Сертификат облачной электронной подписи. Перенос эцп в облако

Электронная подпись выполняет такую же функцию, как ваша обычная подпись, скрепленная печатью:

• Подтверждает подлинность документа: помогает убедиться, что документ не изменили, и что он дошел до получателя в первоначальном виде.
• Позволяет идентифицировать автора документа.

Электронная подпись состоит из открытого и закрытого ключей. Открытый ключ также называется публичным, он доступен всем и используется, чтобы проверить, действительна ли подпись, помогает определить владельца и подтвердить достоверность документа, под которым поставлена подпись. Закрытый ключ — секретный. С его помощью подписывают документ, он доступен только обладателю электронной подписи. С технической точки зрения электронная подпись — это набор символов, закодированных криптографическими средствами.

Ещё подпись защищает документы от несанкционированного доступа через шифрование . Документооборот с контролирующими органами обязательно происходит в зашифрованном виде.

Как работает электронная подпись?

Прежде чем отправить отчёты в налоговую при помощи криптографического средства и открытого ключа получателя, ваш отчет, подписывается, шифруется и передается по защищенным каналам связи. Расшифровать документ сможет только инспектор, получатель отчетности, если у него есть свой секретный закрытый ключ. Затем инспектор присылает вам ответные документы, они шифруются уже на рабочем месте инспектора с помощью вашего открытого ключа и криптографического средства, а расшифровываются на вашем рабочем месте с помощью вашего закрытого секретного ключа.

При расшифровке проверяется соответствие открытого ключа, на который зашифрован документ, и закрытого ключа пользователя.

Электронную подпись выпускает удостоверяющий центр — организация, которая имеет на это право и аккредитацию. После подписания договора и других документов УЦ выпускает сертификат для вашей фирмы.

Электронную подпись можно хранить на компьютере, флешке или рутокене. Рутокен — это usb-средство аутентификации с дополнительной защитой доступа к ключам. Тогда для того, чтобы электронная подпись работала, установите на компьютер криптографическое программное обеспечение.

Квалифицированная электронная подпись

1 июля 2013 года утратил силу Федеральный закон № 1-ФЗ «Об электронной цифровой подписи» от 10.01.2002. Ему на смену пришел закон № 63-ФЗ «Об электронной подписи» от 06.04.2011, который вводит понятие квалифицированной электронной подписи или КЭП.

В связи с изменениями законодательства электронная подпись для представления отчетности в КО действует до 31 декабря 2013 года, а с 1 января 2014 года её нужно заменить на квалифицированную.

С 1 июля 2013 года, все пользователи Контур.Эльбы начали получать квалифицированную электронную подпись. Если вы получали электронно-цифровую подпись до 1 июля, то сервис предложит заменить ЭЦП на КЭП. Процедуру можно пройти онлайн, без визита в сервисный центр, если на момент оформления заявки ваша подпись действительна, а реквизиты не менялись.

Чем электронная подпись отличается от квалифицированной электронной подписи?

Принципиальных отличий между ними нет. Есть несколько законодательных и технических моментов.

Например, по закону № 63-ФЗ электронный документ, подписанный КЭП равнозначен документу на бумажном носителе, подписанному собственноручной подписью. В законе №1-ФЗ равнозначными признавались подписи.

Технические преобразования электронной подписи не изменят вашу работу. Вы по-прежнему сможете отправлять отчетность с любого устройства и из любого места на карте мира.

Как известно, задача электронной подписи состоит в том, чтобы упрос­тить документооборот. Согласно закону 2011 года «Об электронной подписи», цифровой документ, который подписан ЭП, приравнивается к бумажному с рукотворным автографом.

«“Облачная” электронная подпись обладает всеми свойствами, что и обычная, только хранится не на флешке или компьютере, а в интернете – на специальном защищенном сервере, “в облаке”», – рассказывает Игорь Чепкасов, основатель и президент Национального фонда развития криптова­лют. Там же происходит подписание и шифрование документа, потому такая ЭП не требует установки на компьютер специального ПО. Эксперт отмечает, что одно из преимуществ «облачной» подписи – возможность подписания документов (включая отчетность) и их отправки из любой точки мира и с любого устройства.

Антон Еликов (проект Мерката) отмечает, что электронная подпись «в облаке» – это то, чем многие из нас пользуются ежедневно, даже не замечая. «Самый яркий пример – это механизм авторизации в мобильных и интернет-банках, когда после ввода пароля вам присылают по СМС одноразовый пин-код. Такая двухуровневая авторизация по сути своей уже может быть электронной подписью», – рассказывает эксперт.

Зачем нужна электронная. Сергей Казаков, эксперт в области информационной безопасности компании «СКБ Контур», напоминает, что с помощью ЭП компании представляют отчетность в налоговую и другие контролирующие органы, ведут электронный документооборот. Цифровая подпись также широко применяется в сфере государственных закупок. «По нашим оценкам, общее число пользователей электронной подписи в России превышает два миллиона», – отмечает эксперт. «Технология “облачной” электронной подписи, появившаяся несколько лет назад, делает этот инструмент доступнее для бизнеса. Подтверждение этому – несколько десятков тысяч клиентов “СКБ Контур”, сделавших выбор в ее пользу», – рассказывает г-н Казаков.

Обратите внимание

Пока эксперты рассуждают о распространении «облачной» ЭП, есть одна проблема – вопросы ее применения не прописаны в нормативных актах.

Как отмечает Алексей Дашков, руководитель направления ИБ компании «Системный софт», ЭП выполняет такую же функцию, как и подпись, закрепленная печатью. «Она обеспечивает подлинность документа и состоит из закрытого и открытого ключа. Подписание документа производится с помощью закрытого ключа, который обычно хранится на специальном носителе – токене. Приобрести сервис можно у целого ряда компаний-провайдеров подобных услуг, никаких специальных требований, кроме наличия стандартного комплекта учредительных документов, не требуется», – рассказывает он.

«“Облачная” электронная подпись – это обычная электронная подпись, но с одним отличием: закрытый ключ хранится на серверах удостоверяющего центра, и подписание документов осуществляется там же. Подтверждение лич­ности подписанта происходит обычно с помощью отправки смс с кодом на мобильный телефон», – поясняет г-н Дашков.

Цена вопроса

Игорь Чепкасов рассказал, что стоимость ЭП зависит от ее функциональных возможностей и сферы применения и колеблется от 1000 до 15 000 рублей. «По крайней мере, такие цены я встречал лично, когда мне ЭП нужна была по работе. “Облачная” электронная подпись в некоторых известных мне компаниях стоит 3000 рублей», – делится эксперт.

Стоимость «облачной» подписи варьируется у разных компаний-операторов. Можно найти предложение и за 900 рублей в год. Однако не стоит безоговорочно верить рекламным обещаниям. Советуем подробно ознакомиться с прайсом на «облачную» подпись и узнать, что входит в стоимость, и только после этого принимать решение о ее приобретении.

«Стоимость “облачной” электронной подписи, как правило, включена в тариф того сервиса, который покупает клиент. Единственный сервис “СКБ Контур”, который продает ее отдельно, – это система электронного документооборота “Диадок”. В нем она составляет 900 рублей. При этом обычный сертификат на носителе с лицензией на средстве криптографической защиты информации (СКЗИ) обойдется в 3000 рублей», – рассказывает Сергей Казаков.

Как работает?

В основе работы технологии – специализированный сервер электронной подписи, находящийся «в облаке». «Если пользователю необходимо, например, отправить отчет в налоговую инспекцию, его учетная система взаимодействует с сервером электронной подписи и передает ему документ, который нужно подписать. Сервер электронной подписи обязан запросить разрешение у пользователя – это можно сделать, отправив на его мобильный телефон код подтверждения операции, как в интернет-банке», – отмечает Сергей Казаков. Вводя код подтверждения в учетной системе, пользователь санк­ционирует доступ к ключу ЭП, и для документа создается подпись. «Все ключи электронной подписи хранятся в зашиф­рованном виде на специализированном устройстве, от­вечающем самым строгим требованиям безопасности. Оператор сервера электронной подписи должен предпринимать все меры для того, чтобы минимизировать риск несанкционированного доступа к ключам», – рассказывает г-н Казаков.

Для того, чтобы использовать «классическую» электронную подпись, нужно приобрести токен и специализированное программное обеспечение – криптопровайдер. «Это немалые расходы, особенно для начинающих предпринимателей. Затем это программное обеспечение нужно установить и настроить, а если вы собираетесь использовать подпись на нескольких рабочих местах – для каждого места отдельно. “Облачная” электронная подпись не требует приобретения ПО и предварительной настройки, ее нельзя потерять или забыть», – отмечает г-н Казаков. В отличие от традиционных технологий, «облачная» подпись доступна пользователям на любой операционной системе и платформе, в том числе на мобильных устройствах.

Алексей Дашков отмечает, что «облачные» ЭП популярны у небольших компаний или индивидуальных предпринимателей, активно использующих сервисы «типа онлайн-бухгалтерий и онлайн-документооборота». В крупных организациях, не использующих «облака», применение такой подписи, по его словам, может оказаться дороже и сложнее, чем применение обычной ЭП.

Каковы перспективы?

По словам Антона Еликова, распространение применения «облачных» электронных подписей очень ждет вся транспортная отрасль России. «Стоит только представить себе ситуацию, когда водитель-экспедитор едет в рейс не с пачкой бумаг, а с планшетом. И прямо на месте отгрузки подписывает с клиентом товарно-транспортную накладную! Но основную пользу “облачная” электронная подпись могла бы принести в случае, когда документ поставки расходится с фактически отгружаемым объемом продукции (пересорт, бой в процессе транспортировки)», – отмечает он. По словам г-на Еликова, таких случаев на практике порой бывает до 40 процентов. «И все эти документы сейчас отправляются в длинный путь взаимодействия бухгалтерий со стороны поставщика и покупателя. Хотя вопрос расхождений мог бы быть урегулирован прямо в месте отгрузки, и факт изменения был бы подтвержден “облачной” подписью», – делает вывод эксперт.

Игорь Чепкасов рассказывает, что в настоящее время уже имеются совершенно новые разработки, использующие технологию Blockchain, а именно – умные контракты. «Децентрализация – фундаментальный принцип работы технологии – обеспечивает абсолютную защиту от компро­метации и несанкционированного доступа к любому документу и самой подписи, поскольку каждый такой элемент-блок (подпись, документ, архив и т. д.) находится в прочной цепочке пронумерованных блоков, защищенных сложнейшим криптографическим кодом», – рассказывает он. По словам г-на Чепкасова, внести изменения в уже введенный в обращение блок невозможно; умный контракт – это электронный алгоритм, описывающий набор условий, выполнение которых влечет за собой определенные события. «Его работа основывается на создании и применении так называемых протоколов с низким доверием, где алгоритм протокола использует только программные средства, а человеческий фактор из цепочки принятия решений максимально исключен – человек здесь выступает исключительно в ро-и одной из сторон, участву­ющей в реализации контракта. Например, при отправке платежей исполнение контракта невозможно без получения оговоренного в договоре числа электронных подписей», – отмечает он.

Тем временем, пока эксперты рассуждают о распространении практики применения «облачной» электронной подписи и говорят о возможностях развития технологий, есть одна проблема. Связана она с тем, что сегодня вопросы применения такой ЭП должным образом не прописаны в нормативных актах. Но в скором времени, а именно – в III квартале 2016 года, – россияне получат законодательную возможность использовать электронную подпись без материального носителя – USB-флешки или SIM-карты. Такая норма содержится в «дорожных картах» к программе развития интернета в России, которую Институт развития интернета подготовил для президента РФ. Так что можно ожидать, что компании в скором времени перестанут бояться «облачных» технологий и начнут более активно использовать такую электронную подпись в своей работе.

22 июля 2014 г. 08:50

Облачные технологии продолжают трансформировать отрасль за отраслью, появляясь там, где их появление, казалось бы, наименее логично. Процесс в значительной степени напоминает рождение и триумфальное шествие компьютеров по разнообразному ландшафту человеческой деятельности. Сегодня уже мало кто задумывается о том, как компьютеры изменили изготовление газет и журналов, производство, сельское хозяйство, а особенно бизнес во всех его проявлениях. Теперь же точно так же меняют всё вокруг облака, и некоторые области уже по второму кругу. Например, бухгалтерию.

В 1994 году Главное управление безопасности ФАПСИ разработало первый стандарт электронной подписи в России, но тогда в стране было ещё весьма смутное время, поэтому по-настоящему об электронной подписи заговорили лишь 8 лет спустя, в 2002-м, когда был утверждён новый стандарт криптозащиты ЭП, фактически уравнивающий российское понятие «электронная подпись» и международное - «цифровая подпись». Так что история этой технологии в нашей стране хоть и насчитывает уже двадцать лет, но фактически применяется не больше десяти.

И бо льшую часть этого десятилетия технология работала следующим образом. На компьютеры организации (как правило, лишь в бухгалтерии), устанавливалось специальное ПО для работы с ЭП, а на USB-носителе содержались персонализированные ключи, хранившиеся в единственном экземпляре. Надо сказать, что безопасность в этом случае обеспечивалась практически полная. Не завладев той самой «флешкой» с ключами - токеном, - невозможно было подписать документы от имени организации. Но ведь были и минусы! Токен можно украсть, потерять, уничтожить физически - и тогда придётся вновь проходить процедуру авторизации в удостоверяющем центре. А если нужно подписать срочные документы? Словом, облачные технологии уже стояли у порога, чтобы навсегда изменить очередную отрасль, и сегодня сектор электронного документооборота может стать локомотивом их развития.

Рассказать о преимуществах от внедрения ЭДО мы попросили специалиста отрасли Анастасию Щепину, аналитика компании Synerdocs , которая считает, что нежелание бизнеса переходить с бумаги на электронные документы, с электронной подписи на носителе на облачную электронную подпись в большинстве случаев связано со страхами и привычками:

«Опасения нужно развеять, а устоявшиеся процессы заменить новыми, более эффективными и выработать новые привычки, которые позволят работать и получать прибыль быстрее. Опасения, как правило, связаны с недоверием к серверам, на которых хранятся закрытые ключи электронных подписей. На самом деле, серверы, на которых хранятся ключи, надёжно защищены. Я думаю, это даже надёжнее, чем носить с собой токен или флеш-карту. Конечно, это вопрос доверия, но сейчас облачные технологии только развиваются, и удостоверяющие центры относятся к этому серьёзно.

Теперь о привычках. О преимуществах электронного документооборота написано уже множество статей, тут секрета никакого нет. Облачная электронная подпись добавляет преимущества: позволяет сократить расходы на приобретение электронных подписей, даёт возможность подписывать документы в любое время и в любом месте, где есть интернет. В итоге получается, что конкуренты консервативной компании, которые открыты новым технологиями, делают свой бизнес более эффективным и получают конкурентное преимущество. Это и может заставить бизнес начать переходить сначала на электронный документооборот с использованием электронной подписи на носителе, а впоследствии, возможно, и на облачные электронные подписи».

Как привычная технология ЭП выглядит в облаке? Удостоверяющий центр создаёт вашу электронную подпись и располагает её в собственном облаке. Никаких токенов в этом случае не нужно: авторизация происходит по СМС, через привязанный мобильный телефон. Сама подпись располагается в облаке, поэтому подписывать счета и прочие документы можно с любого устройства с доступом в интернет: с офисного компьютера, с личного ноутбука, с планшета или даже смартфона. У такого подхода есть очевидные плюсы. По мнению аналитика Synerdocs Анастасии Щепиной, существует два основных плюса облачной электронной подписи.

1. Её стоимость ниже. Приобретение облачной электронной подписи требует меньше затрат, чем покупка в обычном режиме. Это связано с тем, что для работы с этой подписью не нужно приобретать носитель и средство криптографической защиты информации (далее - СКЗИ). В случае облачной электронной подписи СКЗИ находится только на сервере, где хранится закрытый ключ. Всё это оформляется соответствующими соглашениями и доверенностями.

2. Мобильность. Сейчас интернет есть практически везде, а это значит, что и подписывать документы облачной электронной подписью можно с любого планшета, смартфона, устройства, поддерживающего выход в интернет. Ни бумага, ни электронная подпись на носителе не дают такой возможности. СКЗИ для мобильных устройств сейчас, конечно, разрабатываются, но вообще без СКЗИ на вашем устройстве, согласитесь, работать проще. Кроме того, закрытый ключ облачной ЭП не придётся устанавливать вам лично или платить сотруднику УЦ, который все настроит. Не нужно будет обучать пользователей работе с СКЗИ и сертификатами ЭП.

Но, обладая массой положительных качеств, облачная подпись имеет и негативные моменты. Несмотря на то, что через популярные бухгалтерские сервисы уже выдали более 100 000 облачных ЭП за 2013 год, широкое применение подписей все ещё под вопросом. Анастасия Щепина считает, что бизнес ещё не до конца определился с технической составляющей использования облачной ЭП:

Если говорить про облачную ЭП в документообороте, то пока непонятно, как она будет работать с несколькими сервисами ЭДО. Скорее всего, с большими трудностями. Закрытый ключ хранится на сервере УЦ, сервису ЭДО надо делать туда запрос на формирование электронной подписи. На данный момент не все сервисы будут легко интегрироваться с программным обеспечением УЦ, придётся это учитывать при переходе на облачную подпись. Возможно, для каждого сервиса придётся покупать отдельную подпись.

Второй минус - скорее из понятийной области. Сущность электронной подписи подразумевает замену собственноручной: то есть вы лично, собственными руками подписываете документ с помощью конфиденциальной части ключа. Она должна быть у вас и только у вас. В облачном же варианте закрытый ключ оказывается не в ваших руках - а где-то там, на сервере УЦ. То есть фактически вы ставите подпись не собственными руками, а через посредника. Конечно, все это будет оформлено документально, а сами серверы надёжно защищены, но не во всех организациях служба безопасности одобрит такое. Если вам важно, чтобы документы подписывали сами владельцы закрытых ключей, то облачная электронная подпись вам не подойдёт.

В целом же перспективы облачной ЭП и электронного документооборота в нашей стране обнадёживают. Госдума уже утвердила план развития электронного правительства до 2018 года, который включает и ряд мер по содействию бизнесу. Например, «снижение среднего числа обращений представителей бизнес-сообщества в орган госвласти для получения одной госуслуги». И пусть тезис звучит не очень внушительно, поскольку количество обращений планируют сократить лишь до двух, это уже определённый прогресс, приводящий нас к европейскому сценарию. То есть, такой ситуации когда открыть бизнес, заплатить налоги и подписать любые документы можно будет в интернете, а зачастую и со смартфона.

19 июня 2014 г. 09:21

В последнее время речь часто заходит об электронной подписи (ЭП) в облаке. В основном, эту тему обсуждают IT-специалисты. Однако с развитием сервисов электронного документооборота (ЭДО), в тему облачной ЭП стали втягиваться и специалисты-предметники – бухгалтеры, секретари, аудиторы и другие.

Поясню, облачная электронная подпись подразумевает, что ваш закрытый ключ ЭП хранится на сервере удостоверяющего центра, и подписание документов происходит там же. Сопровождается это заключением соответствующих договоров и доверенностей, а фактическое подтверждение личности подписанта происходит, как правило, с использованием авторизации по SMS.

Необходимость использования облачной ЭП бухгалтером зависит от того, в каком режиме он работает. Если вы часто находитесь вне офиса или, например, работаете в компании, которая оказывает услуги по бухучету (аутсорсинг бухгалтерии), то облачная ЭП поможет вам подписывать документы из любого места. При этом не понадобится устанавливать никакого дополнительного программного обеспечения. Однако, несмотря на простоту использования, не все компании готовы использовать эту возможность.

Чтобы вы смогли сами выбрать, нужна вам облачная электронная подпись или нет, рассмотрим все «за» и «против» её использования. А также подумаем, кому может действительно пригодиться такая подпись. Кстати, в данной статье мы будем говорить только об усиленной квалифицированной электронной подписи (далее – УКЭП).

За

Облачная электронная подпись дешевле обычной . В основном это связано с тем, что вам не нужно приобретать средство криптографической защиты информации (СКЗИ) и токен (флэшка с сертификатом). Как правило, с учетом их приобретения, цена на сертификат взлетает в 2-2.5 раза.

Удобство и простота использования . Для работы с облачной электронной подписью не нужно устанавливать как сам сертификат электронной подписи, так и специальные средства для работы с ней. Это значит, что вы не будете тратить время на то, чтобы разобраться, как всё это работает.

Мобильность . На данный момент распространенных и бесплатных решений для использования не облачной электронной подписи на мобильных устройствах ещё нет. В этом плане огромным плюсом облачной электронной подписи является то, что работать с ней можно с любого компьютера, планшета, смартфона, где есть интернет.

Против

Физически документ подписываете не вы . Нужно понимать, что в случае облачной электронной подписи закрытая часть ключа, которая является конфиденциальной и должна принадлежать только вам, будет находиться на сервере удостоверяющего центра. Конечно, это будет оформлено документально, а сами серверы надежно защищены. Но здесь всё зависит от требований компании к безопасности и от политики, связанной с подписанием документов. Если вам важно, чтобы документы подписывали сами владельцы закрытых ключей, то облачная электронная подпись вам не подойдет. В данной ситуации только вам решать, насколько вы доверяете УЦ и серверам, на которых хранятся закрытые ключи.

Вы можете использовать облачную ЭП только в тех сервисах, с которыми есть интеграция программного обеспечения удостоверяющего центра. Это тоже связано с тем, что в случае облачной ЭП закрытый ключ хранится на сервере УЦ. Для того, чтобы нужный вам сервис мог использовать такой закрытый ключ ЭП для подписания, ему нужно уметь отправлять запрос на формирование электронной подписи на сервер УЦ. Понятно, что на данный момент сервисов много, и все они не смогут предусмотреть интеграцию с программным обеспечением УЦ. Получается, что облачную ЭП вам придется использовать только с определенными сервисами. Для работы с другими сервисами придется покупать другой сертификат ЭП, и нет гарантий, что эти сервисы будут поддерживать какую-либо облачную электронную подпись.

И что же?

Облачная электронная подпись – это удобный, мобильный и простой инструмент, но не самый гибкий. А с точки зрения надежности, возможно, хранить закрытый ключ на защищенном сервере будет лучше, чем на токене в ящике стола.

Кому же действительно нужна электронная подпись? В первую очередь, тем, кто часто работает не из своего кабинета в офисе. Например, юристы и аудиторы, которые часто выезжают к клиентам. Или руководители и директоры, которым важно подписывать документы в любом месте. Для них облачная электронная подпись станет незаменимым помощником в работе.

Также, очень много зависит от политики компании. Если организация двигается в сторону облачных технологий, например, в части хранения документов, использования сервисов для внутреннего и внешнего документооборота, то и электронные подписи, скорее всего, тоже будут облачными. В остальном, бухгалтерам, делопроизводителям и другим сотрудникам, которые обычно при работе не покидают свой кабинет, облачная электронная подпись не нужна. Им можно приобрести закрытый ключ ЭП и сертификат ЭП в обычном режиме, на носителе, который можно использовать в большинстве сервисов для обмена с контрагентами и государственными учреждениями.

(4,33 - оценили 9 чел.)

Похожие записи

Ну неправда же. Например, для iOS уже давно есть Крипто-Про. Поставщики решений для СЭД его используют. Для того же DIRECTUM есть и ЭЦП на базе Крипто-Про под Android.

Физически любой электронный документ подписываете не вы. Это делает ПО.

Точнее, не на сервере УЦ, а в специализированном аппаратном сервере хранения ключей сервиса электронной подписи, взаимодействующего с информационной системой (электронного документооборота).

В этом случае, действительно, пользователю ничего не нужно устанавливать у себя, но вся безопасность использования ключа зависит не от пользователя, а от надежности аутентификации владельца ключа сервисом электронной подписи и информационной системой.

Ну и ключом можно пользоваться лишь в тех информационных системах, которые "подключены" к сервису электронной подписи, хранящему и применяющему ключ владельца. Т.е. ключ будет "неполнофункционален" (например, им нельзя защитить криптографией подключение к серверам, операционную систему, электронную почту и файлы, обеспечить авторизацию на ГОСУСЛУГИТОЧКАРУ и еще много где), а только для конкретной задачи в определенной системе. Это как сравнивать автобус и трамвай, везде есть +/-.

Решения есть, но они не распространены в виду их относительной небезопасности. Бесплатные неизвестны. Да и появятся ли они...

У меня несколько другая точка зрения: если первичным считать не облачный сертификат, а облачный сервис. Да, единый облачный сертификат можно использовать не о всех сервисах. Но ценность, на мой взгляд, не в сертификате, а в сервисах. И нет ничего зазорного в том, что каждый сервис использует свой облачный ключ. В отличие от "on premise" сертификатов (на токенах, смарт-картах или в реестре вашего персонального устройства) вам не придется носить бусы из токенов или копировать сертификаты в реестры на все устройства. Просто будут приходить sms с разных номеров. Тем более, что облачный сертификат, как правило, дешевле on premise, и не требуется покупка ПО (криптопровайдера). Ну и с точки зрения безопасности такая схемы априори выглядит надежнее, поскольку при компрометации одного ключа другие могут оставаться рабочими (нескомпрометированными).

Зазорного ничего нет, но затраты больше, чем использовать один полнофункциональный ключ (а не бусы) во многих системах. В модели угроз применения "облачного ключа ЭП" добавляется риск нарушения безопасности в канале аутентификации. Кроме того, не везде можно безопасно использовать OTPviaSMS. Да и психологически большинство людей увереннее себя чувствует при хранении своего ключа в своем сейфе, чем с виртуальным ключом в виртуальном хранилище с условно безопасным каналом управления его использованием.

Конечно, это так, пока подписание инициируется одним устройством, а SMS с кодом подтверждения подписания приходит на другое устройство. А как только мобильный клиент остаётся один, такая схема уже не априори надёжнее. Остаётся только удобство пользователя, но не надёжность.

Пользователь может выиграть, получить некое преимущество перед конкурентами, использующими бумагу с чернилами или физические токены с аппаратной поддержкой OneTimePassword, за счёт более быстрой реакции, большей мобильности. Но и примет большие риски. Риск недоступности сервиса. Риск компрометации мобильного устройства. Риски оправданы, если речь идёт о небольших денежных суммах. Сделку на миллион я бы доверил старой доброй бумаге, подписываемой в тишине, без посторонних глаз, без посредников и без спешки.

Если надо будет подписать пакет из 30 документов. А сервис не поддерживает пакетное подписание. То придётся получить 30 SMS (или одно с 30-ю кодами подтверждения) и 30 раз ввести коды подтверждения. Это время, и реакция уже не более быстрая.

Но если у каждого сервиса свой сервис для простановки ЭП, то интеграция сервисов должна быть очень тесной. И пакетное подписание туда будет входить. К примеру, придёт одно логическое SMS: "Код 0xs3cr3t для операции #22_1806. Уважаемый Константин Васильевич. Для подтверждения получения входящих документов за период 01.06.2014-18.06.2014 (20 счётов-фактур, 7 актов выполненных работ и 3-х товарных накладных), а именно - подписания 30-ти служебных документов, подтверждающих получение, введите указанный код".

Решения есть. Но, насколько я знаю, КриптоПро для iOS и Android распространяется не бесплатно.

Согласна. В общем-то, это и имеется в виду. В этом плане использовать облачный сертификат не очень удобно.

В целом, если нужно работать с несколькими сервисами, то покупка нескольких облачных ЭП может быть даже затратнее, чем покупка одного квалифицированного сертификата, СКЗИ и токена.

Что касается надежности, то здесь вопрос доверия к защищенности того места, на котором будут храниться ключи, к технологиям, с помощью которых будет осуществляться подписание. Думаю, пока технология не очень обкатана, и доверия будет не очень много. Но, согласитесь, пользоваться облачной подписью все-таки довольно удобно в некоторых случаях. Чтобы понять, какая подпись подойдет в конкретном случае, нужно посмотреть на процессы, изучить потребности, оценить плюсы и минусы обоих вариантов и потом уже принимать решение. Поэтому и стараемся показать обе стороны одной медали облачной ЭП.

А для каких платформ КриптоПро бесплатен?

Думаю, технология мало что решает - вопрос только в доверии к поставщику решения, которому вы доверите свой сертификат.

Поэтому когда о подобных технологиях говорят в контексте внутрикорпоративного использования, я еще понимаю, что это может "взлететь". Как только мы говорим о доверии сертификата третьей стороне, я не вижу ни одного шанса.

Насколько я помню, Крипто-Про для iOS и Android не продается конечным пользователям. Поэтому все идет на усмотрение вендора прикладного ПО. Захочет он вам дать бесплатно - даст. Не захочет - не даст. А может дать в довесок к той функциональности, ради которой вы решение и покупали.

Это предположение (как в исходной статье) или вы можете подтвердить это реальными цифрами?

А также Microsoft, Facebook, Twitter и сотни других поставщиков федеративной аутентификации, причем каждый ресурс сам выбирает с каим из поставщиков ему интегрироваться. Вы предлагаете так же поступить и с хранением сертификатов?

И я правильно понимаю, что вы ставите знак равенства между федеративной аутентификацией, в которой никакие данные пользователя, за исключением очень ограниченого набора, передающегося с аутентификационным токеном, не покидают периметра сервиса и сервисом ЭЦП, через который должны будут проходить все ваши подписываемые данные?

А может и не быть. Для облачного ключа не нужно токена и ПО. Сервис может, например, включить расходы на выдачу облачного токена в абонентскую плату и предоставлять облачные сертификаты "бесплатно". В любом случае, это вопрос маркетинга, а не техники.

Можно и подписать пакет из 30 документов. Это уже как настроен сам сервис, поддерживает ли он пакетное подписание. А откуда берется ключ (из облака или из реестра/токена) - это уже ортогональный вопрос. Слава, ты далее в комменте развил эту м мысль. Такое часто происходит и "на бумаге". Биг босс может подписать собственноручно только реестр платежей, а платежки потом подписывают доверенные лица.

Слава, в точку! :) Пока облачная подпись применяется в облачной бухгалтерии и сдаче отчетности.

Миша, уже работает:)

Евгений, аплодирую Вашему комментарию стоя:)

Миша, дождемся ответа Евгения, но я это понял как пример. Новое, более удобное и, возможно, менее безопасное решение, в силу своего удобства, со временем принимается потребителями, так как полученный комфорт перевесил возможные риски. Возможно, до первой беды. Возможно, что потребители продолжат пользоваться этим решением и после негативного события.

Облачная подпись сейчас кажется более удобным, но априори менее безопасной. Но часть пользователей прельстится удобством и оценит риски безопасности как приемлемые. И будет пользоваться облачной подписью.

Облачная подпись уже работает в "low-cost" сегменте. Интересно было бы попробовать ее в сегменте "enterprise". Возможно, бизнес успокоят слова "КриптоПро HSM" или что-то другое. Надо думать, предлагать и пробовать.

Ну так удалите в статье статьи аргумент "мобильность" из раздела "за".

А зачем она там?!

Я ведь правильно понимаю, что под облачной бухгалтерией понимается сервис, на котором ведется учет и с которого затем отсылается отчетность? Почему в данном случае не достаточно просто авторизации пользователя на сервисе? Зачем еще ЭЦП - чтобы соответствовать требованиям регулятора?

Где именно? Внутри одного сервиса или сервисов одного поставщика? Ок, принимается.

Только теперь мне нужно завести по сертификату у каждого поставщика? Так?

В чем именно она удобна?

Я вижу плюс только в одном - если ты пользуешься web-сервисом, то организация подписи с локального клиента может быть проблематичным.

По-моему на упоминание КриптоПро (как и всего, что связано с нашей странной "российской квалифицированной подписью") у нормального бизнеса уже начинается идиоскарзия.

Да, правильно, но это могут быть разные сервисы. Не всем нужна и бухгалтерия и отчетность. Многие предпочитают вести бухучет on premise, а потом уже сдавать отчетность через сервис. КЭП нужна, чтобы соответствовать требованиям законодательства.

Да, внутри сервисов одного поставщика это работает. Теоретически можно научиться предоставлять облачный сертификат другим поставщикам, если в этом будет экономический смысл. Но ценность, на мой взгляд, предоставляют именно сервисы и среды, где может быть использована ЭП, простое обладание облачным или обычным сертификатом не несет экономического смысла.

В случае облачного сертификата у пользователя нет необходимости устанавливать ПО на свое устройство и думать о копировании сертификатов на каждое устройство или носить с собой всегда ключевой носитель. Владение облачным сертификатом - менее хлопотная процедура, так что я бы не стал так сильно пугаться заводить кучу сертификатов у разных провайдеров. Да и стоимость необходимого ПО и ключевого носителя (в случае с on premise сертификатами) будет заметно меньше абонентских платежей, так что использование одного универсального сертификата - вопрос скорее удобства, чем экономической выгоды.

Про HSM почитай - штука интересная. Подобные решения есть и у зарубежных конкурентов, и давно. Так что тут КриптоПро использует универсальный мировой опыт.

Радует, что данная тем вызывает интерес. Постараюсь развить высказанную выше концепцию облачного сервиса с учетом замечаний. 1. Облачный сервис как развитие информационных систем является уже свершившимся фактом, что подразумевает подтягивание до этого стандарта производителей программного софта. С точки зрения снижения затрат - ранее вам приходилось покупать 2-3 программных продукта, обеспечивающих ваши потребности, теперь это 1, причем на 30-40% ниже по суммарной стоимости.

2. Что такое цифровая подпись и для кого она в первую очередь нужна? ЦП - это ваш идентификатор в IT системах, позволяющий вам сказать "Я-это Я" для принятия решений при любом уровне финансовой ответственности с гарантированным уровнем защиты от взлома или неправомерного использования. В любом случае появление ЦП - это эволюция "живой" подписи с целью ускорения реализации бизнес-процессов компании. Т.е. если раньше бумажный документ обрабатывался не спеша, то теперь достаточно одного щелчка для принятия решений.

3. Никто не говорит, что есть идеальные решения и средства. Действительно КриптоПро набил оскомину при его использовании. Недавно переустанавливал систему для бухгалтеров использующих 1C, СБИС и 2 учетки банков через web-интерфейс (с использованием КриптоПро) - проклял все, пока добавил все необходимые сертификаты и поддержку ключей.

Михаил, не совсем знак равенства. Скорее знак тождество, т.к. ФА позволяет реализовать механизм единого окна для пользователей различных доменов, т.е. выступает идентификационным гарантом для участника авторизации. Сервис ЭЦП сам имеет средства авторизации и решает свои конкретные задачи. В данном случае, явным примером может служить сайт госуслуги и сервисы сателиты (например РОИ). Сайт госуслуг является ФА, который гарантирует идентификацию пользователей для других сервисов.

Сергей, абсолютно с вами согласен. Облачная подпись может и должна выступать в качества единого идентификационного сервиса, принимаемого другими участниками бизнес-процессов. Сейчас, это все слишком фрагментировано и существует много посредников на пути движения документов.

Откуда следует этот вывод?

Может быть Вы не умеете им пользоваться? Установка сертификатов задача весьма тривиальная и ни у кого не вызывает вопросов. Причем технологически она ничем не отличается от установки сертификатов на других криптопровайдерах.

Используйте УДОБНЫЕ прикладные средства, которые работают с СКЗИ и будет Вам счастье.

Сейчас то, что продается под названием "облачная подпись", никак не может выполнять функции идентификационного сервиса, т.к. само целиком зависит от аутентификации. У облачной подписи и нет задачи идентификации, требуется перенести процесс формирования подписи с рабочего места в облако, но лишь по причине, что рабочее место пользователя не так безопасно, чтобы работать с СКЗИ.

Что фрагментировано? Какие посредники? Если про УЦ, то он нужен для изготовления квалифицированных сертификатов. Если про оператора, то как Вы без него это представляете? Нужен оператор электричества, оператор доступа к сети, оператор сервиса облачной подписи, оператор информационной системы и т.п. Это специализированная деятельность. У нас же не натуральное хозяйство.

Я как бы этого не говорил:) Вполне допускаю использование облачных подписей для отдельных сервисов, ну ладно, пусть сервисов от одного оператора. Но в качестве единого идентификационного сервиса я пока бы постеснялся ее использовать.

Ага, в последнее время часто доводится слышать, как операторов ЭДО сравнивают с продавцами воздуха. Наверно, напишу таки большую статью, что делает оператор, кроме обеспечения юридической значимости, пока ограничусь тезисами:

1. Создание ЭД. В интерфейсе сервиса, как правило, можно создать самые распространенные ЭД (ЭСФ, ТОРГ-12, акты и т.п.).

2. Хранение ЭД. Не скажу за все сервисы, но Диадок хранит ваши документы до тех пор, пока вы сами их не удалите. Даже если вы уже не платите абонплату.

3. Единое правовое пространство. Попробуйте заключить договоры со всеми своими контрагентами, если вы, скажем, оператор связи или энергосбытовая компания!

4. Транспорт. Ок, вы сами сможете организовать транспортировку ЭД по каналам связи и контролировать подписание для всех своих 10 тысяч контрагентов? Ну-ну...

5. Интеграция. Расскажу маленькую историю. Одна транснациональная корпорация надумала слать через оператора ЭСФ и ТОРГ-12. Да вот беда, что ERP могла выгружать только PDF и то особого извращенного формата. ИТ корпорации был где-то в Латинской Америке и принимал заказы на разработку на следующий год. Это не считая волокиты с формулирование м ТЗ и согласованием на нескольких континентах. Кто смог быстро наладить интеграцию? Правильно, оператор.

Сергей, т.е. можно резюмировать о несостоятельности IT-инфраструктуры для обеспечения требуемого качество ЭД в рамках существующих ERP? Исходя из вышесказанного Вами, ЭД еще находится в зачаточном состоянии и не может полностью удовлетворить потребности конечных пользователей в полном объеме.

Тогда получается, что производители бумаги продают обработанную целлюлозу..:) Оператор ЭДО предоставляют услуги, которые востребованы рынком (хотя некоторые умудряются продавать консервированный воздух Альп)

Зачем же так? Электронный документооборот - не самоцель, это инструмент. Он развивается, и требования растут то же. Где-то требования выше, где-то ЭД сам формирует потребности. В целом, я считаю, состояние ЭДО в России более-менее адекватно требованиям рынка.

Сергей, делая такой вывод, я основываюсь на том, что вы написали выше. Ведь вы поднимаете вопрос об эффективности IT-средств для реализации ЭД. Кроме этого, облачный сервис, как сфера услуг, достаточно динамично развивается и шансы появления электронной подписи - вопрос времени.

Ежедневная подписка. Другие виды подписок доступны при регистрации.