Электронная подпись – реквизит электронного документа, с помощью которого можно удостовериться в неизменности электронного документа с момента его подписи. Для установки подписи необходимо иметь ключ электронной подписи с сертификатом ключа, установленным в него.

В сервисе DSS ключи создаются на сервере подписи (КриптоПро DSS). Закрытый ключ хранится только там (является неизвлекаемым).

Сертификат ключа проверки электронной подписи выдает удостоверяющий центр, например, удостоверяющий центр фирмы 1С (подробнее см. сайт http://ca.1c.ru/).

Контроль неизменности электронного документа осуществляется в результате проверки соответствия электронной подписи документа его текущему содержанию с помощью ключа проверки электронной подписи, копия которого хранится в сертификате ключа. Если электронная подпись соответствует документу, то это является гарантией того, что документ не был изменен кем-либо с момента его подписания. Контроль неизменности электронного документа можно выполнить в любой момент времени.

Результат и дата проверки электронной подписи для файлов и документов сохраняются в приложении, поэтому их можно посмотреть в дальнейшем без обязательного выполнения повторной проверки, для которой требуется приложение электронной подписи.

Сервис DSS позволяет подписывать документы из любой точки, не устанавливая на свой компьютер приложения криптографии. Приложения криптографии и сертификаты электронной подписи в данном случае обеспечивает сервис DSS. Нужно лишь зарегистрироваться в подобном сервисе. В приложении осуществляется поддержка разработанного фирмой КриптоПро сервиса подписи «КриптоПро DSS», который ранее был сертифицирован ФСБ. Производится подключение к любым сервисам на базе КриптоПро DSS, использующим стандартное REST API. Электронная подпись в сервисе DSS применима в различных приложениях, работу с которыми поддерживают приложения 1С:

■ 1С-Отчетность;

■ 1С-ЭДО;

■ Обмен с банками 1С:ДиректБанк;

■ Библиотека Интеграции ГосИС.

Можно выполнять следующие операции:

■ подписывать содержимое хранимых файлов;

■ шифровать содержимое хранимых файлов.

Объекты приложения, для которых доступно подписание и шифрование:

Списки:

■ Файлы.

Подписание и шифрование предполагает три этапа:

■ Настройка подключения на сервере DSS (см. раздел Настройка подключения);

■ Настройка приложения (см. раздел Настройка приложения);

■ Выполнение операций подписания и шифрования (см. раздел Создание электронной подписи средствами DSS и шифрование).

Общая настройка приложения производится администратором, персональные настройки выполняются самостоятельно, однако может понадобиться помощь администратора.

Технические возможности и требования

Сервис «КриптоПро DSS» можно использовать не только для применения усиленной квалифицированной электронной подписи (УКЭП), но и выполнять операции с ключами, сгенерированными алгоритмами RSA.

Разработанное решение КриптоПро DSS ранее получило несколько сертификатов соответствия ФСБ на различные исполнения сервера:

■ HSM + DSS + myDSS (AirKey Lite);

■ HSM + DSS + SIM;

■ HSM + DSS + CSP (JSP).

В API сервера КриптоПро DSS реализованы следующие функции:

■ Формирование электронной подписи в разных форматах: XML, PKCS#7 (CMS), CAdES-T, CAdES-XLT1, PDF, MSOffice, подпись без оболочки;

■ Шифрование в форматах: CMS и XML;

■ Расшифровка в форматах: CMS и XML;

■ Генерация закрытого ключа и формирование запроса на сертификат к нему;

■ Установка, удаление, отзыв сертификатов;

■ Вычисление хеш-значения алгоритмами: ГОСТ 2012 (256, 512 бит), SHA (1, 256, 384, 512 бит), MD5;

■ Усовершенствование подписи.

Сервер КриптоПро DSS состоит из нескольких взаимосвязанных компонентов:

■ Веб-интерфейс пользователя;

■ Центр идентификации – аутентификация пользователей;

■ Сервис подписи – подписание документов;

■ Сервис аудита - проверка сертификатов;

■ ПАКМ HSM – Хранилище сертификатов;

■ КриптоSVS – проверка подписи и сертификатов;

■ КриптоПроУЦ – удостоверяющий центр.

КриптоПро DSS предусматривает два варианта работы с УЦ:

■ Онлайн УЦ (доверенный) – при таком варианте сертификат генерируется автоматически и сразу устанавливается на сервере DSS.

■ Сторонний УЦ – в этом случае установка сертификатов происходит через «воздушный зазор», т. е. в ручном порядке оператором или пользователем.

Включаемый компонент КриптоПро SVS позволяет организовать проверку подписи и сертификатов.

Необходимо обеспечить взаимодействие 1С и серверов DSS (SVS).

Для этого необходимо получить регистрацию на одном из сервисов, следуя инструкции провайдера.

Затем необходимо настроить приложение и авторизоваться на сервере КриптоПро DSS.

Авторизация

Большое внимание в программном интерфейсе сервера КриптоПро DSS уделено вопросам безопасности:

■ Аутентификация пользователя – подключение к серверу DSS (первичная авторизация);

■ Дополнительное подтверждение производимых операций (вторичная авторизация).

На сервере подписи DSS предусмотрено несколько сценариев аутентификации:

■ По логину и паролю;

■ По сертификату авторизации;

■ По логину с дополнительным подтверждением (двух-факторная авторизация).

■ Интерактивная авторизация через центр идентификации – Web интерфейс.

■ Через так называемый маркер обновления, для сценариев: по сертификату и веб-авторизация.

■ Повторная авторизация (для сценария с логином и паролем).

В результате аутентификации ЦИ DSS формирует токен безопасности, ограниченный по времени действия (по умолчанию 300 секунд). По окончании времени действия маркера безопасности его необходимо запрашивать на сервере.

Для того чтобы произвести следующие операции, требуется дополнительное подтверждение:

■ Подписание;

■ Расшифровка;

■ Формирование запроса на сертификат;

■ Подтверждение авторизации пользователя;

■ Смена пин-кода для закрытого ключа.

Дополнительное обязательное подтверждение (вторичная авторизация) производится:

■ С помощью мобильных приложений: myDSS или AirKey DSS;

■ С помощью одноразовых паролей, полученных в SMS или электронных письмах;

■ С помощью SIM апплета.

Сервер DSS для операций, требующих доступ к закрытому ключу сертификата, имеет возможность установить пин-код.

Тогда при выполнении операций с закрытым ключом, пользователю нужно будет вводить пин-код к сертификату. Этот способ применяется совместно с другими способами подтверждения.

Настройка приложения

Настройка приложения для работы с электронной подписью осуществляется в разделе Администрирование– Общие настройки – Электронная подпись и шифрование.

Для того чтобы подписывать данные, нужно включить флажок Электронная подпись, а для шифрования нужно включить флажок Шифрование в разделе Администрирование – Общие настройки – Электронная подпись и шифрование. После этого становится доступной ссылка Настройки электронной подписи и шифрования в этом разделе и в персональных настройках приложения (подробнее см. разделы документации Настройки приложения и Электронная подпись), с помощью которой можно открыть список.

С помощью флажка Сервис подписи DSS можно разрешить использовать сервисы подписи DSS.  Ссылки Серверы``DSS и Учетные записи``DSS необходимы для настройки подключения к сервису подписи DSS. Подробнее см. раздел Настройка подключения.

Необходимо открыть список Настройки электронной подписи и шифрования для добавления настроек подписи в сервисе DSS.

Вкладка Приложения содержит список приложений для электронной подписи или шифрования, которые будут использованы в информационной базе (в том числе во всех узлах распределенной ИБ). При первом открытии списка производится поиск приложений, установленных на компьютере. Это занимает некоторое время. В колонке Приложение приводятся представления приложений, установленных на компьютере или учетных записей, доступных на сервере DSS.

В колонке Результат проверки отражаются сведения, по которым можно понять, доступна ли учетная запись, установлено ли приложение на компьютере или нет или же установлено, но некорректно.

При наличии учетных записей на сервере DSS они также будут найдены. С помощью кнопки панели навигации можно Добавить новую учетную запись DSS (выбрав с помощью переключателя Размещение приложения нужный пункт). Необходимо заполнить данные учетной записи и сервера DSS. После этого можно будет использовать эту учетную запись для работы с подписью в сервисе DSS. Подробнее см. раздел Настройка подключения.

В случае использования распределенной информационной базы, настройки, рассмотренные выше, можно изменить только в главном узле.

Сертификаты

Вкладка показывает все сертификаты, которые используются для подписания и шифрования данных, а также заявления на выпуск нового сертификата.

Сертификат можно Добавить из числа установленных на компьютере или на сервере подписи DSS, если он был выпущен вне текущей базы 1С. Также это можно сделать в процессе подписания или шифрования данных.

С помощью переключателя выберите, для чего будет использоваться сертификат:

■ Для подписания и шифрования;

■ Только для шифрования.

Нажмите кнопку Добавить. Сертификаты для подписания и шифрования приложение подбирает автоматически. Если список пуст, то на компьютере нет подходящих сертификатов.

Включите флажок, для того чтобы Показывать все сертификаты.

Если сертификаты найдены, выделите нужный, нажмите кнопку Далее.

После этого открывается карточка сертификата, необходимо заполнить некоторые поля. См. ниже.

Добавить сертификат только для шифрования можно из числа установленных на сервере подписи DSS. Выберите с помощью переключателя Только для шифрования.

Открывается карточка сертификата.

Поля Кому выдан, Кем выдан, Действителен до, Назначение и Представление приложение заполняет автоматически.

Введите сведения о сертификате:

■ Пользователь – выберите из списка пользователя приложения, который будет подписывать или шифровать документы с помощью этого сертификата электронной подписи;

■ Организация – выберите из списка организацию, от лица которой будут подписываться или шифроваться документы.

Нажмите кнопку Добавитьдля помещения сертификата в список.

После добавления сертификатов управлять ими можно в списке. Срок действия сертификатов приложением проверяется автоматически. Устаревшие сертификаты становятся неактивными.

В поле Показатьможно изменить настройку отбора сертификатов. Администратору по умолчанию показываются Все сертификаты, пользователю – «свои» сертификаты.

Просмотреть информацию о сертификате можно, дважды щелкнув мышью по нужной строке. Также можно это сделать с помощью команды Изменить контекстного меню по правой кнопке мыши или меню Еще. Для подписания и расшифровки данных должно быть заполнено поле Приложение или сервис в соответствии с закрытым ключом сертификата. При добавлении сертификата с проверкой возможности подписания поле заполняется автоматически.

Для того чтобы сохранить данные сертификата на компьютер, нажмите кнопку Сохранить в файл и укажите папку на компьютере.

Если закрытый ключ хранится в сервисе DSS, то для такого ключа можно установить / Сменить пин-код.

Подробнее о работе с сертификатом см. раздел Создание электронной подписи средствами DSS и шифрование.

Нажмите кнопку, для того чтобы Проверить действительность сертификата. Проверка квалифицированного сертификата занимает некоторое время, проводится по нескольким параметрам. Если сертификат недействителен, то приложение выводит подробное сообщение о возможных причинах его недействительности.

Для просмотра подробных сведений о сертификате нажмите кнопку . Подробнее об основных сведениях см. раздел Сертификаты электронной подписи.

Особенности работы в разных видах приложений

С учетом ряда ограничений и применением универсального подхода, все обращения к серверу DSS производятся в серверном контексте, с использованием фоновых заданий.

Для разделенных баз в приложении в Интернете отображается и доступен для изменения флажок Сервис``DSS, который включает использование электронной подписи DSS.

Настройка подключения

Настройку подключения можно произвести в разделе Администрирование– Общие настройки – Электронная подпись и шифрованиес помощью ссылок Серверы``DSS и Учетные записи``DSS.

Серверы DSS

В списке Серверы``DSS с помощью кнопки Создать можно ввести данные о новом сервере подписи DSS. Данные сервера выдает провайдер сервиса DSS.

Данные зависят от выбранного сервера и его настроек:

■ Адрес сервера, например dss.Primer.Server.ru;

■ Адрес Сервиса центра идентификации, например, https://Primer.Server.ru/STS;

■ Адрес Сервиса электронной подписи, например, https://Primer.Server.ru/SignServer;

■ Адрес Сервиса проверки подписи и сертификатов, например, ****https://Primer.Server.ru/****Verify;

■ Адрес личного кабинета, например, https://Primer.Server.ru/Frontend.

С помощью ссылки панели навигации Учетные записи сервера``DSS можно перейти в список учетных записей для этого сервера.

По ссылке панели навигации можно перейти в Расширенные настройки.

■ Введите Прочие настройки:

■ Представление, например,htpps://dss.p********rimer.server.ru;

■ Таймаут, например, 120;

■ Шаблон подтверждения – имя шаблона операции произвольного подтверждения, который зарегистрирован на сервере криптографии DSS. Необходим для операций, не требующих доступа к конкретному закрытому ключу сертификата.

■ Версия API – определяет возможность использовать дополнительный API. Выберите нужный из списка**, например, 2.0.3284**. Данная версия совместима с текущей версией, а также со всеми последующими версиями, в которых применяется API myDSS 2.0.

■ Используется – при выключении флажка сервер исключается из списка выбора.

На вкладке Первичная авторизация необходимо выбрать возможные способы авторизации с помощью флажков:

■ Логин и Пароль;

■ Логин и Пароль с дополнительным подтверждением;

■ Сертификат авторизации;

■ Авторизация через Web-форму.

На вкладке Вторичная авторизация необходимо указать способы авторизации с помощью флажков:

■ Мобильное приложение myDSS;

■ Электронная почта;

■ SMS;

■ Мобильное приложение AirKey DSS.

Учетные записи сервера DSS

С помощью ссылки Учетные записи``DSS раздела Администрирование – Общие настройки – Электронная подпись и шифрование можно открыть список всех учетных записей.

Для одного сервера DSS можно ввести несколько учетных записей.

В поле Сервер указывается сервер DSS, к которому привязывается учетная запись.

В поле Логин указывается уникальное имя учетной записи, выданного провайдером пользователю при регистрации.

В поле Первичная авторизация необходимо выбрать способ авторизации пользователя (см. раздел Серверы DSS), который допускается при работе с сервисом. Информацию о способах авторизации предоставляет провайдер сервиса.

Некоторые поля зависят от выбранного способа первичной авторизации.

В поле Пароль можно опционально указать пароль при первичной авторизации. Введенный пароль сохраняется в настройках текущего пользователя.

Поле Сертификат необходимо при авторизации по сертификату авторизации, который выпустил провайдер сервиса при регистрации пользователя. Сертификат авторизации – это файл в формате .pfx, содержащий закрытый ключ и сертификат к нему. Его нужно будет загрузить с помощью кнопки . Поле доступно для заполнения при выборе способа первичной авторизации: сертификат авторизации.

Поле Пин-код можно заполнить и сохранить в настройках текущего пользователя, если используется способ первичной авторизации: сертификат авторизации. Этот пин-код должен совпадать с паролем, который был задан при создании файла .pfx.

В поле Подтверждение операций выбирается способ, который будет автоматически заполняться при процедуре подтверждения операций подписи, расшифровки и прочих.

Информация о способах подтверждения выдается сервером подписи DSS.

По ссылке Личный кабинет запускается браузер со страницей личного кабинета учетной записи сервиса подписи DSS.

Поле Комментарий содержит произвольную текстовую информацию об учетной записи подписи на сервере DSS.

В поле Автор выберите пользователя, ответственного за данную учетную запись.

С помощью кнопки панели навигации можно Проверить подключение к серверу DSS (для этого потребуется ввести пароль).

С помощью кнопки Отчеты – Состояние учетной записи отображается детальная информация об учетной записи, полученная с сервиса DSS в момент авторизации пользователя.

С помощью команды Проверка работоспособности меню Еще можно не только проверить возможность подключения к сервису, но дополнительно проверить выполнение сервисом базовых операций: подписание, шифрование, расшифрование и прочие операции.

Создание электронной подписи средствами сервиса DSS и шифрование

Примечание для технического писателя: данный раздел описывает работу с электронной подписью в подсистеме Работа с файлами.

Возможности подписания и шифрования в приложении наиболее полно реализованы при работе с хранимыми файлами. Если в приложении включено использование подписания и шифрования, то для хранимых файлов становится доступным ряд команд в списке Файлы. Редактируемый файл недоступен для подписания или шифрования.

К файлам можно применить следующие команды, которые можно найти в выпадающем меню по кнопке  Электронная подпись и шифрование:

■ Подписать – создает для файла электронную подпись. Перед созданием электронной подписи приложение предлагает выбрать сертификат ключа электронной подписи. Сертификат, которого еще нет в списке сертификатов, автоматически в него добавляется. Добавить сертификат в список сертификатов из имеющихся на компьютере или в сервисе DSS можно и на вкладке Сертификаты персональных настроек приложения, см. раздел Сертификаты. Для подписания нужно выбрать один сертификат, а также ввести пароль. Созданная электронная подпись хранится вместе с файлом. Подписанный файл становится недоступным для редактирования и отображается в списках со значком . Подписанный файл можно скопировать, при этом приложение задаст вопрос – копировать файл с подписью или без. Подписывать файл могут разные пользователи, при этом для каждого будет создана своя подпись;

■ Добавить электронную подпись из файла – добавляет подпись к файлу. Команду можно использовать, например, если подпись (файл подписи) была получена позже, чем подписанный файл;

■ Сохранить вместе с электронной подписью – команда сохраняет подпись в файл на устройстве. Команду можно использовать, например, если необходимо передать подписанный файл другому лицу;

■ Зашифровать – по команде происходит шифрование файла. В отличие от подписания могут использоваться несколько сертификатов, например, если необходимо зашифровать файл для нескольких пользователей. Перед шифрованием необходимо выбрать сертификаты пользователей, которым будет разрешено расшифровывать файл. Зашифрованный файл в списках отображается с особенным значком . В отличие от подписания пароль к закрытому ключу в процессе шифрования вводить не нужно (пароль необходим при расшифровке). Однако при выборе личного сертификата запрашивается пароль, для того чтобы пользователь, который выполнил шифрование, смог расшифровать файл после того, как он будет зашифрован. Зашифрованный файл доступен для редактирования. Шифруются все версии файла. Для зашифрованных файлов не работает полнотекстовый поиск. Зашифрованный файл можно скопировать. При этом новый, скопированный файл останется зашифрованным. Зашифрованный файл нельзя подписать. Подписанный файл зашифровать можно, при этом перед проверкой электронной подписи у зашифрованного файла приложение запросит пароль для предварительной расшифровки файла;

■ Расшифровать – по команде происходит расшифровка файла. Для расшифровки нужно ввести пароль к закрытому ключу.

При подписании файла нужно будет ввести пин-код и пароль, если потребуется. Можно включить флажок, для того чтобы запомнить эти данные.

Кроме этого, требуется выбрать Способ подтверждения для данной операции (зависит от экземпляра сервиса DSS, прописывается при создании учетной записи сервера DSS, см. раздел Учетные записи сервера DSS):

■ Мобильное приложение myDSS;

■ Одноразовый пароль на электронную почту;

■ Одноразовый пароль SMS на мобильный телефон;

■ Мобильное приложение AirKey DSS.

После нажатия на кнопку Подписать происходит переход к подтверждению операции выбранным способом, например, с помощью мобильных приложений. Это необходимо для обеспечения безопасности данной операции.

Отличительная особенность приложения AirKey DSS, что каждую операцию нужно подтверждать паролем, который ранее был сгенерирован.

Особенностью приложения myDSS является наличие «Офлайн-подтверждения».

Необходимо ввести код подтверждения, для того чтобы операция состоялась.

Роли для работы с электронной подписью в сервисе DSS

Для работы с электронной подписью сервиса DSS в приложении предусмотрены следующие роли:

Роль	Краткое описание
Добавление и изменение учетных записей серверов DSS	Предусматривает полный доступ к справочнику Учетные записи DSS.
Добавление и изменение серверов DSS	Дает полный доступ к справочнику Серверы DSS.
Чтение данных сервиса DSS	Предоставляет права на просмотр данных сервиса DSS