Разворачиваем корпоративный удостоверяющий центр — от проекта до работающей инфраструктуры выпуска сертификатов: устанавливаем и настраиваем средства УЦ, защищаем ключи, интегрируем с вашими системами, запускаем в эксплуатацию. Или модернизируем действующий УЦ, который устарел или больше не соответствует требованиям.
Работаем на отечественной криптографии и обладаем лицензией ФСБ России на деятельность в области шифрования. Создаём УЦ, который не только выпускает сертификаты, но и защищён так, что этим сертификатам можно доверять.
Проектирование PKI отвечает на вопрос, каким должен быть удостоверяющий центр. Создание УЦ — это его реальное построение: установка, настройка, защита, интеграция и запуск. Одно без другого не работает: проект без реализации остаётся документом, реализация без проекта — набором наспех настроенных серверов.
Мы выполняем обе части. Если у вас уже есть проект — реализуем его. Если проекта нет — проектируем и строим единым циклом, без передачи между подрядчиками и без разрывов ответственности на стыке «спроектировали одни, а построили другие».
Эта страница — про построение и запуск. Если вам нужен сначала проект — смотрите услугу проектирования PKI/УЦ.
Важно о каком УЦ речь. Мы создаём и модернизируем корпоративные (ведомственные) удостоверяющие центры — для выпуска сертификатов внутри организации: аутентификация, внутренняя подпись, защищённый обмен. Это не то же самое, что аккредитованный УЦ, который выдаёт квалифицированные сертификаты для документооборота с государством и контрагентами: аккредитация УЦ в Минцифры — отдельная процедура со своими требованиями к владельцу центра. Если ваша задача — именно аккредитованный УЦ, поможем разобраться в применимости на консультации.
Организации нужна собственная инфраструктура выпуска сертификатов — для аутентификации, подписи, защищённого обмена. Есть проект УЦ, нужно его построить и запустить. Сертификаты нужны в объёме, при котором обращаться во внешний УЦ неудобно и дорого.
Существующий УЦ морально устарел, не масштабируется, не поддерживается. Требуется переход с иностранных решений на отечественную криптографию. УЦ не соответствует актуальным требованиям регуляторов. Выросла нагрузка, и инфраструктура перестала справляться. Нужно усилить защиту ключей — например, перейти на аппаратное хранение.
Если проекта нет — проектируем: архитектуру, защиту ключей, регламенты. Если есть — берём за основу и уточняем под реализацию.
Устанавливаем и настраиваем средства удостоверяющего центра, разворачиваем корневой и подчинённые центры, точки регистрации, компоненты выпуска и проверки статуса сертификатов.
Разворачиваем защиту ключей УЦ: аппаратные модули безопасности (HSM), проводим церемонию генерации корневого ключа с разделением полномочий, настраиваем хранение, резервирование и порядок доступа.
Настраиваем шаблоны сертификатов, порядок выпуска, отзыва, обновления, публикацию списков отозванных сертификатов и сервисы проверки статуса.
Интегрируем УЦ с каталогом (Active Directory и аналоги), с системами, которые потребляют сертификаты, со средствами электронной подписи, токенами и смарт-картами.
Запускаем УЦ в работу, выпускаем первые сертификаты, отлаживаем процессы, вводим в действие регламенты, обучаем администраторов и операторов.
Поддерживаем работу УЦ: обслуживание, обновление, помощь в эксплуатации, контроль сроков действия ключей и сертификатов.
Модернизация отличается тем, что работать приходится с действующей инфраструктурой, не нарушая выпуск и проверку сертификатов.
Удостоверяющий центр стоит ровно столько, сколько стоит защита его корневого ключа. Если ключ можно похитить, все выпущенные сертификаты обесцениваются. Поэтому при создании и модернизации УЦ защита ключей — не опция, а основа:
Строим УЦ на сертифицированных отечественных средствах:
Цель: создание нового УЦ или модернизация действующего
Проект УЦ, если он есть
Для модернизации — сведения о действующем УЦ: средства, версии, масштаб
Масштаб: сколько сертификатов, каким субъектам, какая динамика
Перечень систем, потребляющих сертификаты
Применимые требования: ГИС, КИИ, отраслевые, корпоративные
Сведения об инфраструктуре: каталог, домены, средства защиты
Ограничения: бюджет, сроки, требования к отказоустойчивости
Работающий удостоверяющий центр, развёрнутый и настроенный
Защиту ключей на уровне, соответствующем рискам: HSM, церемония, разделение полномочий
Настроенные выпуск, отзыв, обновление сертификатов и проверку их статуса
Интеграцию с каталогом, системами и средствами подписи
Регламенты работы УЦ и обученных администраторов
При модернизации — переход без прерывания сервисов и без потери доверия к сертификатам
Сопровождение работы УЦ
При необходимости — предшествующий проект УЦ в едином цикле
Зависят от масштаба, архитектуры и того, создание это или модернизация. На объём влияет:
Создание с нуля или модернизация действующего УЦ
Масштаб: число субъектов и сертификатов, динамика выпуска
Архитектура: один центр или иерархия, отказоустойчивость, число площадок
Уровень защиты ключей: программные средства или HSM
Необходимость миграции с иностранной PKI
Число систем для интеграции
Проектирование — это чертёж: архитектура, защита ключей, регламенты на бумаге. Создание — это построение по чертежу: установка, настройка, запуск работающего УЦ. Нужны оба этапа. Мы делаем и то, и другое, в том числе единым циклом.
Да. Берём проект за основу, при необходимости уточняем под реализацию и строим УЦ. Если в проекте обнаружатся слабые места — скажем об этом до начала работ.
Да, это основная задача при модернизации. Переход планируем поэтапно, с периодом сосуществования старой и новой инфраструктуры, чтобы аутентификация и подпись не прерывались.
Для корневого ключа настоятельно рекомендуется — его компрометация обесценивает весь УЦ. Но уровень защиты подбираем под реальные риски и бюджет: где-то оправдан HSM, где-то достаточно других мер. Обосновываем, а не навязываем.
Ваш. Мы создаём и настраиваем удостоверяющий центр, но его владельцем и оператором остаётся ваша организация — ключи, управление и ответственность за выпуск сертификатов на вашей стороне. Мы обеспечиваем построение, ввод в эксплуатацию и, если нужно, сопровождение, но не становимся оператором вашего УЦ.
Да. УЦ требует обслуживания: контроль сроков ключей и сертификатов, обновления, помощь в эксплуатации. Можем взять сопровождение на себя.
Расскажите о задаче — создать УЦ с нуля, реализовать готовый проект или модернизировать действующий центр. Проведём обследование и предложим план и оценку.