Firma electrónica cualificada en dispositivo móvil. firma electrónica "móvil" Firma electrónica en el teléfono

Muchas empresas han intentado abordar el problema de implementar una firma electrónica en un teléfono inteligente y en la nube desde 2010-2011. En ese momento, el proyecto de "gobierno electrónico" se estaba desarrollando activamente. Los expertos y usuarios de servicios, no en vano, esperaban que la mayoría de los servicios de este proyecto pudieran implementarse en la "nube", lo que abriría la posibilidad de proporcionar servicios simples y convenientes, basados, entre otras cosas, en una "nube". "Firma electrónica, para otros proyectos y áreas de la vida de la sociedad rusa. Sin embargo, según varias razones, el gobierno electrónico se implementó sin firma electrónica en la nube y Rostelecom continúa ofreciendo tokens familiares a usuarios corporativos y privados de los servicios estatales. Mientras tanto, ya existen y se están implementando con éxito tecnologías que aún pueden garantizar el “despegue” de la idea de una firma electrónica en la “nube”.

Qué ha pasado firma electronica¿Y por qué es necesario ir a la “nube”?

La firma electrónica forma cada vez más parte de vida diaria ciudadanos y personas jurídicas. Según la legislación de la Federación de Rusia (Ley Federal de 6 de abril de 2011 No. 63-FZ "Sobre Firmas Electrónicas"), una firma electrónica reemplaza completamente a una firma manuscrita y tiene plena fuerza legal. Para los ciudadanos comunes, una firma electrónica proporciona interacción remota a través de Internet con agencias gubernamentales, instituciones educativas y médicas. Permite a las empresas y organizaciones participar en subastas electrónicas, organizar el flujo de documentos electrónicos legalmente significativos, enviar en formato electrónico informar a las autoridades reguladoras.

Para información

En el sentido más general, una firma electrónica es el resultado de una transformación criptográfica de un documento electrónico mediante la denominada “clave de firma electrónica”. Permite identificar inequívocamente a la persona que firmó el documento electrónico, así como detectar que se han realizado cambios en el mismo después del momento de la firma. Una firma electrónica se crea utilizando las llamadas "herramientas de firma electrónica", que pueden ser certificadas (este es un requisito previo para la formación de una firma electrónica calificada) o no certificadas (utilizadas para una firma electrónica no calificada).

Con cierto grado de simplificación, podemos decir que la seguridad de una firma electrónica y de los servicios prestados en base a ella se basa en que las claves de la firma electrónica se mantienen en secreto, de forma protegida, y que cada usuario almacena responsablemente sus clave de firma y no permite incidencias. Y por tanto, los algoritmos y protocolos criptográficos, así como las soluciones de software y hardware-software basadas en ellos para generar una firma electrónica, utilizan estas claves para proporcionar las propiedades de información requeridas: integridad, confiabilidad, autenticidad (autenticidad, no repudio).

Los portadores "tradicionales" y confiables de claves de firma electrónica son claves electrónicas (un token o una tarjeta inteligente) que, al ser medios criptográficos certificados, deben estar sujetas a una contabilidad estricta y emitirse en estricta conformidad con las reglas y requisitos de los reguladores de la industria. Al mismo tiempo, entre los especialistas interesados, se hizo repetidamente la audaz suposición de que si fuera posible encontrar otra solución y deshacerse por completo de los tokens, cambiar a alguna tecnología "más fácil para el usuario" para almacenar claves de firma, entonces el número de Las personas jurídicas y los ciudadanos que utilizan la firma electrónica aumentarían significativamente. En este sentido, la transición al almacenamiento "en la nube" de las claves de firma les parece desde hace tiempo a los expertos una solución prometedora. Esta idea gradualmente se volvió aún más relevante a medida que los teléfonos inteligentes y tabletas, ya que conectarles un token o una tarjeta inteligente no es una tarea trivial. El almacenamiento "en la nube" de claves de firma parecía ser una solución muy conveniente para los amantes de trabajar y recibir servicios de información directamente en dispositivos móviles sin dispositivos de lectura adicionales: tokens y tarjetas inteligentes.

De hecho, la idea misma de almacenar la clave de firma electrónica del usuario en la “nube”, en algún lugar “superseguro”, por ejemplo, en un HSM (Hardware Security Module o como también se le llama en el “hardware”) módulo de seguridad”) o en algún lugar Además, esta idea está lejos de ser nueva. Además, esta es una práctica bastante común en un entorno corporativo, ya que la experiencia del uso de HSM para almacenar claves privadas de usuarios en infraestructura corporativa se remonta a casi diez años. Por lo tanto, la transición a esta tecnología de almacenamiento clave en la escala de los servicios públicos se ha considerado durante mucho tiempo como una de las más difíciles, pero, sin embargo, potencialmente opciones posibles. Y en este sentido, sólo quedaba una pregunta fundamental en materia de seguridad: “¿cómo podrá un usuario específico poseedor de una clave de firma electrónica almacenada en la nube acceder a esta clave”?

Acceso a la nube: ¿qué opción elegir?

Una de las primeras, allá por 2011-2012, fue la empresa CryptoPro en ofrecer sus tecnologías de firma electrónica “en la nube”. Se trataba del servicio CryptoPro DSS (Digital Signature Server), basado en el uso de la solución CryptoPro HSM para almacenar claves de firma electrónica. Como método para acceder a las claves de usuario, se ofrecieron varias opciones para elegir: una contraseña múltiple, una contraseña única y autenticación mediante un token conectado a una computadora.

La primera opción, una contraseña reutilizable, significa que para firmar algo en la “nube” de CryptoPro DSS, el usuario primero debe autenticarse en esta “nube” utilizando una contraseña. Y en este sentido, el usuario obtiene todos los "placeres" asociados con el uso de una contraseña reutilizable: todos los expertos en seguridad llevan décadas hablando del nivel insuficiente de seguridad de las contraseñas reutilizables, como lo demuestran numerosos incidentes con bases de datos de contraseñas robadas y, a menudo, muy de maneras simples Estas contraseñas pueden ser adivinadas o robadas.

La segunda opción, una contraseña de un solo uso, implica la transmisión de una secuencia de caracteres de un solo uso para la autenticación del usuario en la "nube" a través de SMS o su generación mediante un token OTP (contraseña de un solo uso). La desventaja más importante de las contraseñas de un solo uso es que no están vinculadas a la operación que se confirma con su ayuda. Es decir, una contraseña de un solo uso puede confirmar cualquier operación, incluso una creada por un atacante. Este hecho ha dado lugar a una gran cantidad de esquemas fraudulentos para "extraer" estas contraseñas de los usuarios, desde sitios y aplicaciones falsos (phishing) hasta ingeniería social (extracción de códigos durante la comunicación personal). Es posible vincular los detalles al enviar un código por SMS, pero este canal ha demostrado durante mucho tiempo su total inconsistencia para transmitir códigos de confirmación (es decir, contraseñas de un solo uso), ya que los SMS pueden ser "interceptados" por docenas de diferentes caminos, el más simple de los cuales es una aplicación troyana para teléfonos inteligentes.

La tercera opción es la autenticación en CryptoPro DSS mediante una clave electrónica (token o tarjeta inteligente) que se conecta a la computadora del usuario. Por supuesto, esta es la opción más segura y familiar para la autenticación de dos factores y el acceso a recursos y servicios de información. Pero, por otro lado, si el usuario tiene un token, ¿por qué necesita la “nube” CryptoPro DSS con claves de firma electrónica? ¡Instalamos el proveedor de cifrado en la computadora y el usuario tiene la oportunidad de trabajar tranquilamente! Además, en algunos casos, es posible firmar documentos con firma electrónica en el propio token, que es uno de los “ mejores prácticas" en la industria de la seguridad. Aquellos. Toda la idea de simplicidad y accesibilidad de una firma electrónica en la "nube" desaparece de raíz con esta opción.

Al analizar los detalles del uso de un método particular para obtener acceso a claves de firma electrónica "en la nube", se debe tener en cuenta que una firma electrónica, por regla general, se acepta mediante alguna acción (servicio) legalmente significativa. Y su demanda se debe al alto nivel de seguridad, que se garantiza manteniendo en secreto la clave de la firma y fuertes algoritmos criptográficos. Y si se utiliza uno de los métodos de autenticación para acceder a la clave (contraseña reutilizable, contraseña de un solo uso, SMS, etc.), resulta que las propiedades de seguridad de la firma electrónica en sí son reemplazadas por las propiedades de seguridad de la autenticación. mecanismo utilizado. Dado que la seguridad de todo el sistema está determinada por la seguridad de su eslabón más débil, el sistema de firma electrónica en su conjunto no puede ser más seguro que, por ejemplo, una contraseña para acceder a las claves de firma. En la práctica, esto puede significar que un atacante que reciba una contraseña le permitirá firmar cualquier documento en nombre de un usuario legal, lo cual es completamente inaceptable para la implementación de servicios de "firma en la nube" con consecuencias jurídicamente significativas.

firma electrónica en dispositivo móvil. Problemas y experiencias positivas.

Posteriormente, se hicieron muchos intentos más serios y bastante exitosos de ofrecer tecnologías e implementar proyectos a gran escala utilizando firmas electrónicas "en la nube". Estos también fueron los operadores. comunicaciones móviles y grandes empresas internacionales, como Gemalto. Pero una de las más exitosas fue la experiencia de la empresa finlandesa Valimo, que, junto con el operador de telefonía móvil EMT (actualmente Telia Eesti), participó activamente en un proyecto implementado con éxito en Estonia. identificación móvil Identificación móvil. Por cierto, el proyecto Mobil-ID, al ser una alternativa móvil completa a la famosa Tarjeta Electrónica Universal de Estonia (ID-card), brindó a los ciudadanos la posibilidad de una firma electrónica no completamente "en la nube". La solución permitió a los suscriptores, utilizando sus dispositivos móviles y capacidades especiales de tarjeta SIM, firmar documentos electronicos y confirmar solicitudes de servicios de gobierno electrónico. Es decir, la tarjeta SIM se ha convertido en un medio de firma electrónica y la solución generalmente proporciona servicios para generar una firma mediante la interacción con un suscriptor específico.

Para información

La fase activa del proyecto de la Tarjeta Electrónica Universal en Estonia comenzó en el año 2000. A finales de 2011, más de 1,1 millones de ciudadanos estonios (sobre 1,6 millones de habitantes en aquel momento) habían recibido documentos de identificación de plástico (tarjetas de identidad) equipados con casi dos docenas de elementos de seguridad: chip de tarjeta inteligente, microimpresión, holograma, etc. Se instaló una aplicación de identificación en el chip de la tarjeta inteligente, que requería que el usuario ingresara un código PIN al interactuar a través de Internet con los sistemas de información del gobierno electrónico, así como una aplicación de firma electrónica con su propio código PIN independiente. Gracias a esto, el DNI se ha convertido en un medio completo de identificación de una persona, en el que se almacenan tanto los datos personales de un ciudadano del país como la clave de firma electrónica. La única limitación era la necesidad de utilizar una computadora personal o portátil, así como un lector de tarjetas de identificación.

En 2007, se lanzó en Estonia el proyecto Mobil-ID, iniciado por el operador de telefonía móvil EMT (ahora Telia Eesti). La idea del proyecto Mobil-ID era registrar las mencionadas solicitudes de identificación del ciudadano y su firma electrónica en una tarjeta SIM. operador móvil. De este modo, el usuario de Mobil-ID pudo identificarse mediante teléfono móvil, y esto ya no requería un lector de tarjetas de identificación.

Actualmente, Mobil-ID es un servicio de Telia Eesti: una tarjeta de identidad digital completa en un teléfono inteligente personal (https://www.telia.ee/era/mobiil/lisateenused/mobiil-id). Los certificados Mobil-ID son emitidos por el Departamento de Policía y Guardia de Fronteras de Estonia, por lo que, similar a una tarjeta de identificación, el servicio Mobiil-ID le permite realizar diversas transacciones electrónicas, recibir servicios de gobierno electrónico, celebrar contratos, firmar documentos con un firma electrónica y voto en elecciones. El servicio está disponible para usuarios tanto en Estonia como en el extranjero y, aunque no era un servicio "en la nube" completo, hasta hace poco seguía siendo la única opción para realizar transacciones electrónicas en un teléfono inteligente o tableta.

Varias empresas conocidas del mercado intentaron adaptar estas tecnologías a Rusia, pero la empresa Aladdin R.D. fue la que más avanzó. El desarrollador de herramientas de autenticación y generación de firma electrónica pasó con éxito el proceso de prueba de la tecnología en MegaFon y MTS, pero, lamentablemente, el proyecto no se lanzó a nivel nacional. ¿Cuáles son, en nuestra opinión, las razones que no permitieron la implementación de un proyecto prometedor?

En primer lugar, las tarjetas SIM ya no eran “tarjetas SIM normales” y, debido a la complejidad de las tareas a resolver y los requisitos para las mismas, se volvieron varias veces más caras. Según algunos informes, el costo aumentó hasta 10 veces y alguien tuvo que compensar estos costos. En comparación, la experiencia positiva de Estonia se debió en gran medida al hecho de que Mobil-ID fue el motor del proyecto. operador móvil con participación gubernamental, que podría permitirse incurrir en costos adicionales y coordinar sus acciones con otros operadores. Y en Rusia, para implementar un proyecto similar, fue necesario coordinar esfuerzos y compartir los costos de los 4 mayores operadores móviles. Al mismo tiempo, las propias soluciones, aplicaciones para identificar al usuario y generar su firma electrónica, tuvieron que instalarse en las tarjetas SIM de los suscriptores de todos los operadores del país, lo que complicó enormemente los problemas de producción de tarjetas SIM y sus problemas. logística a la escala de Rusia, que tiene una población dos órdenes de magnitud mayor que Estonia.

En segundo lugar, surgió una cuestión organizativa muy compleja en relación con la identificación primaria de los ciudadanos que reciben tarjetas SIM con firma electrónica. Actualmente, con ciertas reservas, cualquiera de nosotros puede comprar una tarjeta SIM para nosotros mismos, para nuestros familiares, amigos, pero si este proyecto comenzara, los operadores estarían estrictamente obligados a realizar una identificación primaria (por ejemplo, como lo hacen los bancos). ahora Ley Federal de 7 de agosto de 2001 No. 115-FZ “Sobre la lucha contra la legalización (blanqueo) del producto del delito y la financiación del terrorismo”). En consecuencia, los costos y la intensidad de la mano de obra de los procesos comerciales de los operadores aumentarían inmediatamente de manera significativa.

Y en tercer lugar, surgió la eterna pregunta: “¿Por qué?” ¿Qué servicios públicos y servicios de empresas comerciales, prestados exclusivamente sobre la base de una firma electrónica, estaban listos para ofrecerse a particulares y entidades legales¿En Rusia? Desafortunadamente, en ese momento aún no se habían proporcionado dichos servicios, por lo que no era urgente iniciar el proyecto todavía.

Actualmente, se está llevando a cabo un intento de implementar una firma "en la nube" utilizando tarjetas SIM, anunciado por 1C. Las tecnologías subyacentes a este proyecto se presentaron brevemente principalmente a instituciones financieras rusas (como parte del Foro de los Urales " Seguridad de informaciónámbito financiero" 2017). Ahora hay muy poca información sobre el progreso de este proyecto y sólo el tiempo dirá si se cumplirán las expectativas de los usuarios de recibir una firma "en la nube" utilizando tarjetas SIM de la empresa 1C.

Otro intento prometedor y digno de mención de implementar una firma "en la nube" para el acceso desde dispositivos móviles fue el propio proyecto de MegaFon. En este proyecto, el operador propuso una solución de compromiso: utilizar un HSM para almacenar claves de firma electrónica y proporcionar a los usuarios acceso a sus claves de firma, una parte del cliente basada en un subprograma especializado en una tarjeta SIM que generaba una única vez. contraseñas.

Por un lado, las ventajas de la solución propuesta eran obvias: no era necesario realizar operaciones criptográficas complejas en la tarjeta SIM y, en consecuencia, no se necesitaban tarjetas SIM más complejas y costosas con coprocesadores criptográficos integrados. El presupuesto para un proyecto de este tipo sería más realista. Pero, por otro lado, para acceder a las claves de firma se ofrecieron nuevamente contraseñas de un solo uso, que en el pasado se generaban en tokens OTP. Estas contraseñas de un solo uso simplemente se “transfirieron” a la tarjeta SIM con todas sus deficiencias y limitaciones. Por lo tanto, nuevamente, la seguridad de todo el sistema de firma electrónica sería reemplazada por la seguridad de la contraseña de acceso a la clave de firma, y ​​no sería más segura ni más conveniente de usar que una simple contraseña de un solo uso.

¿Qué espera ahora el mercado de la firma electrónica?

Actualmente, el mercado está experimentando otro aumento de interés en las firmas electrónicas basadas en la nube. Es de destacar que este interés está predeterminado por objetivos comerciales puramente prácticos.

Una de estas tareas es la llamada “firma única”. En muchas áreas, ahora es necesario proporcionar una firma electrónica calificada una vez, y las soluciones para generar dicha “firma única” (sin volver a utilizar claves de firma) tienen una gran demanda. Obviamente, las opciones "clásicas" para emitir una firma electrónica a los clientes no son del todo adecuadas: el momento y el costo de emitir un token o una tarjeta inteligente, implementar un proveedor de cifrado en la computadora del cliente, generar claves de firma, emitir un certificado, todo esto. Es demasiado complicado, costoso y requiere mucho tiempo para una sola firma. En tales circunstancias, ofrecer una firma en la nube parece una opción muy adecuada.

Un ejemplo de ello son las transacciones inmobiliarias. En particular, muchas empresas promotoras y comerciantes de bienes raíces trabajan con los clientes de una manera "estándar generalmente aceptada": el cliente acude a ellos y, para registrar la transacción en el Servicio Federal de Registro Estatal, Catastro y Cartografía (Rosreestr), , es necesario recopilar el paquete de documentos establecido, ir a este Rosreestr, presentar estos documentos para el registro y luego realizar otra visita y recibir el certificado correspondiente para el registro de propiedad. Cabe destacar que ahora todo esto se puede hacer electrónicamente, al menos Sistemas de información y los procesos de Rossreestr lo permiten. Para ello, solo se necesita una firma electrónica calificada de las partes de la transacción, con la que el cliente y el desarrollador firmarán el paquete de documentos generado. Y el cliente sólo necesita esta operación una vez. Por supuesto, los promotores y comerciantes de bienes raíces, así como otros actores del mercado cuyo negocio requiere una firma electrónica "única" del cliente, no construirán un sistema para generar una firma en su infraestructura. Utilizarán servicios que, por cierto, algunas empresas ya están intentando ofrecer.

Para información

¿Qué significa cuando dice “se ha emitido una firma electrónica al cliente”? Todos los especialistas dirán que la firma en sí es el resultado de transformaciones criptográficas de la información que se firma, y ​​que la firma no puede "emitirse" en un medio Flash, token o tarjeta inteligente. Y ciertamente no se trata simplemente de un medio de firmar: un contacto directo medios tecnicos para generar firmas electrónicas de documentos. Entonces, ¿cuál es el uso correcto de un término que, como en otros campos específicos, se ha convertido en una jerga?

Entonces, una firma electrónica “emitida” para un cliente específico implica la presencia de tres componentes:

El primero es un servicio de firma electrónica. Es decir, directamente una herramienta técnica que implementa un conjunto de algoritmos y funciones criptográficas. Por ejemplo, podría ser un proveedor de cifrado (CryptoPro CSP, ViPNet CSP), un token independiente (EDS Rutoken, JaCarta GOST) o una "nube".

El segundo es el par de claves generado por la herramienta de firma electrónica. Una de las claves de este par es la clave de firma electrónica (a veces también se la denomina clave “privada”), que se utiliza para generar la firma. En el caso más general, la clave "privada" se puede almacenar en varios lugares: en una computadora (aunque esto es muy inseguro), en una unidad flash (tampoco segura), en un token (mejor, pero inseguro), en un token/tarjeta inteligente en forma no extraíble (la opción más segura). La segunda de las claves es la clave pública de verificación de la firma electrónica. Es necesario para que cualquier persona pueda verificar la exactitud de la firma electrónica. Esta clave no es un secreto, pero está vinculada únicamente a la clave "privada".

El tercero es el certificado de clave de verificación de firma electrónica, que genera la Autoridad de Certificación. ¿Por qué necesitas un certificado? Cuando una persona utiliza una firma electrónica existente para generar un par de claves, representará físicamente dos conjuntos impersonales de bytes. Y cuando una persona transfiere una clave pública a otra para la verificación posterior de una firma electrónica, siempre existe el riesgo de que esta clave pública (un conjunto impersonal de bytes) sea reemplazada por alguien durante el proceso de transferencia. Y, en consecuencia, un atacante que haya reemplazado esta clave pública por la suya propia podrá hacerse pasar por un firmante simplemente interceptando mensajes, cambiándolos y poniendo su firma electrónica. Para evitar que esto suceda, es necesario asociar un conjunto anónimo de bytes de clave pública con la identidad de un cliente específico, con una persona u organización específica. Y esto es exactamente lo que hacen las Autoridades de Certificación (CA). Es decir, una persona o representante de una organización llega al Centro de Certificación, muestra su pasaporte y dice: “Aquí estoy, Ivan Ivanov, aquí está mi clave de verificación de firma electrónica. Por favor, denme un documento de que esta clave pública me pertenece: Ivan Ivanov”. Y este documento es el certificado. Y el Centro de Certificación es responsable de ello, de su corrección. La CA es responsable (financiera y administrativamente) de los certificados que emite. Y si en alguna transacción aparece un certificado de clave de verificación, emitido a nombre de Ivan Ivanov, pero con una clave pública que no pertenece a Ivan Ivanov, la CA será responsable de esta transacción. Además, la responsabilidad, según establece la legislación, es de unos 50 millones de rublos. Esta es una responsabilidad financiera muy seria. Es decir, una CA es una unidad organizativa que se ocupa de "hacer coincidir" claves públicas e identidades en el mundo físico.

De acuerdo con la legislación de la Federación de Rusia, existe una distinción entre "certificado de clave de verificación de firma electrónica" y "certificado de clave de verificación de firma electrónica calificado" (certificado calificado), el primero de los cuales es emitido por el Centro de Certificación, y el segundo. por el Centro de Certificación acreditado de conformidad con la legislación de la Federación de Rusia. Es importante entender que la clave de verificación de firma electrónica en sí (clave pública) es un concepto técnico, mientras que un certificado de clave pública y una Autoridad de Certificación son un concepto organizacional.

Así, cuando decimos que a una persona se le ha “expedido una firma electrónica”, queremos decir que:

1. Se le ha entregado un dispositivo de firma.

2. Dispone de un par de claves: pública y privada, con cuya ayuda se genera y verifica una firma electrónica.

3. La Autoridad de Certificación le emitió un certificado de clave pública, es decir, la CA verificó que la clave pública correspondiente del par de claves realmente pertenece a esta persona.

Y en relación a la firma electrónica “nube”, cuando decimos que a una persona se le ha emitido una firma electrónica “nube”, esto significa que se formó un par de claves para la persona en la “nube”, se aseguraron de que el público La clave en realidad pertenece a esta persona, se emitió el certificado correspondiente y se le dio a esa persona un medio para acceder a sus claves en la nube.

Otra tarea empresarial es volverse móvil. No es ningún secreto que el apego del usuario al lugar de trabajo con computadora personal va más allá del horizonte a pasos agigantados. Cada vez hay más escenarios de uso de servicios que implican trabajar en un dispositivo móvil personal: normalmente un teléfono móvil o tal vez una tableta.

Sistemas de toma de decisiones de órganos colegiados, flujo de documentos, remoto. servicios bancarios, administracion de COMPAÑIA, comercio electrónico– estos y muchos otros servicios requieren tiempos de respuesta cada vez más cortos y mayor movilidad.

Las empresas que prestan estos servicios no pueden dejar de responder a estas demandas. Y las herramientas de firma electrónica utilizadas también deben cumplirlos. Y las herramientas "tradicionales", como los proveedores de criptomonedas y los tokens, no tienen la capacidad de funcionar en dispositivos móviles. Y las tecnologías de la “nube” resuelven este problema.

Firmar documentos como servicio: ¿un engaño profesional o un verdadero servicio?

Entonces, ¿qué sentido tiene un servicio de firma electrónica cualificada “por única vez”? Cuando un cliente viene a completar una transacción, si tiene una firma electrónica calificada, sería posible recopilar y enviar documentos, por ejemplo, como en el caso de bienes raíces, al Registro Ruso en formato electrónico. Y nadie más debería ir a ningún lado. Esto es conveniente, pero el cliente debe proporcionar una firma electrónica calificada y ¿dónde se puede conseguir para una firma “única”? Y últimamente han aparecido empresas, normalmente Autoridades de Certificación, que ofrecen a sus clientes una firma “única” y “en la nube” por poco dinero. "Haremos una firma electrónica cualificada para usted", dicen estas empresas. Es decir, una determinada organización, a petición del cliente, le genera un par de claves, aquí, en su Centro de Certificación, le emite un certificado, toma el conjunto de documentos recopilados de esta persona, firma en su nombre y devuelve el conjunto de documentos ya firmados al propio cliente. Por supuesto, es conveniente para resolver un problema específico. ¿Pero puede considerarse legítimo un servicio así?

En teoría, en condiciones ideales, esto probablemente podría considerarse un servicio “único”. Pero desde un punto de vista legal, desde el punto de vista del sentido común y los propios principios de la firma electrónica, consagrados en el No. 63-FZ "Sobre firmas electrónicas", no todo es tan sencillo. Juzgue usted mismo: alguna organización con derechos incomprensibles para una persona en particular genera una clave de firma electrónica para ella y emite un certificado de clave pública calificado en nombre de esta persona. Como resultado, obtenemos un conjunto completo para generar una firma electrónica que, en su significado legal, reemplaza su propia firma manuscrita. Usando una clave de firma electrónica, puede firmar cualquier documento y ejecutar cualquier orden que las autoridades gubernamentales deban tomar como guía de acción, ya que ya se ha emitido un certificado de clave pública y se puede proporcionar. Los pedidos pueden ser cualquiera, hasta cambiar el nombre y apellido. ¡La paradoja de la situación es que una persona que ha utilizado dicho servicio ya no lo controla de ninguna manera!

Por supuesto, los acuerdos legales entre el cliente y la empresa que se celebren para prestar dichos servicios pueden ser cualquier cosa: un poder para la formación de una firma electrónica, un pedido, un acuerdo. Las empresas que prestan estos servicios son muy diferentes y pueden tener diferentes estructuras legales, incluidas aquellas bien pensadas que brindan una cierta garantía de seguridad y calidad del servicio. Sin embargo, desde el punto de vista del sentido común, desde el punto de vista de los principios de la firma electrónica, los servicios en esta forma no son del todo correctos. En nuestro ejemplo de registro de derechos de propiedad sobre una propiedad, nada impide que la misma empresa primero registre los derechos de propiedad de un cliente y luego, en el siguiente lote, envíe una solicitud para volver a registrar este derecho de propiedad a una entidad legal o individual completamente diferente. . Hay una gran cantidad de esquemas de fraude: tienen un certificado, tienen una clave de firma electrónica, tienen todos los detalles de la propiedad en sí. Y nada les impide utilizar estos fondos, y nadie controlará ni cambiará esto.

Para información

Lamentablemente, existía un precedente de una empresa de servicios que utilizaba una clave de firma electrónica y un certificado para su cliente. Todo comenzó de manera lógica y correcta: se registró y acreditó el Centro de Certificación, se emitió un conjunto de certificados para personas reales y existentes a quienes se les brindaron servicios de firma electrónica "por única vez". Pero posteriormente le “robaron” la propiedad del cliente por valor de varios cientos de millones de rublos. El propietario desprevenido vino a realizar transacciones con su propiedad, pero descubrió que hacía mucho tiempo que no le pertenecía: los derechos de propiedad habían sido registrados nuevamente a través de varias personas y el “comprador final” era bastante respetable. El escándalo fue muy grande. Entre otras cosas, este incidente marcó el comienzo, por así decirlo, de una “limpieza” de los centros de certificación.

Un esquema en el que una persona no puede controlar sus medios de firma conlleva potencialmente el riesgo de una gran cantidad de fraude. Incluso si no es la empresa la que proporciona el servicio, incluso si se trata de un empleado poco confiable, por ejemplo, simplemente un operador, esto no hará que el fraude sea menos significativo. Así, una propiedad en Moscú valorada en varias decenas de millones de rublos equivale a la mitad o incluso a la totalidad de los ingresos de un empleado medio durante toda su vida laboral. Por lo tanto, los empleados poco confiables pueden decidir: "¡Quitemos esta propiedad y luego quememos todo!" Por lo tanto, el propio sistema de prestación de servicios de firma “única” tiene potencial para el fraude. Por supuesto, no es un hecho que estas oportunidades necesariamente se hagan realidad, pero existen y son completamente reales.

Entonces, resulta que los esquemas para proporcionar servicios de firma "única" están "al borde de la legalidad y la ilegalidad". Se pueden utilizar hasta que alguien profundice más. En 2016, hubo un gran escándalo con un banco muy grande, que también afirmó que utilizaba una firma cualificada "en la nube" con acceso por SMS. Tan pronto como se supo todo esto, el banco se sorprendió por una serie de inspecciones realizadas por los reguladores, en particular por el Servicio Federal de Seguridad de Rusia. Y muy rápidamente las ofertas de estos servicios por parte del banco a los clientes terminaron y nunca se reanudaron. Por cierto, el contratista del banco para este trabajo fue una de las empresas más famosas: operadores de informes electrónicos, uno de los centros de certificación más grandes del país reconocido por los clientes.

Algunas empresas de servicios van más allá, aunque ofrecen un esquema similar. También generan claves de firma electrónica para sus clientes, utilizan un sistema desarrollado y más confiable para gestionar el proceso de prestación de dichos servicios de firma electrónica "únicos", pero la confirmación de la firma de los documentos del cliente se realiza mediante SMS. Por esta razón, como descubrimos anteriormente, todo este sistema no puede considerarse una herramienta de firma calificada. Las empresas explican de manera muy convincente que compraron un HSM certificado y muestran un papel en él: "Aquí utilizamos una herramienta certificada y confirmamos las transacciones mediante SMS". Pero, ¿por qué nadie sigue leyendo sobre cómo utilizar este HSM certificado? Mientras tanto, en las “Reglas de Uso...”, que son parte integral del certificado del regulador de la industria, está escrito que para brindar acceso al HSM por parte del usuario para firmar documentos, es necesario instalar un conjunto software, establecer un canal seguro cifrado, etc., etc. Porque HSM no es una pieza de hardware para uso de usuarios remotos arbitrarios, sino un medio para realizar un conjunto de operaciones específicas dentro de una organización específica, donde es posible construir un canal seguro directamente a esta pieza de hardware.

CryptoPro myDSS. Firma electrónica cualificada en un smartphone

Volviendo a las opciones consideradas para acceder a claves de firma electrónica en la nube, intentaremos resumir algunos resultados y contarle sobre la solución compleja CryptoPro myDSS. SafeTech está especializada en sistemas de confirmación de transacciones y documentos, especialmente en el sector bancario, que siempre ha estado a la vanguardia de los ataques de los ciberdelincuentes, y a la vanguardia de las tecnologías para contrarrestar estos ataques. Esta especialización permitió a la empresa desarrollar su propia solución PayControl (), que permite confirmar operaciones y firmar documentos de forma segura mediante un teléfono móvil: ya sean documentos de pago, operaciones de inicio de sesión en portales u otros. recursos informativos y servicios.

La asociación con la empresa CryptoPro nos permitió encontrar un nicho estable para una solución integral: se introdujo en el servicio en la nube CryptoPro DSS un método para generar confirmaciones de firmas basado en tecnologías PayControl. La solución conjunta utiliza De alta tecnología Funciones de firma electrónica y administración de claves basadas en la nube y tiene una forma segura, móvil y conveniente de acceder a las funciones de firma. En una solución compleja, para que la “nube” (parte del servidor) realice la firma, necesita permiso para realizar esta acción. La sanción depende de cuatro componentes: el tiempo, el contenido del documento que se firma, las características únicas del teléfono inteligente, así como una clave única que se almacena en el teléfono inteligente del usuario en un área protegida. Por supuesto, esto está lejos de ser un esquema de contraseña única o múltiple; aquí no se utilizan SMS, que en sí mismos no son seguros; es una tecnología mucho más segura para confirmar transacciones y documentos. Y se implementa en forma de aplicación móvil para plataformas móviles modernas.

Habiendo desarrollado y documentado el esquema. colaboración, las empresas CryptoPro y SafeTech lo implementaron y presentaron la solución para certificación en servicio federal seguridad Federación Rusa. EN actualmente Se puede argumentar que la solución compleja CryptoPro myDSS () en su conjunto, incluida la parte del servidor (en la que las claves de firma electrónica se almacenan en el HSM), un sistema para gestionar los procesos de generación de firmas en el lado del servidor, una aplicación para teléfonos inteligentes ( que visualiza el documento firmado por el usuario y desarrolla sanciones por firmar), así como canales de interacción entre las partes cliente y servidor con métodos implementados para proteger este canal: toda esta compleja solución es una herramienta de firma electrónica completa. Es decir, con cierto grado de simplificación, podemos decir que CryptoPro myDSS es un token grande.

Actualmente, a nadie puede sorprenderle la tendencia hacia la “movilidad”, abandonando el otrora tradicional “hardware” y otros dispositivos para la autenticación de usuarios y la generación de firmas electrónicas. Muchos usuarios trabajan habitualmente desde tabletas y teléfonos inteligentes, a los que es simplemente imposible conectar tokens y tarjetas inteligentes. Además, los participantes del mercado y los propios usuarios reconocieron que los mensajes SMS como medio para confirmar transacciones y documentos se han vuelto mucho menos seguros y prohibitivamente costosos. Por este motivo, todo el mundo empezó a prestar atención a las tecnologías de firma en la nube y a las tecnologías seguras para acceder a las claves de esta firma. En este sentido, la aparición en el mercado de la solución CryptoPro myDSS no podría haber llegado en mejor momento. Actualmente, la empresa CryptoPro está trabajando activamente para certificar la solución en el FSB de Rusia; ya se ha recibido un certificado para la parte del servidor de la solución CryptoPro DSS;

El desarrollo de tecnologías de firma en la nube y tecnologías para el acceso seguro a claves de firma electrónica ha pasado por un proceso de formación bastante largo. Este no fue un camino fácil, pero, como suele suceder, fue un camino de prueba y error. La solución desarrollada hasta ahora permite a los usuarios negarse a instalar criptomonedas en su computadora, negarse a comprar tokens y ser. vinculados a su lugar de trabajo inmediato. Hoy en día es realmente posible realizar de forma muy sencilla y cómoda una firma electrónica cualificada desde tu smartphone, accediendo a ella en cualquier lugar y en cualquier momento. Ya puedes firmar cualquier documento con tu firma electrónica, manteniendo todas las propiedades de seguridad, y además, como dicen, firmar “con toda la comodidad”.

Chicos, ponemos nuestra alma en el sitio. Gracias por eso
que estás descubriendo esta belleza. Gracias por la inspiración y la piel de gallina.
Únete a nosotros Facebook Y En contacto con

Hace 10 años, para hacer 10 cosas, necesitabas 10 diferentes dispositivos. Hoy en día, muchas cosas para nosotros han sido sustituidas por el teléfono inteligente. Llamamos, escribimos, miramos televisión, leemos medios e incluso pagamos con nuestro teléfono inteligente. Pero eso no es todo.

Estamos en sitio web encontré algunos más herramientas útiles desde tu teléfono inteligente, que puede ayudarte en tu vida diaria.

Inscripción en la pantalla de bloqueo.

• Has perdido tu teléfono y la pantalla, por supuesto, está bloqueada. clave gráfica. Código secreto Sólo tú lo posees. Parecería que no hay esperanzas de recuperar su dispositivo favorito. ¡Resulta que sí! en nuevo Versiones de Android puede agregar un mensaje a la pantalla de bloqueo y, por ejemplo, solicitar la devolución del dispositivo.
• “Configuración” - “Bloqueo de pantalla y contraseñas” - “Firma en la pantalla de bloqueo”. Puede dejar cualquier cosa: un número de teléfono de respaldo o un correo electrónico.

Devolución garantizada de un smartphone perdido

• Si la inscripción es pequeña, entonces puedes ir a lo seguro. Las aplicaciones de clase antirrobo ayudarán. Tienen una amplia gama de acciones. Por ejemplo, Cerberus puede tomar fotografías en secreto con una cámara, activar un micrófono, bloquear un teléfono inteligente y/o borrar datos del mismo, averiguar sus coordenadas o hacer sonar una alarma fuerte para atraer la atención de los demás.

Modo de ahorro de memoria

• Tarde o temprano, la memoria de tu smartphone te fallará. Para evitar esto, puedes utilizar una unidad flash, servicios en la nube como Dropbox o subir fotos a tu computadora. O puedes ser original y subir la foto a Telegram Messenger.
• Telegram te permite enviarte archivos, mensajes y enlaces a ti mismo. Se puede utilizar libremente como almacenamiento en la nube y como computadora portátil. Simplemente busque su propio número y envíe tantos mensajes de texto como desee.

Sistema de seguridad desde un teléfono inteligente.

• Una de las opciones para utilizar un teléfono inteligente antiguo es crear un sistema de seguridad sencillo para su hogar. Aplicación de sensor de movimiento convertirá tu teléfono inteligente en una cámara de vigilancia que toma fotografías cada vez que alguien aparece en el encuadre. Las fotos se le envían inmediatamente.
• También puede obtener más información sobre cómo montar un dispositivo de este tipo. Puede utilizar su teléfono inteligente como vigilabebés para su hijo(en este caso necesitarás una aplicación que responda al ruido). Pero recuerde que para mayor seguridad es mejor utilizar dispositivos especiales.

DVR

• Otra característica útil del uso de la cámara de un teléfono inteligente es una grabadora de vídeo. El teléfono inteligente debe estar asegurado para que la cámara tenga la máxima visibilidad. Para un efecto máximo Puede utilizar aplicaciones diseñadas para convertir su teléfono inteligente en un DVR.
• Ciertamente, estamos hablando acerca de No se trata de usarlo todo el tiempo (para ello es mejor comprar un buen DVR). Pero esto es útil, por ejemplo, en los casos en los que alquilas un coche para un viaje turístico o utilizas el coche compartido.

Acceso al menú mágico

• Si te tomas muy en serio tu teléfono y le dedicas mucho tiempo, no hay nada de malo en personalizarlo detalladamente. Para hacer esto, debe ir al "Menú de desarrollador".
• Configuración - "Acerca del teléfono" - toque 7 veces el elemento "Número de compilación". ¡Felicitaciones, ahora eres desarrollador! Este menú tiene muchas opciones para mejorar el rendimiento, la calidad de la comunicación y la apariencia del sistema.

detector ultravioleta

Un detector ultravioleta no sólo es divertido, sino también útil. Por ejemplo, puede utilizarlo para comprobar la autenticidad de los billetes. Puedes hacerlo en casa con cinta adhesiva, un par de rotuladores y un smartphone.

Necesitará un teléfono inteligente con flash (linterna), marcadores y cinta adhesiva violeta y azul. Coloque un trozo de cinta adhesiva sobre el flash, píntelo con un marcador azul, agregue otra capa de cinta encima, píntelo de morado y luego agregue dos capas más en la misma secuencia. ¡Listo! Puedes saber más sobre este sencillo dispositivo

Nivel de construcción desde un teléfono inteligente

• Los teléfonos inteligentes llevan mucho tiempo equipados con un acelerómetro y un giroscopio, sensores que permiten determinar la posición del dispositivo en el espacio. Descargando la aplicación para Android o iOS, puedes sustituir un nivel de burbuja de construcción estándar por él. Al menos para las necesidades domésticas pequeñas, definitivamente es adecuado. Para la construcción profesional, es mejor utilizar una herramienta separada.

Estadísticas interesantes

• Si usted o sus seres queridos han comenzado a notar que literalmente no sueltan su teléfono inteligente, entonces tal vez valga la pena pensar en ello. Para comprender qué tan dependiente es de su teléfono y qué aplicación le “interfiere”, puede encontrar estadísticas interesantes.
• Hacer esto en iOS es tan fácil como pelar peras: "Configuración" - "Batería" y haga clic en la tecla de marcación a la derecha de la columna "Últimos 7 días". Verá una lista de las aplicaciones más populares en orden descendente. Pero para Android tendrás que instalar una aplicación (sí, otra), por ejemplo, Instant.

Modo monocromo

• Para ahorrar energía de la batería y proteger su vista, al leer, puede utilizar el modo monocromático. Para hacer esto, en el menú "mágico" del desarrollador, debe encontrar el elemento "simular anomalía" y activar el modo monocromático. De esta forma su teléfono inteligente mostrará la imagen en blanco y negro.

Primero necesitas obtener un certificado en .
Descargue el archivo que contiene el certificado y la clave obtenidos desde el enlace. Descomprímalo en su teléfono inteligente en cualquier carpeta que le resulte conveniente.
Descargar. Desempaquete el archivo en cualquier carpeta que le resulte conveniente en su teléfono inteligente e instale la aplicación.
Puede instalar en cualquier disco, es decir. tanto en la memoria del teléfono como en la tarjeta de memoria.

Iniciar la aplicacion Firmante gratuito.

1. En primer lugar, debe configurar la configuración del programa para firmar, especificar la ruta al certificado y la clave. Para hacer esto, vaya al elemento del menú. Funciones - Parámetros.

2. En este paso, hemos terminado de configurar la Configuración y ahora pasaremos directamente a firmar aplicaciones. En el menú Opciones presione la tecla suave derecha Atrás, saliendo así de la configuración y aplicándola.

En la ventana principal del programa, seleccione el elemento Agregar una tarea y presione el joystick en el centro.

Usando el incorporado administrador de archivos Indicamos la unidad y luego el directorio en el que se encuentra la aplicación que necesita firmar.

Seleccione el archivo que necesita ser firmado y presione la tecla suave izquierda. Seleccionar del menú Agregar.

Antes de agregar una nueva tarea, aparecerá una ventana preguntando qué acción se debe realizar:

• Firmar hermana - firmar certificado personal, emitido bajo su IMEI.
• Self Sign Sis: firme con un certificado general.
• Eliminar firma: eliminar una firma.

Para firmar solicitudes con el certificado personal que acaba de recibir, debe seleccionar firmar hermana.

Con esta acción agregamos una nueva tarea para la aplicación. Firmante gratuito- firma de una aplicación específica con los parámetros especificados (seleccionado: certificado personal, clave de este certificado y contraseña de la clave).
Presta atención a los íconos de cada elemento; este símbolo al lado de la tarea creada te indicará si has cometido un error al elegir una acción. Aquellos que firman con un certificado personal: debería tener un icono con uno letra latina S.

Presione la tecla suave izquierda y seleccione del menú Comenzar. Con esta acción comenzamos a ejecutar todas las tareas que agregaste a la lista (puedes crear varias tareas).

Ahora puede ir al directorio donde especificó guardar el archivo firmado. En mi caso, elegí guardar junto al archivo original, es decir, en el mismo directorio. Encontramos nuestro nuevo archivo, se agregará a su nombre. _firmado(que significa firmado). Comenzamos a instalar la aplicación firmada, si es necesario instalarla.

Si decide no realizar las tareas creadas que agregó a la lista, puede usar el elemento del menú Borrar tareas, eliminando así todas las tareas de la lista.
Si comete un error, se mostrará un mensaje indicando que se mantiene un registro de errores en la ruta especificada. Sigue este camino y mira Archivo de texto con registro de errores.

Breve descripción de las capacidades del programa. Firmante gratuito 1.01:

• sabe utilizar diferentes teclas
• elimina automáticamente la firma anterior al firmar la solicitud
• funciona con extensiones seisx
• puede realizar varias tareas a la vez, a saber: por ejemplo, firmar varias aplicaciones
• funciona correctamente en 5800
• no sabe cómo comprobar el par certificado-clave (es decir, la correspondencia de la clave con el certificado).
  ¡Utilice únicamente la clave que viene en el archivo junto con el certificado!

Al fin y al cabo, utilizas el correo de Google, ¿no? Configurar su firma en Gmail en Android le permitirá transmitir discretamente al destinatario la información que necesita (o no tanto) :)

Por ejemplo, la carta fue enviada desde un dispositivo móvil. O que fue escrito desde el trabajo. O simplemente contendrá tu nombre y algo más (la dirección de tu blog o página de red social, por ejemplo). Por cierto, si indica en su firma que la carta fue enviada desde un teléfono móvil, su destinatario puede ser más indulgente con sus errores tipográficos :) Después de todo, es mucho más probable que cometa errores al escribir desde un teléfono :)

La interfaz web de Gmail nos permite crear fácilmente cualquier firma que se agregará automáticamente a sus mensajes al final. ¿Qué tal agregar una firma directamente a Android?

Afortunadamente, aplicación movil El correo de Google también admite esta función.

Ahora pasemos de la teoría a la práctica: establezcamos una firma.

Lanzamos la aplicación Gmail en nuestro dispositivo Android.

Deslízate hacia la izquierda para abrir el menú. Desplácese hasta el final y busque el elemento "Configuración" allí. Entremos en ello. Aquí vemos una lista de sus cuentas asociadas con esta aplicación de correo electrónico. Como escribí anteriormente, un cliente de correo electrónico, incluido el correo de terceros (Yandex, Mail.ru, Yahoo, etc.). Entonces, seleccione la cuenta que necesitamos e inicie sesión en ella.

En la lista que se abre, seleccione la opción "Firma". Vamos allí y añadimos los datos que queremos ver en nuestros mensajes. Correo electrónico como firma. Puede ingresar varias líneas presionando la tecla Enter para pasar a la siguiente.

La palabra o frase adecuada puede hacer que cualquier foto sea mil veces mejor. Y si su elección depende sólo de usted, entonces las fuentes, el tamaño y apariencia Es mejor optar por utilizar aplicaciones creadas para ello.

Hemos seleccionado 9 aplicaciones que hacen que el texto con foto se vea genial, y todas son gratuitas o mínimamente costosas.

botín de palabras

Insertar texto es fácil con Word Swag. Para configurar solo se dan 3 botones que cambian el color, transparencia y fondo de la imagen. El tamaño del texto cambia con gestos y también puedes inclinarlo. Una aplicación excelente y si no te importa su precio, ¡te la recomendamos!

Fonto

Phonto es una de las primeras, si no la primera, aplicación para agregar texto. Su ventaja es que es gratis y sencillo. Sin embargo, también existen desventajas: las compras dentro de la aplicación. Si la base de datos de fuentes estándar no es suficiente para usted, pero debe decirse que es lo suficientemente grande, puede comprarla fuentes adicionales por una cuota.

Típico

Una buena aplicación que existe tanto en pago como en versión gratuita. La única diferencia entre ellos es una pequeña barra publicitaria en la parte inferior. Pero, en general, Typic satisfará a cualquier Instagramógrafo experimentado. Hay una gran selección de fuentes y la posibilidad de editarlas.

Encima

Probablemente haría de Over mi favorito. esta reseña. Al menos esta es la aplicación que uso. Over es muy simple, pero funcional. Después de ingresar el texto y elegir su color, aparece un anillo frente a nosotros, al girarlo podemos elegir entre diferentes estilos de texto, cada uno de los cuales es genial.

Usando las compras dentro de la aplicación, puedes comprar un conjunto adicional de fuentes, ¡pero incluso las estándar son suficientes!

Caramelo de fuente

Font Candy es una aplicación más profesional que te permite trabajar no solo con texto, sino también con capas. Por supuesto, esto no es Photoshop, pero aún puedes realizar algunas operaciones. Por ejemplo, coloque una capa adicional con una imagen de fondo debajo del texto. No es para todos, pero si entiendes la aplicación, ¡podrás tomar fotografías diferentes a todas las demás!

Marco de burbujas

BubbleFrame te permite no sólo superponer texto en una foto, sino también hacer una postal o un collage real con ella. No pude hacer nada útil, pero este es más mi problema que el problema de la aplicación. Si quieres hacer algo especial, BubbleFrame es perfecto para ello.

PicLab

PicLab se aleja un poco del concepto de agregar texto y además también ofrece varios filtros y edición de imágenes. Además, también puedes utilizarlo para dibujar sobre fotografías y esto se hace bastante rápido y queda bien. La aplicación es gratuita, pero si quieres deshacerte de la marca de agua en la parte inferior, tendrás que pagar $0,99.

PalabraFoto

A veces el nombre por sí solo es suficiente para entender que no te gusta la aplicación. Y a pesar de que aquí la palabra "foto" está mal escrita, lo atribuiremos a una estrategia de marketing. WordFoto tiene una gran colección de fuentes, pero el hecho de que la aplicación no se actualice desde 2011 te hace pensar en elegir una mejor opción.