Как установить сертификат из облачного хранилища КриптоПро DSS в КриптоАРМ

В европе

Использование облачных технологий в Европе строго регламентировано соответствующими стандартами и требованиями информационной безопасности. Основным является Cloud Standard Coordination (CSC) European Telecommunications Standards Institute, ETSI. Провайдеры обязаны пройти сертификацию по нормам менеджмента качества ISO 27001:2021.

Данный стандарт – «Свод правил для средств управления информационной безопасностью на базе ISO/IEC 27002 для облачных сервисов» – прошел несколько этапов и дополнялся с учетом изменения требований к защите информации:

1. В 2021 г. была выпущена техническая спецификация для определения уровня безопасности использования облачной ЭП, предоставляемого провайдером (CEN/TS 419241 «Security Requirements for Trustworthy Systems Supporting Server Signing»). Уровень безопасности при этом зависит в основном от способа аутентификации (через мобильное приложение, сервер, генератор паролей и т.п.).
2. Первый комплекс вышел в 2021 г. и был дополнен стандартами о защите персональных данных в облаке и в 2021 г. – о средствах контроля информационной безопасности в облаке.
3. В 2021 г. также вышло постановление Европарламента №910/2021 под названием eIDAS. В соответствии с ним, стало возможным хранение ключа квалифицированной электронной подписи на удаленном сервере доверенного провайдера.

В россии

В России опыт использования электронной подписи в облаке небольшой, а сама технология все еще вызывает дискуссии.

В истории технологии облачных подписей в России можно выделить несколько основных фактов:

1. Механизм использования ЭП был регламентирован еще в 1994 г., понятие подписи, приравненное к международным стандартам, было закреплено только в 2002 г. и обновлено в 2021 г., с чего и начался активный опыт ее эксплуатации в стандартном формате.
2. Программное обеспечение для работы с облачными ЭП – «КриптоПро myDSS» – было разработано и представлено еще в 2021 г., но ввиду отсутствия законодательных норм не могло быть применено.
3. В 2021-2021 гг. в Федеральном законе № 63-ФЗ, регламентирующем ЭЦП, появились нормы, позволяющие создавать облачные ЭП удостоверяющим центрам.
4. Облачные ЭП продолжают развиваться, обновленные требования от 27.12.2021 № 476-ФЗ, вступившие в силу 01.01.2021 г., предполагают разработку дополнительных средств защиты, которые, по прогнозам специалистов, появятся на рынке не ранее середины 2021 г.

Внедрение и стоимость квалифицированной электронной подписи

Внедрение технологии облачной ЭП актуально для крупных организаций, сотрудники которых нуждаются в этом продукте ввиду постоянного взаимодействия с документооборотом и клиентами, повышенной мобильности.

Для того чтобы внедрить технологию на такое предприятие (удостоверяющий центр, банк, страховая компания и т.п.), необходимо связаться с разработчиком («КриптоПро») через АО «Аналитический центр».

На площадке Sign.me пользователи могут приобрести облачную электронную подпись:

• для физических лиц – 1500 руб. в год;
• для ИП – 2300 руб. в год;
• для юридических лиц – 3000 руб. в год.

Вопрос «квалифицированности» облачной эп

Т.к. пользователь доверяет серверу конфиденциальные документы, возникает вопрос о степени надежности защиты информации и соответствии данной системы юридическим нормам цифровой сферы.

Понятие облачной ЭП закреплено в Федеральном законе «Об электронной подписи». В соответствии с ним, различают 3 вида подписей: простую, усиленную неквалифицированную и усиленную квалифицированную, при этом только последняя имеет юридическую силу и подтверждается специальными сертификатами.

Технология «КриптоПро» HSM 2.0 и DSS 2.0. прошла проверку и имеет сертификат соответствия от ФСБ, полученный в 2021 г. Технология облачной ЭП сложная, создана с учетом требований повышенной безопасности клиентов и возможных рисков. Однако регулирование данной сферы продолжает совершенствоваться, добавляя дополнительные требования.

Второй шаг. установить криптопро cloud csp.

Криптопровайдер КриптоПро Cloud CSP доступен для скачивания по ссылке. Помимо дистрибутива в архиве будет также краткая инструкция по использованию. Установка дистрибутива не вызовет сложностей. Но есть одно условие, перед установкой КриптоПро Cloud CSP нужно предварительно удалить все другие криптопровайдеры.

Где и как получить облачную электронную подпись?

Как создать облачную электронную подпись? Пока что всего несколько удостоверяющих центров предоставляют такую возможность. Среди них самыми популярными являются Sign Me . Кстати, работают они как раз на базе КриптоПро myDSS, то есть, на программном уровне у них идентичный функционал.

Как изменить номер телефона, на который высылается пароль

Иногда требуется сменить номер телефона, на который высылаются SMS-сообщения с паролями для использования электронной подписи. Например, это необходимо, если телефон утерян или если сотрудник, которому принадлежит телефон, ушел в отпуск, уволился или переведен на другую работу.

О том, как сменить номер телефона, на который высылаются пароли для использования хранящейся в сервисе электронной подписи, рассказано в статье по ссылке.

О других изменениях настроек подключения к «1С-Отчетности» рассказано в статье по ссылке.

Области применения

Облачная цифровая подпись будет полезна людям, большая часть рабочего времени которых проходит в деловых выездах и экспертизах, характерных для юристов, аудиторов, и других видах деятельности, связанных с электронным документооборотом и сделками в интернете.

Облачная ЭП, как и стандартная, используется для заверения документов: при участии в торгах, государственных закупках, оформлении отчетов в органы налогового и финансового учета, а также для получения государственных услуг с электронных порталов и т.д.

Общие понятия об облачных эцп

Первый программный комплекс по работе с облачными ЭЦП был представлен ещё в 2021 году компанией КриптоПро. Но вплоть до 2021 года использовать их не представлялось возможным, так как на законодательном уровне мелись юридические ограничения, не дававшие возможности реализовать подобный проект.

В 2021 – 2021 годах в ФЗ 63, которым и регулируется использование ЭЦП, были внесены изменения, благодаря которым удостоверяющие центры получили возможность регистрировать облачные электронные подписи. Однако контроль за их использованием, а также защита данных, сертификатов от компрометации – все это УЦ обязан был брать на себя, разрабатывая специальные программные комплексы для работы с ЭЦП.

На текущий момент полноценное готовое решение по работе с облачными сертификатами электронных подписей представлено компанией «КриптоПРО» — речь идет про программный комплекс КриптоПро myDSS. По сути – это специальное приложение, с помощью которого владелец ЭЦП и может работать со своей подписью через мобильный телефон (заявлена поддержка платформ Android и iOS).

Что такое облачная электронная подпись простым языком?

Это тот же цифровой сертификат, но который хранится не на физическом носителе у владельца подписи, а на удаленном сервере, то есть, в интернете. Взаимодействие с ЭЦП в облаке возможно без так называемого RU-токена, что делает невозможным случайную потерю или повреждение электронной подписи.

Опыт использования

Применение и развитие облачной ЭП, как и других продуктов digital-сферы, в разных странах происходит неравномерно и во многом зависит от обеспеченности соответствующей законодательной базой, своевременности ее обновления и других формальных процедур.

Отправка отчетности

При хранении ключа электронной подписи в сервисе отправка регламентированной отчетности выполняется следующим образом:

1. Сформируйте регламентированный отчет (налоговую декларацию, отчет в пенсионный фонд и т. п.).
2. При просмотре отчета выберите команду отправки отчетности. Например, для налоговых деклараций это будет кнопка Отправить.
3. В ответ на выведенный запрос подтвердите, что отчет заполнен полностью и корректно, и вы хотите его отправить.
4. На номер мобильного телефона вам будет отправлено SMS-сообщение с паролем.
5. Введите полученный пароль в поле для ввода пароля и нажмите кнопку OK.
6. При правильном вводе пароля отчетность будет подписана хранящейся в сервисе электронной подписью и отправлена по назначению. Будет выведено сообщение Отчет отправлен.

Более подробно процесс формирования и отправки отчетности описан в статье по ссылке.

Первый шаг. авторизоваться в криптопро dss.

Для этого нужно пройти регистрацию или войти с уже имеющимися учетными данными.

После авторизации становится доступен раздел «Сертификаты». Если нет действующих сертификатов, то можно создать запрос на новый сертификат. Для этого нужно выбрать УЦ и заполнить необходимые поля. При создании запроса в сервисе будет создан контейнер с ключами, и получен сертификат электронной подписи. В реальном обстоятельствах, ключ электронной подписи выдает Удостоверяющий центр.

Понятие облачной электронной подписи

Этот IT-продукт позволяет подписывать документы и проводить деловые операции в электронном формате. Основное отличие облачной ЭП состоит в отсутствии привязки к флеш-носителю (токену) и к рабочему месту.

Зашифрованный ключ ЭП находится на специальном сервере (облаке) под защитой, а управление им осуществляется пользователем через удостоверяющий центр (УД) при помощи мобильного устройства.

Для того чтобы осуществить операцию с использованием облачной ЭП, выполняются следующие действия:

• с мобильного устройства направляется запрос в удостоверяющий центр;
• оператор (УД) высылает СМС для подтверждения или использует иной выбранный пользователем способ идентификации личности;
• после подтверждения удостоверяющий центр осуществляет подписание электронного документа.

Предназначение и суть

Суть этой технологии состоит в упрощении процесса использования цифровой подписи без использования флеш-накопителя и рабочего компьютера с установленным программным обеспечением.

Необходимые процессы осуществляются мобильно, с экономией времени и ресурсов.

При этом сервер, на котором хранится информация, обеспечивает защиту от незаконного использования ЭП и исключает риск физической потери токена.

Преимущества

Использование облачных ЭП имеет ряд преимуществ и позволяет держателю данного типа цифровой подписи:

• сэкономить на покупке токена (usb-накопитель) и других дополнительных гаджетов, что особенно ощутимо при обеспечении оборудованием штата сотрудников;
• не устанавливать и не обучаться программам СКЗИ, благодаря простоте и удобству использования облачной подписи;
• осуществлять операции в любом месте, не отрываясь от рабочего процесса, при помощи мобильного телефона, планшета, компьютера и других устройств с выходом в интернет или доступом к сети;
• защитить информацию от утечки посторонним лицам, т.к. сервер использует особую систему оповещения и несколько уровней защиты;
• исключить возможность физической порчи или потери флеш-носителя ЭП, технология позволяет осуществить копирование данных в случае необходимости.

Преимущества и недостатки облачных электронных подписей

Главное преимущество облачных цифровых подписей – для их использования не нужен USB-носитель (рутокен). А если нет физического носителя, то и сломать его, потерять, украсть – не получится.

При этом доступ к своей электронной подписи у владельца все равно остается – для этого нужно лишь установить специальное мобильное или десктопное приложение (которое и предоставляет удостоверяющий центр). С помощью же него можно подписывать документы, проходить авторизацию на сайтах (где имеется возможность такой верификации пользователя), выполнять заверение файлов.

Стоит заметить, что подобные технологии уже активно используются во многих европейских странах. И многие граждане или предприниматели постепенно переходят на использование только облачных ЭЦП, отказываясь от традиционных.

Из преимуществ облачной ЭЦП можно выделить:

• нет необходимости покупать физический носитель для хранения закрытого ключа;
• нет нужды в обязательной установке открытого сертификата на ПК (можно не переживать, что доступ к подписи получит тот, кто имеет возможность воспользоваться компьютером владельца ЭЦП);
• получать ЭЦП можно будет быстрее – обращаться лично в удостоверяющий центр уже не потребуется, ждать изготовления рутокена – тоже;
• закрытый ключ нигде не публикуется, при подписи документов или при любом другом алгоритме использования ЭЦП будет применяться открытый ключ.

Что касательно недостатков облачных электронных подписей, то ключевых – всего три:

1. Риск взлома удаленного сервера и последующей кражи закрытых ключей ЭЦП – вполне возможен. Никто не сможет предоставить 100%-гарантии того, что программная платформа не имеет уязвимостей. Удостоверяющие же центры утверждают, что при выявлении подобного факта действие всех хранимых ЭЦП будет прекращено (их попросту удалят из реестра, после чего ими не удастся воспользоваться злоумышленникам).
2. Удаленный сервер, на котором будут храниться ЭЦП, может оказаться недоступным по техническим причинам. Владелец электронной подписи воспользоваться ею при этом никак не сможет. А это может привести, к примеру, к потере выгодного контракта или к штрафу за несвоевременную подачу финансовой отчетности (со стороны ФНС). Что делать в таких случаях – не ясно.
3. С юридической точки зрения владельцем закрытого ключа ЭЦП будет являться удостоверяющий центр, а не сам получатель сертификата.

Ещё одна особенность – не получится оформить неквалифицированную облачную подпись, так как в предложенной платформе КриптоПро myDSS обязательно используется криптошифрование (на стороне сервера). Но, в принципе, неквалифицированные ЭЦП постепенно уходят из обихода, в будущем от их использования планируется отказаться на законодательном уровне.

Структурная схема взаимодействия компонентов облачной электронной подписи с прикладной системой заказчика

На схеме ниже приведена упрощённая схема взаимодействия компонентов при использовании технологии «облачной» электронной подписи от компании «Сигнал-КОМ» и реализованные интерфейсы:

Пунктиром на схеме обведена неделимая часть: в рамках внедрения технологии облачной подписи эти компоненты поставляются только в комплекте. Для разработчиков и пользователей прикладных систем эта часть непрозрачна, а ее структура приводится только для общего понимания из чего складывается решение и его ценообразование.

У системы облачной подписи есть три интерфейса:

1. интерфейс для встраивания в прикладную систему заказчика (интерфейс DSS Web Server) — представлен в виде документированного API, которым должны пользоваться разработчики прикладных систем;
2. интерфейс взаимодействия с ПАК УЦ Notary-PRO — реализован и может быть использован как для собственного УЦ заказчика, так и при работе с УЦ e-Notary в режиме сервиса (для разработчиков, в режиме отладки, реализован тестовый контур в УЦ e-Notary с выдачей сертификатов в режиме on-line);
3. интерфейс взаимодействия с сервером идентификации — реализован для соответствующего открытого проекта, бесплатно поставляемого в составе системы облачной подписи, и может настраиваться и дорабатываться под нужды заказчика.

Сопряжение с другими серверами идентификации может выполняться силами ЗАО «Сигнал-КОМ» на этапе внедрения системы.

Описание интерфейса DSS Web Server предоставляется по запросу

Третий шаг. установить сертификат из dss в локальное хранилище.

Найти в папке Tools утилиту cptools и запустить ее. входящую в дистрибутив КриптоПро Cloud CSP.

Условия получения

В связи с динамичностью изменений норм и стандартов услугу предоставления облачной ЭП в России оказывает ограниченное число удостоверяющих центров. Услуга оказывалась сервисом СКБ «Контур», однако эта возможность временно отсутствует. Наиболее простым и популярным является сервис Sing.me.

Получить подпись можно, отправив запрос на сайт. Перед получением продукта пользователю необходимо пройти очную верификацию документов (оригиналы паспорта, ИНН и СНИЛС) с представителем для заключения договора. По истечении срока соглашения потребуется обновление данных.