3.4.4.3 Требования к хранению и доступу к ключевой информации

СКЗИ должно обеспечивать защищенное хранение криптографических ключей пользователя. Доступ к криптографическим операциям СКЗИ должен осуществляться по паролю. Закрытые криптографические ключи должны быть неизвлекаемыми.

СКЗИ должно осуществлять управление паролями пользователей приложения для доступа к криптографическим функциям. В СКЗИ должны быть доступны функции установки и изменения пароля хранилища для сегмента хранилища СКЗИ. Требования к паролю зависят от ограничений, накладываемых СКЗИ.

Пароли пользователей должны быть неизвлекаемыми из СКЗИ. Вызов криптографических функций СКЗИ должен выполняться с указанием идентификатора сегмента хранилища СКЗИ. Интерфейс ввода пароля от хранилища должно предоставлять СКЗИ.

СКЗИ должно осуществлять контроль срока действия пароля и осуществлять его замену по запросу.

СКЗИ должно предоставлять возможность работы в рамках сессии пользователя без дополнительного запроса пароля.

Если указан неверный пароль, то ответ на вызов любого метода СКЗИ для данного пользователя должен содержать соответствующее исключение.

СКЗИ должно поддерживать возможность одновременного хранения на мобильном устройстве криптографических ключей и СКПЭП разных Пользователей МП, транспортных криптографических ключей и сертификатов транспортных криптографических ключей разных Пользователей МП. Данная возможность должна быть реализована в СКЗИ за счет сегментации хранилища ключевой информации СКЗИ.

В СКЗИ должны быть реализованы функции удаления сегмента хранилища и гарантированного уничтожения ключевой информации по идентификатору хранилища СКЗИ в соответствии с документом [32].

СКЗИ должно предоставлять функции для установки, удаления и получения сертификатов ключей пользователя, САС, а также извлечения времени истечения действия сертификата.

При сохранении САС в хранилище СКЗИ должно проверять номер САС в разрезе его серии, а не сквозную нумерацию. Проверка должна предотвращать загрузку устаревших данных.

СКЗИ должно поддерживать возможность хранения корневых сертификатов в едином хранилище для всех пользователей.