Notre plateforme est devenue le premier opérateur fédéral de commerce électronique à introduire une nouvelle technologie de signature électronique basée sur le cloud. Si l'ES habituel a posé beaucoup de questions, alors ce service, d'une part, est toujours incompréhensible pour les entreprises, et d'autre part, tout est devenu beaucoup plus simple.
- C'est quoi?Il y avait autrefois une signature papier sur le document. Ce n'est pas très pratique, pas très sûr et nécessite du papier physique. Puis est venu un lecteur flash avec un certificat et un kit (jusqu'à l'antivirus). Elle a d'abord été appelée EDS - une signature numérique électronique. Puis elle est devenue juste un EP. Maintenant, ce lecteur flash a été placé dans le cloud et est devenu un OEP.
- Comment fonctionne l'EIE?Supposons que vous soumettiez votre proposition pour un appel d'offres. Auparavant, pour signer un document, il était nécessaire d'installer un plug-in pour un navigateur qui pouvait communiquer avec un logiciel sur l'ordinateur local de l'utilisateur. Ce logiciel a accédé au logiciel sur le lecteur flash USB, le logiciel sur le lecteur flash USB a émis la clé, la transaction a été signée avec cette clé et transférée au plug-in du navigateur prête à l'emploi. Maintenant, nous supprimons le lecteur flash de cette chaîne: le logiciel accède au stockage cloud via un tunnel crypté.
- Est-ce possible sans logiciel sur la machine locale?Oui, s'il y a un serveur intermédiaire sur le site qui envoie des requêtes par procuration et semble être cet ordinateur très local, alors tout peut être fait à partir de n'importe quel navigateur. Mais cela nécessite de traiter le backend du site (dans notre cas, nous avons fait un serveur séparé pour le trading depuis les téléphones portables). Si ce chemin ne fonctionne pas, le chemin standard est sélectionné. On suppose qu'à l'avenir, cette option sera la plus courante. La plate-forme
PME Roseltorg (Achats auprès des petites et moyennes entreprises) est un exemple d'une de ces mises en œuvre.
- OEP et EP sont une seule et même chose, mais se trouvent à des endroits différents, non?Les signatures ont un noyau commun avec le certificat et la sécurité. Fonctionnellement, c'est la même chose, il suffit de changer la méthode de l'API interne pour crypter la transaction. Une méthode prend la clé de l'appareil local, l'autre de la télécommande.
"Attendez une minute, mais vous avez toujours besoin d'une autorisation?"Oui Mais maintenant, il est à deux facteurs et sans référence à l'appareil. Le schéma habituel: installez l'application sur le téléphone ou le plug-in du navigateur sur le bureau, puis entrez le login et le mot de passe pour commencer à travailler, puis lors de la transaction - le code PIN envoyé par le serveur d'autorisation. Autrement dit, pour signer le document pour vous, vous devrez voler le mot de passe + connexion et intercepter un SMS ou une notification push avec un code.
- Quel est le profit alors?- Si vous perdez un lecteur flash, vous devez obtenir une nouvelle clé. Dans le cas de l'EIA - il suffit de changer le mot de passe pour la signature.
- Il n'y a aucune référence au lieu de travail: auparavant, ES était installé sur un ordinateur spécifique.
- Il n'y a pas de liaison de navigateur: c'était IE. Ce qui a causé un certain nombre de problèmes même au niveau du choix du système d'exploitation: les administrateurs Linux ont contourné cela, mais sur les appareils Mac, c'était plus difficile.
- Il n'y a aucune référence à la géographie: l'autorisation fonctionne de n'importe quel pays (en raison de la nature de la protection, les lecteurs flash ne fonctionnaient souvent que sur les réseaux russes).
- On suppose que tout est devenu plus sûr en raison de l'identification à deux facteurs par défaut sans la possibilité de «vous simplifier la vie».
- La destruction d'un lecteur flash avec une signature ne met pas en péril les transactions en cours.
- En général, tout cela est plus correct, en particulier en raison de la possibilité de signer rapidement à partir des téléphones mobiles.
- Où le certificat est-il stocké du côté de l'autorité de certification?Il existe un matériel spécial appelé HSM (module de sécurité matériel). Techniquement, il s'agit d'un référentiel divisé en cellules fermées sans possibilité d'accès de masse à tous à la fois.
Simplifier quelque peu: vous vous connectez, créez une transaction, elle est envoyée à HSM pour vous abonner, et de là l'objet protégé est sorti. La clé privée n'est pas délivrée à l'extérieur.
Autrement dit, HSM agit en tant que tiers, comme un notaire, confirmant dans une transaction que vous êtes vous. Plus précisément, vous avez le droit de signer un document.
Chaque autorité de certification possède son propre HSM.
Chaque décision est autorisée par le FSB. La pièce de fer est équipée d'un grand nombre de niveaux de sécurité, notamment de capteurs anti-prison. Le terminal est physiquement intégré au serveur lui-même, aucune connexion externe pour la gestion n'est prise en charge, il n'y a pas d'interface Web. Vous devez configurer quelque chose - un pull, une salle de sport, une grande boîte en fer avec un petit écran LCD.
- Et la compatibilité descendante?Encore une fois, en simplifiant, les nouvelles versions de logiciels pour travailler avec les EP sont maintenant capables de faire quelque chose comme émuler ce lecteur très flash pour tous les anciens logiciels. Autrement dit, peu importe ce que vous utilisez: un jeton sur un support physique ou l'accès à HSM. Le logiciel mis à jour signera tout, comme au bon vieux temps.
- À quoi ressemble la première connexion?Lorsqu'elle est configurée sur la machine de l'utilisateur final, deux adresses de serveur DSS sont spécifiées. En fait, c'est tout le cadre. Après cela, vous devrez vous connecter au serveur. L'utilisateur entre un identifiant et un mot de passe uniques qui lui sont délivrés dans le centre de certification. Après avoir entré le login et le mot de passe, vous devez passer par une autorisation à deux facteurs. En règle générale, l'utilisateur scanne le code QR qui lui a été délivré et installe l'application. Il s'agit d'une application de fournisseur de signature commune qui est personnalisée pour une autorité de certification spécifique. Le deuxième code est scanné en référence à sa cellule dans le HSM. Un code PIN est envoyé pour une transaction spécifique sur le téléphone de l'abonné, il l'utilise et se confirme. Après cela, vous devez changer le mot de passe d'accès.
Les transactions suivantes peuvent être plus simples: le code PIN est envoyé par notification push. On suppose que si le téléphone est protégé par FaceID ou la reconnaissance d'empreintes digitales, ce deuxième facteur (en combinaison avec la saisie du login et du mot de passe) est suffisant.
Si le téléphone est perdu, vous devez recommencer la procédure avec les codes QR.
Un téléphone verrouillé sans code PIN est inutile.
Un PIN sans mot de passe de connexion est inutile.
Si vous avez perdu un téléphone déverrouillé avec une photo de votre identifiant et de votre mot de passe enregistrés sur un morceau de papier (un cas réel dans notre CA), vous pouvez demander un verrou d'accès jusqu'à clarification.
- Comment obtenir une enveloppe avec accès à l'EIE?Un cas simple: le demandeur (directeur général d'une personne morale) vient personnellement avec un passeport au centre de certification et reçoit une enveloppe.
Cas difficile: un employé arrive avec une procuration certifiée conforme aux exigences du 63-FZ (sur signature électronique) et aux exigences du service de sécurité du centre de certification.
- C'est un phénomène de masse?Oui Pour le premier mois de travail, l'UTES EC a délivré environ un millier de certificats utilisant la nouvelle technologie EIA. Environ 70% des utilisateurs qui ont émis des signatures électroniques sont des personnes morales, 23% sont des entrepreneurs individuels. Plus de 60% des utilisateurs du nouveau service sont des entreprises de Moscou. Il existe des certificats à Saint-Pétersbourg, Novossibirsk, Khabarovsk, Rostov-sur-le-Don.