वेब अनुप्रयोगों में एक हार्डवेयर टोकन पर कार्यान्वित क्रिप्टोग्राफ़िक फ़ंक्शन का उपयोग करना

लंबे समय से मुझे ग्राहक अनुप्रयोगों पर विभिन्न अतिरिक्त सॉफ़्टवेयर का उपयोग किए बिना वेब अनुप्रयोगों में क्रिप्टोग्राफ़िक फ़ंक्शंस (हैश, डिजिटल हस्ताक्षर, एन्क्रिप्शन, आदि) का उपयोग करने की समस्या से प्रेतवाधित था। सभी समाधान जो मुझे एक या दूसरे तरीके से मिले, उन्हें विभिन्न प्लग-इन, क्रिप्टो प्रदाताओं और अन्य संबंधित सॉफ़्टवेयर की स्थापना की आवश्यकता थी।

मैं वेब अनुप्रयोगों में क्रिप्टोग्राफिक परिवर्तनों का उपयोग करने के मुद्दे के समाधान पर अपनी राय व्यक्त करना चाहता हूं।

इस मुद्दे पर हैबर पर लेखों में पर्याप्त विवरण का विश्लेषण किया गया है: " ब्राउज़र में ईडीएस: समस्याएं, समाधान, व्यक्तिगत अनुभव " और " ब्राउज़र में इलेक्ट्रॉनिक हस्ताक्षर के लिए दिलचस्प समाधान ।"

एक हार्डवेयर टोकन एक उपकरण है जो सभी आवश्यक क्रिप्टोग्राफ़िक परिवर्तनों को अपने भीतर करता है। सिस्टम में, इसे रिमूवेबल मीडिया के रूप में भी प्रदर्शित किया जाता है, जो एक नियमित मास स्टोरेज डिवाइस के रूप में काम करता है।

यह विचार यह है कि होस्ट usb पोर्ट से जुड़ा टोकन एक स्थानीय वेब सर्वर होना चाहिए, जो कि 127.0.0.1 : port पर उपलब्ध है। टोकन के क्रिप्टोग्राफ़िक कार्यों तक पहुंचने के लिए, आपको उपयुक्त सेवा को लागू करना होगा।

एक उदाहरण के रूप में, इस अवधारणा को प्रदर्शित करने के लिए, हमने छोटे वेब सर्वर को लिया, जो एक हटाने योग्य टोकन वाहक से लॉन्च किया गया है और एक सेवा लिखी है जो एक cgi स्क्रिप्ट के रूप में हैश फ़ंक्शन को लागू करती है। यह स्क्रिप्ट टोकन एपीआई का उपयोग करती है, जिसमें क्रिप्टोग्राफिक ऑपरेशन की प्रगति निर्धारित करने के लिए इसकी कार्यक्षमता भी शामिल है।

योजना के अनुसार, प्रक्रिया को चित्र में दिखाया गया है:



तकनीकी रूप से, यह ऐसा दिखता है। उपयोगकर्ता कुछ नियमों के अनुसार गठित वेब ब्राउज़र के साथ एक पेज पर लॉग इन करता है। उदाहरण के लिए, मैंने एक पेज बनाया (अपने पसंदीदा सेन्का एक्सटीजेएस का उपयोग कर - wcrdemo.16mb.com )

जब आप "हैश की गणना करें" बटन पर क्लिक करते हैं, तो फॉर्म का एक अनुरोध स्थानीय सर्वर पर प्रसारित होता है
127.0.0.1 : 5151 / wTokenZ.cgi? Actionparam = EnumDevices। EnumDevices - एक पैरामीटर जो एक फ़ंक्शन कॉल को परिभाषित करता है जो कनेक्टेड टोकन की पहचानकर्ताओं और सीरियल नंबर की एक सूची देता है। प्रसंस्करण में आसानी के लिए, स्क्रिप्ट जसन प्रारूप में डेटा लौटाती है।



मैं एक महत्वपूर्ण बिंदु नोट करना चाहता हूं। इस तकनीक में क्रॉस-डोमेन अनुरोध शामिल हैं। कार्यान्वयन के लिए, मैंने Sencha ExtJS लाइब्रेरी के डेटा.स्टोर घटक और डेटा का उपयोग किया। अपनी प्रॉक्सी प्रॉपर्टी के रूप में ScriptTagProxy।

हैश की गणना एक समान तरीके से होती है। स्थानीय सर्वर को स्क्रिप्ट wTokenZ.cgi एक्शनपराम = HashData & deviceSerial = token-serial-number & devicePwd = token-सक्रियण-पासवर्ड और डेटाबारम = पाठ-या-फ़ाइलनाम-फॉर-हैश के लिए निम्नलिखित मापदंडों के साथ एक अनुरोध भेजा जाता है।

हैश गणना प्रक्रिया की निगरानी के लिए निम्नलिखित तंत्र को लागू किया गया था। टोकन एपीआई से हैश फ़ंक्शन तथाकथित पते को पारित किया जा सकता है। किसी फ़ंक्शन का कॉलबैक जिसे लंबे ऑपरेशन के दौरान कहा जाता है। यह फ़ंक्शन फ़ाइल में अपनी स्थिति लिखता है - इस मामले में, मूल संदेश के संसाधित बाइट्स की संख्या। मैंने इस सारी अर्थव्यवस्था को wTokenZ.cgi स्क्रिप्ट के एक अलग धागे में लागू किया। ग्राहक की ओर से, हैश गणना अनुरोध भेजने के समय, एक आवधिक कार्य लॉन्च किया जाता है, जो 1 सेकंड के बाद स्थानीय सर्वर को अनुरोध भेजता है: 127.0.0.1 : 5151 / wTokenZ.cgi? Actionparam =Indicator। GetIndicator एक पैरामीटर है जो एक फ़ंक्शन कॉल को परिभाषित करता है जो संसाधित बाइट्स की संख्या (एक फ़ाइल से) पढ़ता है और मूल संदेश के कुल आकार को जानता है, जो ऑपरेशन के प्रतिशत को पूरा करता है। मॉनिटरिंग प्रक्रिया को बनाने, शुरू करने और बंद करने के लिए, हमने टास्कमार्ग घटक (तकनीकी रूप से, कार्य डेटा पर बनाया गया है। डेटा घटक के साथ बनाया गया है। अपनी प्रॉक्सी प्रॉपर्टी के रूप में ScriptTagProxy) और प्रक्रिया को इंगित करने के लिए Sencha ExtJS लाइब्रेरी के प्रोग्रेसबार घटक का उपयोग किया गया था।

टोकन पर लिखी गई परीक्षण फ़ाइल हैशिंग का परिणाम चित्र में दिखाया गया है:



इसलिए, संक्षेप में, हम निम्नलिखित बातों पर प्रकाश डाल सकते हैं:

- महत्वपूर्ण बिंदु एक टोकन का उपयोग है जो क्रिप्टोग्राफिक एल्गोरिदम को लागू करता है और एक हटाने योग्य माध्यम के रूप में काम करता है;

- क्रिप्टोग्राफिक संचालन करने के लिए किसी भी तीसरे पक्ष के सॉफ़्टवेयर को स्थापित करने की आवश्यकता नहीं है, यहां तक ​​कि उपरोक्त उदाहरण में लागू योजना का उपयोग करते समय, केवल एक टोकन होना आवश्यक है;

- पूर्ण क्रॉस-प्लेटफ़ॉर्म के लिए, टोकन पर सीधे ऐसी सेवा को लागू करना वांछनीय है।