REANE Trust Network — База Знаний & PKI Репозиторий (GTS Standard)

РАЗДЕЛ 1 • СПЕЦИФИКАЦИЯ

Обзор и Стандарты Google Trust Services (GTS)

RFC 5280 / RFC 6962 Совместимость

Удостоверяющий Центр REANE Trust Network спроектирован по эталонным мировым практикам информационной безопасности, публичных спецификаций Google Trust Services (GTS), RFC 5280 (инфраструктура открытых ключей X.509 v3) и RFC 6962 (Certificate Transparency).

Система предоставляет доверенную криптографическую платформу для аутентификации субъектов экосистемы, цифровой подписи программного обеспечения Microsoft Authenticode, сквозного шифрования корпоративной электронной почты S/MIME и автоматизированного аудита выпуска сертификатов через неизменяемый Merkle-журнал.

Zero-Trust Architecture

Никакие закрытые ключи CA не хранятся в открытом виде. Доступ к администрированию защищен протоколом Teleport SSO с аппаратным подтверждением.

90-Day Lifecycle (GTS)

Срок действия API-ключей разработчиков ограничен 90 днями, а сертификатов S/MIME — 14 днями с автоматизированным процессом бесшовной ротации.

Публичный Аудит (CT Log)

Каждый факт выпуска сертификата криптографически фиксируется в Merkle Tree логе с независимым свидетелем (Witness) на изолированном сервере.

РАЗДЕЛ 2 • ТОПОЛОГИЯ PKI

Трехуровневая Архитектура Центров Сертификации

X.509 v3 Strict Hierarchy

Для исключения единой точки компрометации архитектура REANE PKI строго разделена на три изолированных технологических эшелона:

Уровень (Tier)	Наименование Центра	Физический Узел	Криптографический Алгоритм	Срок Действия	Политики OID / Назначение
Tier 0	REANE Ecosystem Root CA G1	Изолированный Аппаратный Сейф	RSA 4096 / SHA-384	10 лет (до 2036)	Криптографический якорь (Trust Anchor), подпись CRL V2 и Issuing CAs
Tier 1	REANE Software Signer G1	Кластер Промежуточных Центров	RSA 4096 / SHA-256	5 лет (до 2031)	Подпись исполняемых файлов Authenticode (OID 1.3.6.1.5.5.7.3.3)
Tier 1	REANE Secure Email CA G1	Кластер Промежуточных Центров	RSA 2048 / SHA-256	14-дневная ротация	S/MIME Email Protection & Client Auth (OID 1.3.6.1.5.5.7.3.4)
Tier 2	RFC 5280 CRL & Witness CT	Public Distribution Point	SHA-256 Merkle Hash	24ч ротация CRL	Публичный аудит отзывов и проверка включения транзакций

РАЗДЕЛ 3 • АППАРАТНАЯ ЗАЩИТА КЛЮЧЕЙ

Аппаратный Сейф Ключей (Vault Guard)

Защищенный Mesh-контур

Корневые ключи центра сертификации (Root CA) изолированы от прямого публичного интернета и размещены в изолированном защищенном контуре с шифрованием AES-256-GCM и доступом по правилу двух лиц.

Хранение Мастер-Ключей:

Путь: Защищенный защищенный каталог (POSIX 0600)

Разрешения: 0700 dir / 0600 file (POSIX)

Шифрование: AES-256-GCM (Hardware PBKDF2)

Целостность: SHA-256 Checksum Verified OK

Автономная Служба Синхронизации:

Сервис: systemd timer (reane-vault-sync)

Периодичность: Каждые 6 часов

Назначение: Репликация CT Merkle Witness в архив

Журнал свидетеля: Защищенный Witness-архив контрольных точек

РАЗДЕЛ 4 • РАЗРАБОТКА И РЕЛИЗЫ

Цифровая Подпись Программного Обеспечения (Microsoft Authenticode)

RFC 3161 Timestamping

Подпись исполняемых файлов (.exe, .dll, .msi, .ps1) гарантирует подлинность авторства экосистемы REANE и защищает пользователей от вредоносных модификаций кода.

Конвейер проверки перед подписанием (Zero-Trust Pipeline):

Аутентификация разработчика: проверка действующего API-ключа (политика GTS 90-дней) и лимита запросов (Rate Limit: 10 подписей/мин).
Антивирусный аудит: файл автоматически проверяется встроенным демоном ClamAV и опрашивается по базе кэша VirusTotal v3 API. Файлы с угрозами блокируются мгновенно.
Вычисление отпечатка SHA-256: расчет хэша файла без передачи приватных исходных текстов.
Подпись закрытым ключом Sub-CA: наложение Authenticode-сигнатуры через изолированный криптографический сервис.
Штамп времени RFC 3161 TSA: фиксация точного времени подписи доверенным сервером временных меток. Сертификат остается действительным даже после окончания срока ключа.
Регистрация в CT Log: хэш подписанного релиза записывается в публичный журнал открытости.

# Проверка подписи в Windows PowerShell:

Get-AuthenticodeSignature -FilePath ".\ReleaseApp.exe" | Format-List Status, StatusMessage, SignerCertificate, TimeStamperCertificate

РАЗДЕЛ 5 • ПОЧТОВАЯ БЕЗОПАСНОСТЬ

S/MIME Шифрование Почты и Автоматическая Ротация (14 дней)

Automated Engine

В соответствии со стратегией Google Trust Services по сокращению срока действия сертификатов, персональные и корпоративные S/MIME сертификаты выпускаются с коротким жизненным циклом 14 дней.

Фоновый демон reane-smime-worker каждые 6 часов сканирует активные почтовые адреса (rzma@reane.com.ua, support@reane.com.ua, admin@reane.com.ua и др.). Если до окончания срока действия сертификата остается менее 3 дней, сервис автоматически генерирует новую ключевую пару RSA-2048, подписывает сертификат у Sub-CA и обновляет почтовое хранилище Roundcube без перерыва в обслуживании.

Настройки S/MIME в почтовом клиенте (Outlook, Thunderbird, Apple Mail):

Алгоритм подписи: SHA-256 with RSA (2048 bit)

Алгоритм симметричного шифрования: AES-256-CBC

Проверка отзыва: Включена (CRL DP: https://trust.reane.com.ua/crl/reane-root.crl)

РАЗДЕЛ 6 • СЛУЖБЫ ОТЗЫВА И АУДИТА

Списки Отзыва (RFC 5280 CRL) и Журнал CT (RFC 6962)

Real-Time Revocation & Proofs

Любой скомпрометированный или досрочно закрытый сертификат немедленно публикуется в Списке Отзыва Сертификатов (CRL) и подписывается Корневым Центром Сертификации.

Точки Распространения CRL:

Формат DER: https://trust.reane.com.ua/crl/reane-root.crl

Формат PEM: https://trust.reane.com.ua/crl/reane-root.pem

Ротация: каждые 24 часа. Совместимо со всеми браузерами и ОС.

Certificate Transparency (CT Log):

Эндпоинт записей: /api/verification/ecosystem/ct/entries

Текущее число записей: 136 Merkle leaves

Структура: криптографическое бинарное дерево Меркла с SHA-256 проверкой доказательства включения.

# Проверка цепочки сертификата и актуальности CRL в консоли Linux / OpenSSL:

openssl verify -crl_check -CRLfile reane-root.crl -CAfile root.crt target.crt

РАЗДЕЛ 7 • ИНТЕГРАЦИЯ

REST API Разработчикам (Аутентификация & Подпись)

GTS 90-Day Key Policy

Инфраструктура предоставляет высокопроизводительный REST API для автоматизации процессов CI/CD, проверки подлинности релизов и управления жизненным циклом ключей.

Метод	Эндпоинт	Заголовки	Назначение
GET	/api/verification/ecosystem/health/status	Не требуются	Статус доступности сервисов Удостоверяющего Центра
GET	/api/verification/ecosystem/software/verify?hash={sha256}	Не требуются	Мгновенная проверка подлинности исполняемого файла по хэшу
POST	/api/verification/ecosystem/software/sign	X-Developer-Key: rzma_...	Антивирусный аудит и цифровая подпись Authenticode
POST	/api/verification/ecosystem/software/developer-keys/renew	X-Developer-Key: rzma_...	Продление API-ключа разработчика еще на 90 дней (GTS Policy)
GET	/api/verification/ecosystem/ct/entries	Не требуются	Получение криптографических записей журнала Certificate Transparency

# Пример продления API-ключа разработчика через cURL:

curl -X POST "https://trust.reane.com.ua/api/verification/ecosystem/software/developer-keys/renew" \
  -H "X-Developer-Key: rzma_dev_prod_sec_key_2026_q4" \
  -H "Content-Type: application/json"

РАЗДЕЛ 8 • ИНТЕРАКТИВНЫЕ ДЕЙСТВИЯ

Интерактивная Проверка Узлов и Merkle Доказательств

Live Interactive Console

Воспользуйтесь встроенными криптографическими инструментами для проверки состояния системы прямо со страницы документации:

Диагностика Доступности Узлов — ms

Опрос публичного статуса доступности компонентов PKI.

Нажмите кнопку ниже для запуска криптографического зонда...

Валидатор Certificate Transparency 136 записей

Проверка наличия записи в публичном дереве Меркла.

Результат проверки будет отображен здесь...

РАЗДЕЛ 9 • ПОЛИТИКА И ПРАВОВЫЕ РЕГЛАМЕНТЫ

Регламент Удостоверяющего Центра (RFC 3647 CP/CPS)

Version 2.4 (2026-Q4)

Официальный свод политик и процедур Certificate Policy (CP) и Certification Practice Statement (CPS), определяющий юридические, организационные и технические нормы функционирования REANE PKI.

Выпуск сертификатов осуществляется исключительно для авторизованных субъектов экосистемы REANE. Персональные данные и корпоративные реквизиты проверяются по государственным реестрам и подтверждаются криптографическим отпечатком REANE ID с биометрическим Face Mesh контролем.

Генерация мастер-ключей Root CA проводится в изолированном защищенном контуре. Закрытые ключи зашифрованы с использованием алгоритма AES-256-GCM. Резервные копии ключей хранятся на узле Air-Gapped Vault в зашифрованном виде с разделением доступа по правилу двух лиц (Two-Person Rule).

Отзыв сертификата инициируется владельцем через личный кабинет либо администратором CA при подозрении на компрометацию. Срок внесения серийного номера в CRL не превышает 60 минут с момента подтверждения. Новый CRL публикуется в форматах DER и PEM с автоматическим обновлением кэша веб-серверов.