Перейти к содержанию

Получение контейнера ключей из файла

Содержимое файла, содержащего ключи криптографии, может быть изменено без обнаружения или предупреждения при последующем использовании. Таким образом контроль доступа не требуется для добавления объектов сертификата. Это дает возможность злоумышленнику вставить данные своего центра сертификации в эти файлы без необходимости какой-либо авторизации.

С того момента, как центр сертификации злоумышленника вставлен в атакуемую систему она будет доверять и признавать любой сертификат, выпущенный центром сертификации атакующего.

Атака также может быть произведена по схеме «человек посередине», который перехватывает файлы во время транспортировки, и вставляет вражеский Trust Anchor.

Неправильно:

Пароль = "КакойТоПароль";
Контейнер = Новый КонтейнерКлючейКриптографии("C:/cert.p12", Пароль);

Правильно:

Пароль = ПарольИзБезопасногоХранилища();
ДвоичныеДанные = ДанныеДляКонтейнераКлючей(); // берем из данные или макета
Контейнер = Новый КонтейнерКлючейКриптографии(ДвоичныеДанные, Пароль);

См. также - Атака посредника
- Trust Anchor