Технические аспекты работы ГОСТ TLS: что нужно знать ИТ-специалистам

ГОСТ TLS — российский стандарт шифрования, который обеспечивает безопасное соединение с использованием отечественных криптографических алгоритмов. Понимание технических деталей поможет грамотно внедрять и поддерживать защиту ваших сервисов. Рассказываем, как работает ГОСТ TLS и на что он способен.

Схема работы TLS-шлюза

ГОСТ TLS-шлюз — сервер, который поддерживает защищенное TLS-соединение. Он принимает зашифрованный TLS-трафик от клиента и расшифровывает данные для проверки на безопасность. Затем устанавливает новое TLS-соединение с внутренним сервером и передает «чистые» данные.

Для установления доверенных сессий шлюз использует криптоалгоритмы и сертификаты, обеспечивая конфиденциальность и целостность данных. При необходимости он применяет политики доступа и блокирует подозрительные операции. Дополнительно TLS-шлюз защищает внутренние ресурсы от прямого внешнего доступа, скрывает топологию сети и контролирует каналы передачи данных.

Алгоритм работы шлюза:

• Инициирование TLS-сессии. Клиент устанавливает соединение с TLS-шлюзом.
• Прием TLS-соединения. Шлюз расшифровывает трафик клиента с помощью сертификата.
• Проверка сертификатов клиента. Шлюз проверяет подлинность и валидность документа.
• Установка нового TLS-соединения с целевым сервером. Шлюз выступает для сервера клиентом и инициирует собственную зашифрованную сессию.
• Передача данных от клиента серверу. Шлюз принимает расшифрованную информацию, анализирует, шифрует снова и пересылает.
• Ответ от сервера клиенту. Данные расшифровываются шлюзом, проверяются, шифруются и пересылаются клиенту через TLS-сессию.
• Завершение соединения. Шлюз закрывает клиентскую и серверную стороны, очищает временные ключи.

TLS-шлюз может выполнять автоматическое обнаружение угроз, проверяя содержимое трафика до повторного шифрования и передачи.

Варианты интеграции TLS

Есть три способа развертывания шлюза — на мощностях провайдера, в своей инфраструктуре и в стороннем дата-центре.

«Народный» способ: Nginx+CSP

Это настройка ГОСТ TLS на веб-сервере Nginx и интеграция с российским криптопровайдером КриптоПро CSP. Nginx используется в качестве прокси, КриптоПро CSP отвечает за поддержку российских криптографических стандартов.

Это гибкое и бюджетное решение. Оно подходит малым и средним компаниям, где нет штата специалистов для установки и настройки решения на своей стороне.

On-Premise

Это размещение TLS-шлюза в инфраструктуре заказчика. Такой вариант подходит компаниям со строгими требованиями к безопасности. Организация получит полный контроль над оборудованием, программным обеспечением и работой с данными.

On-Premise дороже «народного» варианта, поскольку требует инвестиций в покупку оборудования и лицензий. Также будут расходы на содержание квалифицированных специалистов, которые отвечают за установку, настройку и поддержку решения.

Размещение в ЦОД (центре обработки данных)

В этом случае TLS-шлюз устанавливается в стороннем коммерческом дата-центре, например в ЦОД ПАО «Ростелекома». Провайдер будет отвечать за базовую инфраструктуру и физическую безопасность, компания — за шлюз и настройки. Такой подход называется разграничением ответственности.

Этот вариант дешевле On-Premise, но у компании будет меньше контроля над оборудованием. Управление системой и доступ к мощностям нужно согласовывать с провайдером.

Генерация и получение сертификатов ГОСТ TLS

Для работы ГОСТ TLS нужны сертификаты от российских удостоверяющих центров (УЦ). Процесс получения:

• Генерация закрытого ключа ГОСТ. Администратор системы создает на сервере уникальный закрытый ключ по российскому криптографическому алгоритму. Команды для OpenSSL: openssl genpkey -engine gost -algorithm gost2012_256 -out gost.key или openssl genpkey -engine gost -algorithm gost2012_512 -out gost512.key. Для КриптоПро CSP: certmgr -create -provtype 80 -provname "Crypto-Pro GOST R 34.10-2012 KC1 CSP" -cont "CN=my-site" -keytype exchange.
• Создание запроса на сертификат (Certificate Signing Request, CSR). На основе закрытого ключа формируется запрос на сертификат. Он содержит открытый ключ и информацию о владельце — название компании, доменное имя. Команда для OpenSSL: openssl req -new -engine gost -key gost.key -out gost.csr \-subj "/C=RU/ST=77/L=Moscow/O=ООО МояКомпания/OU=IT/CN=mydomain.ru/emailAddress=admin@mydomain.ru”. Для КриптоПро CSP: certreq -new gost.req -certout gost.csr.
• Отправка запроса в УЦ. CSR передается в аккредитованный удостоверяющий центр, который имеет право выдавать сертификаты ГОСТ. Удостоверяющий центр должен быть включен в доверенную цепочку Минцифры РФ.
• Проверка данных удостоверяющим центром. УЦ проверяет предоставленную информацию: паспорт, ОГРН, ИНН организации, правовой статус компании и подтверждение владения доменным именем.
• Подписание сертификата УЦ. После успешной проверки удостоверяющий центр использует свой закрытый ключ, чтобы подписать запрошенный документ.
• Получение сертификата. Готовый сертификат ГОСТ TLS, заверенный удостоверяющим центром, передается обратно администратору.
• Установка и настройка. Администратор устанавливает полученный сертификат и свой закрытый ключ на TLS-шлюз или веб-сервер. Команда для проверки совместимости сертификата в браузере: openssl verify -engine gost -CAfile chain.pem mycert.crt.

После установки сертификата активируется защищенное соединение по стандарту ГОСТ.

Интеграция TLS с WAF

ГОСТ TLS-шлюз и межсетевой экран уровня приложений Web Application Firewall (WAF) могут работать вместе для обеспечения многоуровневой защиты. Шлюз принимает зашифрованный трафик, расшифровывает его и передает в понятном виде на WAF. WAF проверяет запросы, чтобы выявить и заблокировать попытки веб-атак, например SQL-инъекций или межсайтового скриптинга. Таким образом, угрозы отсекаются до того, как достигнут приложения.

В этой связке TLS-шлюз обеспечивает шифрование трафика, а WAF — автоматическое обнаружение угроз на уровне приложений. Тандем решений повышает общий уровень защиты и позволяет оперативно реагировать на известные и нетипичные атаки. Для корректной работы TLS-шлюза импортируйте ГОСТ-сертификаты и ключи (или настройте аппаратный криптомодуль). Для проверки клиентских сертификатов на WAF укажите цепочку доверенных УЦ.

Обеспечение отказоустойчивости и масштабируемости

Отказоустойчивость означает, что система безопасности продолжит работать, даже если один из компонентов выйдет из строя. Ее обеспечит кластеризация TLS-шлюзов. Для этого используется не один шлюз, а несколько. Если один перестанет работать, другие будут выполнять его функции. В результате пользователи не заметят сбоя.

Масштабируемость — способность системы наращивать мощности по мере увеличения нагрузки. Ее можно обеспечить с помощью нескольких шлюзов и балансировщика нагрузки. Он будет равномерно распределять входящий трафик между всеми шлюзами. Это позволит избегать простоев и обрабатывать множество безопасных соединений.

Кластеризация не отменяет необходимости круглосуточного мониторинга системы после интеграции TLS. Эксперты помогут провести своевременную диагностику в случае сбоев и быстро устранить проблемы.

Совместимость и настройка ГОСТ TLS-шлюза на веб-сервере

Современные операционные системы и браузеры могут работать с ГОСТ TLS-шлюзами с помощью плагинов или встроенных решений криптопровайдеров. Это обеспечивает их совместимость и гарантирует, что на стороне пользователя будет поддерживаться российский криптографический стандарт.

На стороне веб-сервера, который будет выступать ГОСТ TLS-шлюзом, нужны настройки. Требуется установка и интеграция криптопровайдера. Затем нужно настроить использование ГОСТ-криптоалгоритмов для всех этапов TLS-сессии: хеширования, шифрования и аутентификации сервера.

Преимущества сервиса ГОСТ TLS от «Солара»

Российским компаниям подходит Solar ГОСТ TLS — сервис, который работает на отечественных криптоалгоритмах и совместим с зарубежными. Его можно использовать даже при условии, что организация не отказалась от иностранного сертификата. Если западный удостоверяющий центр отзовет сертификат, сайт останется защищенным.

Сильные стороны сервиса:

• Простая архитектура ГОСТ TLS. На пользовательские устройства устанавливается браузер и совместимые с ним средства криптографической защиты.
• Класс защиты КС1. Этого достаточно для безопасности персональной, коммерческой и другой конфиденциальной информации.
• Разные варианты развертывания. Сервис можно развернуть в инфраструктуре «Солара», облаке или виртуальном дата-центре.
• Гибкая интеграция с браузерами. Яндекс Браузер и Chromium-Gost поддерживают сервис по умолчанию.
• Поддержка экспертов. Специалисты «Солара» за вас получат сертификат TLS, подключат шлюз и будут следить за его работой.

Сервис работает на отечественных криптоалгоритмах, сертифицированных ФСТЭК России. Он поддерживает ГОСТ Р 28147-89, 34.12-2015 и другие алгоритмы шифрования, разные версии протоколов TLS 1.1 и 1.2. Возможна одновременная работа с ГОСТ- и RSA-сертификатами.

Защита сайта без зависимости от заубежных сертификатов

Если компания до сих пор использует иностранные решения, то рискует остаться без защиты — сертификат в любой момент могут отозвать. Можно обеспечить независимость веб-ресурса от западных УЦ с помощью сервиса ГОСТ TLS с простой и понятной архитектурой.

Не ждите, пока сертификаты перестанут работать, — оставьте заявку и переходите на надежный ГОСТ TLS без рисков и простоев.