения «КриптоПро NGate Клиент».

1.5. В инструкции рассмотрен вариант настройки программного обеспечения «КриптоПро NGate Клиент» для операционной системы Microsoft Windows 10 (далее — ОС).

2. Технические условия

2.1. Для обеспечения работоспособности программного обеспечения «КриптоПро NGate Клиент» необходимо наличие на автоматизированном рабочем месте сертифицированной версии и сборки криптопровайдера «Крипто-Про CSP». Установка и настройка криптопровайдера «Крипто-Про CSP» осуществляется в соответствии с технической и эксплуатационной документацией к нему (в том числе, размещенной на официальном сайте разработчика https://cryptopro.ru/products/csp/).

2.2. Аутентификация Клиента осуществляется по сертификату ключа проверки электронной подписи (далее — сертификат), который удовлетворяет следующим требованиям:

обеспечивает возможность работы с криптографией в соответствии с алгоритмами ГОСТ Р 34.11-2012/34.10-2012;
содержит расширение (OID) «Проверка подлинности клиента (1.3.6.1.5.5.7.3.2)»;
в составе сертификата обязательно присутствует поле «Organization (O)», в котором указывается сокращенное наименование организации в соответствии с ЕГРЮЛ (по данному полю будет проходить дополнительная проверка сертификата Клиента).

2.3. Приобретение лицензии на право использования криптопровайдера «Крипто-Про CSP» осуществляется Клиентом самостоятельно.

2.4. Установка и первоначальная настройка программного обеспечения «КриптоПро NGate Клиент» осуществляется в соответствии с эксплуатационной и технической документацией, размещенной на официальном сайте разработчика, в том числе:

Средство криптографической защиты информации «Криптографический сетевой программный комплекс «КриптоПро NGate». Руководство пользователя MS Windows ЖТЯИ.00104-01 91 01 (приложение 1);
Средство криптографической защиты информации «Криптографический сетевой программный комплекс «КриптоПро NGate». Руководство пользователя. ОС Linux ЖТЯИ.00104-01 91 02 (приложение 2).

2.5. Актуальный дистрибутив программного обеспечения «КриптоПро NGate Клиент» для вашей операционной системы можно загрузить со следующего ресурса: https://cryptopro.ru/products/ngate/downloads. С инструкцией по установке можно ознакомиться на сайте https://cpdn.cryptopro.ru/content/ngate/client-user-guide/index.html.

3. Создание и отправка запроса на сертификат Клиента

3.1. В целях обеспечения взаимной аутентификации Клиент в адрес ООО «СКБ» направляет запрос на сертификат, созданный с помощью программного обеспечения «КриптоПро NGate Клиент»:

3.1.1. Зайти в КриптоПро NGate — клиент для подключения к туннелю NGate.

3.1.2. Во вкладке сертификаты нажать кнопку «Создать запрос»

Рисунок 1 — Мастер нового сертификата клиентского программного обеспечения «КриптоПро NGate Клиент»

3.1.3. Далее необходимо заполнить данные:

Тип секретного ключа: GOST 2012 256bit

Экспорт разрешен: поставить галочку

Имя [CN]: указать E-Mail

Организация [O]: при наличии, как в ЕГРЮЛ

Подразделение [OU]: можно не заполнять

Страна [C]: RU

Рисунок 2 — Мастер нового сертификата клиентского программного обеспечения «КриптоПро NGate Клиент»

3.1.4. Выполнить сохранение запроса в удобное место, должен получиться файл формата .csr.

Рисунок 3 — Мастер нового сертификата клиентского программного обеспечения «КриптоПро NGate Клиент»

3.1.5. Отправить созданный запрос в адрес ООО «СКБ» по электронной почте на адрес технической поддержки, указанный на официальном сайте Бюро в разделе контакты https://cbch.ru/contacts/.

3.2. После получения от ООО «СКБ» корневых сертификатов, а также личного неквалифицированного сертификата, по которому будет осуществляться аутентификация Клиента на шлюзе при создании подключения (VPN-туннеля), производится их установка в хранилище.

4. Установка корневого сертификата

4.1. Корневой сертификат УЦ «КриптоПро», необходимый для установки доверия к сертификату шлюза безопасности «КриптоПро NGate», доступен к получению двумя способами:

на сайте http://vpnca.cryptopro.ru/dist.htm;
в комплекте, который придёт вместе с вашим личным сертификатом и корневым сертификатом УЦ ООО «СКБ».

4.2. Установка корневого сертификата в системное хранилище сертификатов ОС:

двойным кликом мыши откройте файл корневого сертификата и во вкладке «Общее» нажмите кнопку «Установить сертификат…» (Рисунок 4):

Рисунок 4 — открытый файл сертификата (вкладка «Общее»)

выберите расположение — «Текущий пользователь» (Рисунок 5), нажмите «Далее»:

Рисунок 5 — выбор расположения хранилища сертификатов

укажите вариант «Поместить все сертификаты в следующее хранилище» (т.е. вручную) и нажмите кнопку «Обзор» (Рисунок 6):

Рисунок 6 — выбор хранилища для расположения корневого сертификата вручную

в появившемся окне выберите хранилище — «Доверенные корневые центры сертификации» (Рисунок 7):

Рисунок 7 — выбор хранилища из списка

в итоге будет выбрано нужное хранилище, нажмите «Далее» (Рисунок 8):

Рисунок 8 — выбор хранилища — «Доверенные корневые центры сертификации»

на завершающем этапе установки сертификата нажмите «Готово»;
далее появится стандартное предупреждение системы безопасности ОС, появляющееся при добавлении корневого (самоподписанного) сертификата, и для корректного добавления сертификата в системное хранилище ОС, а также последующего его использования необходимо согласиться с установкой сертификата и нажать «Да» (Рисунок 9):

Рисунок 9 — окно предупреждения системы безопасности

5. Альтернативный способ установки корневого и личного сертификата

5.1. Открыть КриптоПро NGate и перейти во вкладку «Сертификаты»

Рисунок 10 — интерфейс клиентского программного обеспечения «КриптоПро NGate Клиент» (вкладка «Сертификаты»)

5.2. Нажать кнопку «Импорт» и выбрать Cертификат УЦ (CA Certificate).

Рисунок 11 — Мастер установки сертификата клиентского программного обеспечения «КриптоПро NGate Клиент»

5.3. Произвести импорт корневых сертификатов ROOTCA.cer и vpncacer.p7b.

Рисунок 12 — интерфейс выбора файла сертификата

5.4. Выполнить установку личного сертификата, полученного в комплекте с корневыми. Для этого после нажатия импорт выбираем «Внутренний сертификат» («Internal certificate»).

Рисунок 13 — Мастер установки сертификата клиентского программного обеспечения «КриптоПро NGate Клиент»

5.5. Выбираем личный сертификат, вводим ПИН-код и всё готово к подключению.

Рисунок 14 — интерфейс выбора файла сертификата

6. Подключение VPN-туннеля

6.1. Для подключения VPN-туннеля необходимо выполнить следующее:

запустить клиентское программное обеспечение «КриптоПро NGate Клиент», по умолчанию при запуске должна открыться вкладка «Состояние» (Рисунок 15)
указать URL адрес и соответствующий порт: https://vngw.cbch.ru:50000
нажать кнопку «Подключить»

Рисунок 15 — интерфейс клиентского программного обеспечения «КриптоПро NGate Клиент» (вкладка «Состояние»)

6.2 В появившемся окне «Аутентификация пользователя» необходимо выбрать сертификат для аутентификации (сертификат, который был получен от ООО «СКБ» в соответствии с пунктом 3.2 Инструкции) и ввести пароль / PIN закрытого ключа (Рисунок 16).

Рисунок 16 — окно аутентификации пользователя (выбор сертификата)

6.3. В случае успешного выполнения настройки подключения статус туннеля изменится и поменяется индикация подключения (Рисунок 17). С этого момента авторизованному Клиенту будет предоставлен доступ к соответствующим его правам защищаемым ресурсам ООО «СКБ».

Рисунок 17 — индикация статуса подключения — VPN соединение установлено

7. Список приложений

Приложение № 1. Средство криптографической защиты информации «Криптографический сетевой программный комплекс «КриптоПро NGate». Руководство пользователя MS Windows ЖТЯИ.00104-01 91 01 Скачать

Приложение № 2. Средство криптографической защиты информации «Криптографический сетевой программный комплекс «КриптоПро NGate». Руководство пользователя. ОС Linux ЖТЯИ.00104-01 91 02 Скачать

Приложение № 3. Корневой сертификат удостоверяющего центра КриптоПро Скачать