Как установить ЭЦП на ЭТП Росэлторг

Наша площадка стала первым федеральным оператором электронных торгов, внедрившим новую технологию облачной электронной подписи. Если обычная ЭП вызывала кучу вопросов, то эта услуга, с одной стороны, пока ещё больше непонятна бизнесу, а с другой — всё стало сильно проще.

— Что это такое?

Раньше была бумажная подпись на документе. Она не очень удобна, не очень безопасна и требует физического наличия бумаги. Потом появилась флешка с сертификатом и обвесом вокруг (вплоть до антивируса). Её сначала назвали ЭЦП — электронная цифровая подпись. Потом она стала просто ЭП. Теперь эту флешку положили в облако, и она стала ОЭП.

— Как работает ОЭП?

Предположим, вы подаёте свое предложение на тендер. Раньше, чтобы подписать документ, надо было поставить плагин для браузера, который умел связываться с софтом на локальном компьютере пользователя. Этот софт обращался к софту на флешке, софт на флешке выдавал ключ, этим ключом подписывалась транзакция и передавалась в готовом виде в плагин в браузер. Теперь мы вынимаем из этой цепочки флешку: софт обращается в облачное хранилище по шифрованному туннелю.

— А можно без софта на локальной машине?

Да, если на площадке есть промежуточный сервер, который фактически проксирует запросы и представляется этим самым локальным компьютером, то всё можно сделать из любого браузера. Но это требует переработки бэкенда площадки (в нашем случае мы сделали отдельный сервер для проведения торгов с мобильных телефонов). Если этот путь не работает — выбирается стандартный. Предполагается, что в будущем этот вариант будет наиболее распространённым. Как пример одной из подобных реализаций — площадка МСП «Росэлторг» (Закупки среди субъектов малого и среднего предпринимательства).

— ОЭП и ЭП — это одно и то же, но лежит в разных местах, так?

У подписей общее ядро с сертификатом и защитой. Функционально это одно и то же, просто меняется метод внутреннего API для шифрования транзакции. Один метод берёт ключ из локального устройства, другой — с удалённого.

— Погодите, но ведь всё равно нужна авторизация?

Да. Но теперь она двухфакторная и без привязки к устройству. Обычная схема: установить приложение на телефон или плагин браузера на десктоп, затем ввести логин и пароль для начала работы, потом при совершении транзакции — отправляемый с сервера авторизации ПИН-код. То есть, чтобы подписать документ за вас, нужно будет украсть пароль логин и перехватить SMS или push-уведомление с кодом.

— В чём тогда профит?

1. Если вы потеряете флешку, то надо получать новый ключ. В случае с ОЭП — достаточно поменять пароль к подписи.
2. Нет привязки к рабочему месту: раньше ЭП ставилась на один конкретный компьютер.
3. Нет привязки к браузеру: раньше это был IE. Что вызывало ряд проблем ещё на уровне выбора ОС: Linux-админы обходили это, а вот на Mac-устройствах было сложнее.
4. Нет привязки к географии: авторизация работает из любой страны (в силу особенностей защиты ЭП на флешках часто работали только в российских сетях).
5. Предполагается, что всё стало безопаснее из-за двухфакторной идентификации по умолчанию без возможности «упростить себе жизнь».
6. Уничтожение флешки с подписью не ставит под угрозу текущие сделки.
7. В целом всё это более правильно, особенно из-за возможности быстро подписывать с мобильных телефонов.

— Где хранится сертификат на стороне удостоверяющего центра?

Есть специальная железка, называется HSM (hardware security module). Технически, это хранилище, разбитое на закрытые ячейки без возможности массового доступа ко всем сразу.

Несколько упрощая: вы авторизуетесь, создаёте транзакцию, она отправляется в HSM подписываться, оттуда на выходе — защищённый объект. Закрытый ключ наружу не выдаётся.

То есть HSM выступает в роли третьей стороны, вроде нотариуса, подтверждающей в сделке, что вы — это вы. Точнее, что вы имеете право подписывать документ.

В каждом удостоверяющем центре свой HSM.

Каждое решение лицензируется ФСБ. Железка снабжена большим количеством уровней безопасности, в частности, датчиками антивзлома. Терминал физически встроен в сам сервер, никаких внешних подключений для управления не поддерживается, веб-интерфейса нет. Нужно что-то настроить — свитер, машзал, большой железный ящик с маленьким LCD-экраном.

— Как с обратной совместимостью?

Опять же, упрощая, новые версии ПО для работы с ЭП теперь умеют делать что-то вроде эмуляции этой самой флешки для всего старого софта. То есть не важно, что вы используете: токен на физическом носителе или доступ к HSM. Обновлённый софт подпишет всё, как в старые добрые времена.

— Как выглядит первое подключение?

При настройке на устройстве конечного пользователя указываются два адреса DSS-сервера. Это, собственно, вся настройка и есть. После этого нужно будет авторизоваться на сервере. Пользователь вводит уникальный логин и пароль, которые выдаются ему в удостоверяющем центре. После ввода логина и пароля нужно пройти двухфакторную авторизацию. Обычно пользователь сканирует выданный ему QR-код и устанавливает приложение. Это одно общее приложение вендора подписей, которое кастомизируется под конкретный удостоверяющий центр. Сканируется второй код со ссылкой на свою ячейку в HSM. Отправляется ПИН-код на конкретную транзакцию на телефон абонента, он его использует и подтверждает себя. После этого нужно сменить пароль доступа.

Следующие транзакции могут быть проще: ПИН отправляется push-уведомлением. Предполагается, что если телефон защищён FaceID или распознаванием отпечатка пальца, то этого второго фактора (в сочетании с вводом логина и пароля) достаточно.

Если телефон утерян, нужно проходить процедуру с QR-кодами заново.

Заблокированный телефон без ПИНа бесполезен.

ПИН без пароля-логина бесполезен.

Если вы потеряли разблокированный телефон с фотографией логина и пароля, записанных на бумажке (реальный случай в нашем УЦ), то можно запросить блокировку доступа до выяснения.

— Как получить конверт с доступами к ОЭП?

Простой случай: заявитель (гендиректор юрлица) приходит лично с паспортом в удостоверяющий центр и получает конверт.

Сложный случай: приходит сотрудник с заверенной доверенностью, соответствующей требованиям 63-ФЗ (Об электронной подписи) и требованиям службы безопасности удостоверяющего центра.

— Это уже массовое явление?

Да. За первый месяц работы УЦ «ЕЭТП» было выпущено около тысячи сертификатов по новой технологии ОЭП. Около 70 % пользователей, оформивших электронные подписи, — это юридические лица, ещё 23 % — ИП. Более 60 % пользователей новой услуги — компании из Москвы. Есть сертификаты и в Санкт-Петербурге, Новосибирске, Хабаровске, Ростове-на-Дону.

Если есть необходимость работать от имени двух и более пользователей одновременно, то можно добавить пользователя в личном кабинете.

Для пользователей, прошедших аккредитацию непосредственно на площадке:

На главной странице сайта нажмите в правом верхнем углу на кнопку «Регистрация» — «Поставщик» — «Единая аккредитация для участия в корпоративных закупках и закупках субъектов 223-ФЗ». В окне «Регистрация нового пользователя» поставьте галочку напротив поля «Организация уже зарегистрирована на ЭТП, зарегистрировать доверенность представителя организации», далее «Продолжить».

После этого откроется заявка на регистрацию нового пользователя, заполните её, подпишите электронной подписью добавляемого пользователя, а также подтвердите указанную электронную почту (путём перехода по ссылке активации из письма на электронной почте о регистрации доверенности).

Администратор организации (первый зарегистрированный на площадке пользователь) в своем личном кабинете переходит в раздел «Пользователи» — «Заявки на регистрацию доверенностей» и принимает, либо отклоняет заявку, путём нажатия соответствующей кнопки в крайнем правом столбце «Дополнительно».

Для пользователей, зарегистрированных в едином реестре участников закупок (ЕРУЗ) на сайте Единой информационной системы (ЕИС):

Пользователи, зарегистрированные через ЕРУЗ, должны добавлять пользователей непосредственно на сайте ЕИС.

АО «Единая электронная торговая площадка (ЕЭТП)», или «Росэлторг» — это национальный оператор электронных торгов, в которых принимают участие государственные заказчики (44-ФЗ), госкомпании (223-ФЗ) и коммерческие предприятия. Для работы на ЕЭТП необходима электронная подпись. Рассказываем, как установить ЭЦП для работы на площадке «Росэлторг».

Перед тем, как настраивать рабочее место, убедитесь, что на компьютере установлены:

• ОС MS Windows 7, Windows 8 (8.1) или Windows 10;
• Internet Explorer версии 11 или Google Chrome версии 45 и выше;
• СКЗИ КриптоПро CSP версии 4.0 и выше.

Если версия ОС, браузера или криптопровайдера на компьютере не соответствует требованиям, нужно установить обновления.

1. 1. Установите или обновите криптопровайдер. Для аккредитации на «Росэлторге» подойдет только СКЗИ КриптоПро CSP.
2. 2. Установите и настройте КриптоПро ЭЦП Browser plug-in. Для этого откройте Пуск → Все программы → папка КРИПТО-ПРО → Настройки ЭЦП Browser Plug-in.
   В окне настройки добавьте адрес ЕЭТП «www.roseltorg.ru» в строку «Список доверенных узлов» и сохраните изменения.
3. 3. Скачайте и установите Security Update for CAPICOM. Для этого следуйте инструкциям Мастера установки.
4. 4. Получите и установите электронную подпись на компьютер.АО «Калуга Астрал» предлагает два сервиса для получения ЭЦП: 1С-ЭТП и Астрал-ЭТ.

   В личном кабинете выбранного вами сервиса создайте заявление на получение ЭЦП. После того, как заявка будет одобрена, вы сможете сформировать контейнер закрытого ключа и получить сертификат ключа проверки электронной подписи. Этот сертификат автоматически установится в контейнер закрытого ключа, и подпись будет готова для работы с электронными торгами.

5. 5. Настройте браузер для работы на площадке. Internet Explorer требует особых настроек безопасности. В Google Chrome перейдите в Настройки → Расширения → Дополнительные инструменты и включите расширение «CryptoPro Extension for CAdES Browser Plug-in».

Если ЕЭТП сообщает, что «сертификат выдан неавторизованным удостоверяющим центром, использование этого сертификата невозможно», требуется установить корневой сертификат УЦ. Откройте файл и нажмите «Установить сертификат».

После этого откроется Мастер импорта сертификатов. В окне Выбор хранилища сертификатов выберите Доверенные корневые центры сертификации. Не забудьте установить флажок Показать физические хранилища.

После нажатия кнопок ОК, Далее и Готово сертификат будет импортирован.