Поставщики криптографических услуг (CSP) в Windows

Введение

В Microsoft Windows поставщик криптографических услуг (CSP) — это программная библиотека, реализующая Microsoft CryptoAPI (CAPI). CSP реализуют функции кодирования и декодирования, которые могут использоваться компьютерными приложениями, например, для реализации надежной аутентификации пользователей или для обеспечения безопасности электронной почты. CSP — это независимые модули, которые могут использоваться различными приложениями. Пользовательская программа вызывает функции CryptoAPI, которые перенаправляются в функции CSP. Поскольку CSP отвечают за реализацию криптографических алгоритмов и стандартов, приложениям не требуется учитывать детали безопасности. Кроме того, приложение может указать, какой CSP оно будет использовать при вызове CryptoAPI. Фактически, вся криптографическая активность осуществляется в CSP. CryptoAPI служит лишь мостом между приложением и CSP. CSP в основном реализуются как специальный тип DLL с особыми ограничениями на загрузку и использование. Каждый CSP должен быть цифровой подписью Microsoft, которая проверяется при загрузке CSP в Windows. После загрузки Windows периодически повторно сканирует CSP для обнаружения несанкционированного вмешательства, будь то вредоносное программное обеспечение, такое как компьютерные вирусы, или попытки пользователя обойти ограничения (например, на длину криптографического ключа), встроенные в код CSP. Для получения подписи разработчики CSP, не являющиеся сотрудниками Microsoft, должны предоставить Microsoft документы, подтверждающие их согласие соблюдать различные юридические ограничения и указать действительную контактную информацию. Примерно с 2000 года Microsoft не взимала плату за предоставление этих подписей. В целях разработки и тестирования разработчик CSP может настроить Windows на распознавание собственных подписей вместо подписей Microsoft, однако это сложная и малоизвестная операция, не подходящая для нетехнических пользователей. Архитектура CAPI/CSP берет свое начало в период жесткого контроля правительства США над экспортом криптографии. Стандартный или "базовый" CSP, поставляемый с Windows, был ограничен 512-битной криптографией с открытым ключом RSA и 40-битной симметричной криптографией, что соответствовало максимальной длине ключа, разрешенной для программного обеспечения массового рынка, подлежащего экспорту в то время. CSP, реализующие более надежную криптографию, были доступны только для жителей США, если сами CSP не получили одобрение правительства США на экспорт. Система, требующая подписи CSP только при предоставлении полного пакета документов, была разработана для предотвращения распространения несанкционированных CSP, созданных анонимными или иностранными разработчиками. Это было представлено как уступка Microsoft правительству с целью получения разрешения на экспорт CAPI. После решения суда по делу Бернштейна против Соединенных Штатов, установившего, что исходный код компьютера является защищенной свободой слова, и передачи полномочий по регулированию криптографии из Государственного департамента США в более лояльное экспорту Министерство торговли, ограничения на длину ключа были сняты, и CSP, поставляемые с Windows, теперь поддерживают криптографию полной мощности. Основное назначение сторонних CSP — взаимодействие с внешним криптографическим оборудованием, таким как модули аппаратной безопасности (HSM) или смарт-карты.

In Microsoft Windows, a Cryptographic Service Provider (CSP) is a software library that implements the Microsoft CryptoAPI (CAPI). CSPs implement encoding and decoding functions, which computer application programs may use, for example, to implement strong user authentication or for secure email. CSPs are independent modules that can be used by different applications. A user program calls CryptoAPI functions and these are redirected to CSPs functions. Since CSPs are responsible for implementing cryptographic algorithms and standards, applications do not need to be concerned about security details. Furthermore, one application can define which CSP it is going to use on its calls to CryptoAPI. In fact, all cryptographic activity is implemented in CSPs. CryptoAPI only works as a bridge between the application and the CSP. CSPs are implemented basically as a special type of DLL with special restrictions on loading and use. Every CSP must be digitally signed by Microsoft and the signature is verified when Windows loads the CSP. In addition, after being loaded, Windows periodically re scans the CSP to detect tampering, either by malicious software such as computer viruses or by the user him/herself trying to circumvent restrictions (for example on cryptographic key length) that might be built into the CSP's code. To obtain a signature, non Microsoft CSP developers must supply paperwork to Microsoft promising to obey various legal restrictions and giving valid contact information. As of circa 2000, Microsoft did not charge any fees to supply these signatures. For development and testing purposes, a CSP developer can configure Windows to recognize the developer's own signatures instead of Microsoft's, but this is a somewhat complex and obscure operation unsuitable for nontechnical end users. The CAPI/CSP architecture had its origins in the era of restrictive US government controls on the export of cryptography. Microsoft's default or "base" CSP then included with Windows was limited to 512 bit RSA public key cryptography and 40 bit symmetric cryptography, the maximum key lengths permitted in exportable mass market software at the time. CSPs implementing stronger cryptography were available only to U. S. residents, unless the CSPs themselves had received U. S. government export approval. The system of requiring CSPs to be signed only on presentation of completed paperwork was intended to prevent the easy spread of unauthorized CSPs implemented by anonymous or foreign developers. As such, it was presented as a concession made by Microsoft to the government, in order to get export approval for the CAPI itself. After the Bernstein v. United States court decision establishing computer source code as protected free speech and the transfer of cryptographic regulatory authority from the U. S. State Department to the more pro export Commerce Department, the restrictions on key lengths were dropped, and the CSPs shipped with Windows now include full strength cryptography. The main use of third party CSPs is to interface with external cryptography hardware such as hardware security modules (HSM) or smart cards.

Умная карта CSP

Эти криптографические функции могут быть реализованы с помощью смарт-карты, таким образом, CSP для смарт-карты является реализацией PKCS#11 от Microsoft. Microsoft Windows определяет подходящий CSP для смарт-карты, который необходимо использовать, анализируя ответ на включение (ATR) смарт-карты, зарегистрированный в реестре Windows. При установке нового CSP все ATR поддерживаемых смарт-карт добавляются в реестр.

Использование CSP в MS Office для защиты паролем

Поставщики криптографических услуг могут использоваться для шифрования документов Word, Excel и PowerPoint, начиная с Microsoft Office XP. По умолчанию используется стандартный алгоритм шифрования с 40-битным ключом, но использование CSP увеличивает длину ключа и, следовательно, усложняет процесс дешифрования. Это применимо только к паролям, необходимым для открытия документа, поскольку именно этот тип пароля обеспечивает шифрование документа, защищенного паролем.