## Разделение ролей: ЦС и ЦР
В российской практике построения ИОК принято разделять функции Удостоверяющего Центра на два логических компонента:
| Компонент | Обозначение | Основные функции |
| —————— | ———– | ————————————————————————————————————————————————————————————————————————————————————————————————————————————————- |
| Центр Сертификации | ЦС (CA) | Выпуск, отзыв и хранение корневых/промежуточных сертификатов, формирования списка отозванных сертификатов. Хранение закрытых ключей ЦС (только корневой). Обеспечивает уникальность открытого ключа сертификата и серийного номера сертификата, а также протоколирует работу Центра Сертификации |
| Центр Регистрации | ЦР (RA) | Предназначен для хранения регистрационных данных пользователей (данные, ключевая фраза и открытый ключ), запросов на сертификаты и сертификаты пользователей, предоставления интерфейса взаимодействия пользователей с УЦ. Также к функциям ЦР относят управление шаблонами сертификатов, политиками уведомлений, имен, обработки запросов и т.д. |
> [!summary] Простыми словами
> ЦС — это “сейф с печатью”, который физически подписывает документы. ЦР — это “окно приёма заявок”, где проверяют паспорта заявителей и передают документы в сейф. Такое разделение повышает безопасность: даже если ЦР скомпрометирован, закрытый ключ ЦС остаётся в защищённом хранилище.
## КриптоПро CSP и алгоритмы ГОСТ Р 34.10-2012
КриптоПро CSP (Cryptographic Service Provider) — это программный модуль, реализующий российские криптографические стандарты. В лабораторной работе используется версия 5.0 с поддержкой алгоритмов ГОСТ Р 34.10-2012.
### Параметры ключевой пары ГОСТ
| Параметр | Значение | Назначение |
| — | — | — |
| Алгоритм подписи | ГОСТ Р 34.10-2012 | Формирование и проверка электронной подписи |
| Длина ключа проверки подписи | 512 бит | Открытый ключ (публикуется в сертификате) |
| Длина ключа подписи | 512 бит | Закрытый ключ (хранится в защищённом контейнере) |
| Длина свёртки хеш-функции | 256 бит | ГОСТ Р 34.11-2012 (Стрибог) |
| Срок действия сертификата | Обычно 1 год (для КЭП) | Регламентируется политикой УЦ |
> [!note] Примечание по CSP
> В процессе настройки обязательно выбирается провайдер `Crypto-Pro GOST R 34.10-2012 Strong CSP`. Он обеспечивает генерацию ключей повышенной стойкости и поддержку расширенных политик сертификации, требуемых для квалифицированных электронных подписей.
## Архитектура КриптоПро УЦ 2.0
Диспетчер УЦ 2.0 представляет собой клиент-серверное приложение, состоящее из:
– **Серверной части:** Службы ЦС и ЦР, база данных SQL Server, веб-интерфейс для подачи заявок.
– **Клиентской части:** Консоль управления, оснастка для MMC, инструменты работы с ключевыми контейнерами.
– **Модуля безопасности:** Интеграция с КриптоПро CSP для аппаратной и программной генерации ключей, поддержки биометрической рулетки (сбора энтропии) и работы с токенами.
> [!attention] Важно
> Все компоненты УЦ требуют предустановки .NET Framework 4.6+ и выделенного экземпляра SQL Server. Изоляция экземпляра БД (имя `CPCC`) предотвращает конфликты с другими службами на сервере.