КриптоПро | Квалифицированная электронная подпись в облаке как она есть

Что такое квалифицированная электронная подпись в облаке

Для целей данной статьи, а также других научно-популярных и практических дискурсов об облачной электронной подписи предлагается использовать следующее определение.

Электронная подпись в облаке (облачная электронная подпись) – это вычислительная система, предоставляющая через сеть доступ к возможностям создания, проверки ЭП и интеграции этих функций в бизнес-процессы других систем.

В соответствии с данным определением, для облачной электронной подписи может использоваться в том числе и локальное средство ЭП. Например, используя КриптоПро DSS Lite, пользователь через веб-браузер может подписывать электронный документ с помощью средства ЭП, установленного на его оконечном устройстве (персональный компьютер или планшет).

В подобной системе ключ подписи остаётся у владельца и вопросы безопасности решаются с помощью стандартного набора средств, известного в мире «традиционной ЭП». Если хотите, можно назвать это облачной ЭП с локальным средством ЭП.

Другой вариант облачной ЭП получается при использовании средства ЭП, размещённого в облаке. Для удобства дальнейшего изложения назовём такую схему полностью облачной ЭП, чтобы отличать её от предыдущей. Эта схема регулярно вызывает жаркие дискуссии среди специалистов, поскольку подразумевает передачу самого ключа подписи «в облако». Данная же статья призвана прояснить ряд вопросов, связанных с безопасностью полностью облачной ЭП.

Что, если нарушитель в канале?

Таким образом, единственным нарушителем, с которым можно бороться при использовании токенов, является третий: тот, кто прослушивает канал передачи данных между машиной пользователя и токеном. Далее будем считать, что проникнуть в систему пользователя и/или систему токена нарушитель не мог.

Злоумышленник, находящийся в канале связи, может нанести пользователю достаточно серьезный ущерб как в случае использования пассивных токенов, так и в случае активных. Если используется носитель-хранилище, то злоумышленник видит и пароль, и ключ, т.к. они передаются по данному каналу связи.

Раскрытие ключа является, безусловно, самой серьезной угрозой из всех возможных. При использовании же активного носителя, злоумышленник не сможет получить доступ к ключу, но сможет узнать пароль, а значит, стать для носителя легитимным субъектом – кто знает пароль, тот и прав!

В таком случае при краже устройства злоумышленник сможет воспользоваться токеном для совершения необходимых ему операций с ключом. В криптографии такая угроза называется селективной подделкой: злоумышленник может подписать нужные ему данные, не зная ключ.

Разница между упомянутыми выше угрозами не столь велика, как может показаться. В сущности, что будет делать злоумышленник с ключом? Конечно же, подпишет платежное поручение от имени пользователя на миллион долларов. Ровно то же самое он сделает, появись у него возможность осуществить селективную подделку. Ущерб в обоих случаях будет более чем ощутимым и в большинстве разумных ситуаций примерно одинаковым.

В связи с этим, обязательным требованием по эксплуатации как носителей-хранилищ, так и активных носителей, является их подключение непосредственно к доверенному порту машины, то есть отсутствие канала связи, в котором может существовать злоумышленник.

Может сложиться впечатление, что активный токен в смысле защищенности по всем параметрам превосходит пассивное хранилище. Однако есть некоторые методы, которые представляют гораздо большую опасность для активных носителей, чем для пассивных. Речь идет об атаках по побочным каналам.

Так, например, злоумышленник может, не проводя непосредственных действий в системе или в канале, измерять время, затрачиваемое на выполнение операций, и делать по результатам измерений выводы о значении ключа, сокращая ключевое множество. Этот метод существенно более эффективен для активных токенов, поскольку они выполняют все вычисления сами, без помощи пользовательских приложений.

А поскольку вычислительная мощность токена на порядок меньше мощности обычных компьютеров, то и детектировать влияние той или иной характеристики ключа (например, его веса) на время вычислений намного легче – не будет слишком большим преувеличением, если сказать, что в некоторых случаях атаку можно попытаться провести с помощью хороших наручных часов. Справедливости ради отметим, что все современные активные ключевые носители имеют ряд мер защиты от подобных атак.

Faq про облачную [электронную] подпись

Выпуск эцп по шаблону “информационная система (фл)”

Для подачи заявки на получение ключей ЭЦП по шаблону “Информационная система (ФЛ)” , необходимо зайти в пункт меню «Мои ключи ЭЦП», далее выбрать раздел «Выпуск ЭЦП по шаблону “Информационная система (ФЛ)”».

Далее необходимо подтвердить ключами для подписи «RSA».

После подписания необходимо заполнить необходимые поля: “выбрать ИС и указать путь для хранилища ключей”.

Внимание! В случае если поле «Наименование информационной системы» пусто, то значит на ваш ИИН не зарегистрирована информационная система (ИС). Необходимо зарегистрировать вашу ИС, получив объектный идентификатор идентификатор (OID) согласно Правилам регистрации, перерегистрации и аннулирования объектных идентификаторов в казахстанском сегменте объектных идентификаторов № 281 от 17 марта 2021 года – adilet.zan.kz.

После выбора информационной системы, подтвердите заявку, подписав ключами для подписи «RSA».

Установите пароль и загрузите сертификаты, тем самым завершив процедуру получения ключей ЭЦП для ИС.

После установки регистрационных свидетельств откроется окно с указанием статуса заявки «Сертификаты успешно установлены».

Получение регистрационных свидетельств успешно завершено.

Европейский путь

В октябре 2021 года Европейский Комитет по Стандартизации (CEN) одобрил техническую спецификацию CEN/TS 419241 «Security Requirements for Trustworthy Systems Supporting Server Signing». В этом документе приводятся требования и рекомендации к серверу электронной подписи, предназначенному для создания, в том числе, квалифицированных подписей.

Хочется отметить, что уже сейчас КриптоПро DSS в полном объёме соответствует требованиям данной спецификации в наиболее сильном варианте: требованиям Уровня 2, предъявляемым для формирования квалифицированной электронной подписи (в терминах европейского законодательства).

Одним из основных требований Уровня 2 является поддержка строгих вариантов аутентификации. В этих случаях аутентификация пользователя происходит напрямую на сервере подписи – в противоположность допустимой для Уровня 1 аутентификации в приложении, которое от своего имени обращается к серверу подписи. Все методы аутентификации, поддерживаемые КриптоПро DSS, удовлетворяют данному требованию Уровня 2.

В соответствии с этой спецификацией, пользовательские ключи подписи для формирования квалифицированной ЭП должны храниться в памяти специализированного защищенного устройства (криптографический токен, HSM). В случае КриптоПро DSS таковым устройством является программно-аппаратный криптографический модуль КриптоПро HSM – сертифицированный ФСБ России по уровню KB2 как средство ЭП.

Аутентификация пользователя на сервере электронной подписи для выполнения требований Уровня 2 обязана быть как минимум двухфакторной. КриптоПро DSS поддерживает широкий, постоянно пополняемый спектр методов аутентификации, в том числе и двухфакторных.

Помимо привычных криптографических токенов в качестве средства аутентификации может использоваться и специализированное приложение на смартфоне, такое как КриптоПро AirKey, и генераторы одноразовых паролей (OTP-токены). В документе CEN эти методы также упомянуты.

Ещё одним перспективным способом аутентификации по Уровню 2 может стать использование криптографического приложения на SIM-карте в телефоне. По нашему мнению, данный вариант использования SIM-карт с криптографией наиболее реален, поскольку построение функционально законченного СКЗИ (или средства ЭП) по новым требованиям ФСБ на базе только лишь SIM-карты вряд ли возможно.

Рассматриваемая техническая спецификация также допускает использование сервера электронной подписи для формирования подписей сразу для некоторого набора документов. Данная возможность может быть полезна при подписании большого массива однородных документов, отличающихся лишь данными в нескольких полях.

В документе CEN содержится также ряд требований к формированию, обработке, использованию и удалению пользовательского ключевого материала, а также к свойствам внутренней ключевой системы сервера электронной подписи и к аудиту. Эти требования полностью и даже «с запасом» покрываются требованиями, предъявляемыми к средствам ЭП класса KB2, по которому сертифицирован отвечающий за данные вопросы ПАКМ «КриптоПро HSM».

Заявки на получение ключей эцп

Выберите из выпадающего списка меню, раздел «Заявки на получение ключей ЭЦП». В данном разделе Вы можете просмотреть все поданные заявки на выпуск ключей ЭЦП. В новом окне отобразятся все заявки на выпуск ключей ЭЦП пользователя.

В случае если Вы подали заявку через сайт ecpexpert.ru в разделе «Услуги» (данный раздел не является функционалом личного кабинета), то Вы можете подтвердить данную заявку, не обращаясь в Центр регистрации.

Для этого найдите необходимую заявку и нажмите на кнопку «Редактировать».

В открывшемся окне выберите статус заявки.

Проставьте галочку, о согласии на изменение статуса заявки, и нажмите кнопку «Подтвердить».

Процедура подтверждения заявки завершена.

Как изменить номер телефона, на который высылается пароль

Иногда требуется сменить номер телефона, на который высылаются SMS-сообщения с паролями для использования электронной подписи. Например, это необходимо, если телефон утерян или если сотрудник, которому принадлежит телефон, ушел в отпуск, уволился или переведен на другую работу.

О том, как сменить номер телефона, на который высылаются пароли для использования хранящейся в сервисе электронной подписи, рассказано в статье по ссылке.

О других изменениях настроек подключения к «1С-Отчетности» рассказано в статье по ссылке.

Меню «мои ключи эцп»

Для работы с ключами ЭЦП перейдите на вкладку «Мои ключи ЭЦП».

В выпадающем меню выберите один из подпунктов:

• Перевыпуск ключей ЭЦП – предоставляет возможность подать заявку в режиме онлайн (при условии наличия действующих ключей ЭЦП), без подтверждения заявки в Центре регистрации; • Отзыв ключей ЭЦП – предоставляет возможность отзывать регистрационные свидетельства;

• Заявка на получения ключей ЭЦП – предоставляет возможность просмотреть поданные заявки; • Список ключей ЭЦП – отображает имеющиеся регистрационные свидетельства; • Проверка статуса заявки – предоставляет возможность проверить статус поданной заявки, и установить регистрационные свидетельства; • Смена пароля на ключ ЭЦП – предоставляет возможность сменить пароль на ключи ЭЦП.

Меню «фамилия»

Меню «Фамилия» пользователя содержит информацию о профайле пользователя НУЦ РК.

Данные профайла содержат личную информацию пользователя. В настройках Вы можете выбрать язык интерфейса, а также возможность отключить рассылку уведомлений на электронную почту.

Нарушитель в системе – пиши пропало!

Свойства ключевых носителей обоих описанных выше типов не делают их безупречными – есть достаточно строгие условия применения таких устройств. Основное условие –  отсутствие у противника возможности производить какие-либо действия непосредственно внутри пользовательской системы и канала связи с носителем.

Вполне естественно выделить три точки, в которых злоумышленник может перехватывать информацию, циркулирующую между токеном и пользовательской системой.

Во-первых, это сама машина пользователя. Примером такого злоумышленника может служить шпионская программа (RAT – Remote Access Tool). В этом случае он может перехватывать параметры вызовов функций, данные, которыми обмениваются приложения и т.п. В этом случае ни о какой безопасности вообще не может идти и речи – говоря о ключевых носителях, злоумышленник просто перехватит пароль, введенный пользователем, а далее может делать что угодно.

Причем он может достичь своих целей для любого из рассмотренных типов носителей – он же знает пароль! В связи с этим, непременным требованием по эксплуатации всех типов ключевых носителей является отсутствие злоумышленника в системе, где работает пользовательское приложение. Выполнение этого требования может достигаться как организационными, так и иными мерами защиты информации.

Отметим, что время от времени появляются работы, связанные с исследованием защищенности токенов в модели с нарушителем в системе. Учитывая все вышеизложенное, с точки зрения защищенности ключевых носителей, такие исследования подобны исследованиям прочности китайского фарфора против железного молотка.

Второй точкой перехвата может быть сам токен. Если мы предполагаем, что злоумышленник имел возможность загрузить в сам ключевой носитель какую-либо вредоносную функциональность, то доверия подобным устройствам в принципе быть не может, поэтому и защита от подобных атак лежит целиком на производителях устройств.

Начнём с главного

Основной головной болью при переводе любой ИТ-системы «в облако» становится боль «безопасников» (и помогающих им юристов), связанная с передачей «туда» информации для обработки или хранения.

Если раньше эта информация не покидала некоторого защищённого периметра, и можно было сравнительно легко обеспечить её конфиденциальность, то в облаке само понятие периметра отсутствует. При этом ответственность за обеспечение конфиденциальности информации в каком-то смысле «размывается» между её владельцем и поставщиком облачных услуг.

То же самое происходит и с ключом ЭП, передаваемым в облако. Более того, ключ ЭП – это не просто конфиденциальная информация. Ключ должен быть доступен только одному лицу – его владельцу. Таким образом, доверие к облачной подписи определяется не только личной ответственностью пользователя, но и безопасностью хранения и использования ключа на сервере и надежностью механизмов аутентификации.

В настоящее время проводятся сертификационные испытания нашего решения КриптоПро DSS. Это сервер облачной ЭП, хранящий ключи и сертификаты пользователей и предоставляющий аутентифицированный доступ к ним для формирования электронной подписи.

Оба упомянутых выше аспекта безопасности облачной ЭП в частности являются предметом исследований, проводимых в ходе испытаний КриптоПро DSS. В то же время, стоит отметить, что существенная часть этих вопросов уже рассмотрена в рамках тематических исследований СКЗИ «ПАКМ КриптоПро HSM», на котором основывается КриптоПро DSS.

Наше будущее

Решение КриптоПро DSS поддерживает широкий набор методов аутентификации, среди которых для каждой задачи возможно подобрать подходящий. Надёжность наиболее безопасных из них соответствует самым строгим критериям европейских требований CEN/TS 419241 и, как мы рассчитываем, в недалёком будущем будет подтверждена сертификатом соответствия ФСБ России.

Алексей Голдбергс,

 заместитель технического директора

ООО “КРИПТО-ПРО”

Станислав Смышляев, к.ф.-м.н.,

начальник отдела защиты информации

ООО “КРИПТО-ПРО”

Павел Смирнов, к.т.н.,

заместитель начальника отдела разработок

ООО “КРИПТО-ПРО”

Отправка отчетности

При хранении ключа электронной подписи в сервисе отправка регламентированной отчетности выполняется следующим образом:

1. Сформируйте регламентированный отчет (налоговую декларацию, отчет в пенсионный фонд и т. п.).
2. При просмотре отчета выберите команду отправки отчетности. Например, для налоговых деклараций это будет кнопка Отправить.
3. В ответ на выведенный запрос подтвердите, что отчет заполнен полностью и корректно, и вы хотите его отправить.
4. На номер мобильного телефона вам будет отправлено SMS-сообщение с паролем.
5. Введите полученный пароль в поле для ввода пароля и нажмите кнопку OK.
6. При правильном вводе пароля отчетность будет подписана хранящейся в сервисе электронной подписью и отправлена по назначению. Будет выведено сообщение Отчет отправлен.

Более подробно процесс формирования и отправки отчетности описан в статье по ссылке.

Перевыпуск ключей эцп

В данном разделе можно подать заявку в режиме онлайн (при условии наличия действующих ключей ЭЦП), без подтверждения заявки в Центре регистрации.

Основные поля автоматически будут заполнены, согласно уже имеющемуся регистрационному свидетельству.

Укажите e-mail, населенный пункт, хранилище ключей и Путь к хранилищу.

И нажмите кнопку «Подать заявку».

Внимание! Хранилище «Персональный компьютер» является небезопасным. Рекомендуем использовать защищенный носитель ключевой информации для снижения риска компрометации ключей ЭЦП.

Поставьте галочку подтверждения корректности подаваемой заявки и нажмите кнопку «Подтвердить».

Введите пароль и нажмите кнопку «Подписать».

Запомните номер заявки.

По данному номеру установите регистрационные свидетельства через раздел «Статус поданной заявки».

Перевыпуск ключей ЭЦП успешно завершен.

Преимущества

Хранение ключа электронной подписи в сервисе обеспечивает следующие преимущества:

• мобильность: можно подписывать документы и отправлять регламентированную отчетность с любого компьютера, подключенного к Интернету;
• легкое начало работы: не требуется установка криптосредства на компьютере пользователя и дополнительная настройка;
• гибкость: можно работать через любой браузер, поддерживаемый платформой «1С:Предприятие», под управлением любой операционной системы (Windows, Linux, Mac OS);
• безопасность: отсутствует риск компрометации ключа электронной подписи в случае потери носителя.

Проверка статуса заявки

После подтверждения заявки, откройте меню «Мои ключи ЭЦП», перейдите в раздел «Проверка статуса заявки».

Введите номер заявки и нажмите кнопку «Искать».

В случае использования хранилище ключей – Персональный компьютер, появятся поля заполнения пароля. Придумайте и введите пароль на Ваши ключи ЭЦП и нажмите кнопку «Загрузить сертификаты».

Внимание! Пароль должен содержать символы латинского алфавита и цифры. Длина пароля: от 6 до 32 символов. Дополнительно, пароль может включать в себя: латинские буквы верхнего регистра и специальные символы «#$^ =!*()@%&_?-.».

Обязательно запомните указанный пароль! Пароль восстановлению не подлежит! НУЦ РК не хранит Ваши пароли, и в случае утери пароля данные ключи ЭЦП необходимо отозвать.

Нажмите кнопку «Загрузить сертификаты».
Появится окно, сообщающее об успешной установке регистрационных свидетельств.

Установка сертификатов завершена.

Смена пароля на ключи эцп

Для смены пароля на ключи ЭЦП, необходимо перейти в раздел «Смена пароля на ключ ЭЦП». В открывшемся окне укажите местоположение Ваших ключей ЭЦП в поле «Хранилище ключей».

Важно! При указании защищенного носителя в поле «Хранилище ключей», пароль устанавливается непосредственно на защищенный носитель. В случае указания персонального компьютера в поле «Хранилище ключей», пароль устанавливается непосредственно на ключи ЭЦП.

Укажите «Путь к хранилищу ключей». Заполните поле ввода пароля и нажмите кнопку «Изменить». В случае выбора хранилища – Персональный компьютер, укажите ключ ЭЦП для смены пароля. Процедуру смены пароля необходимо выполнять для каждого ключа ЭЦП отдельно.

Внимание! НУЦ РК не хранит Ваши пароли. В случае утери пароля, ключи ЭЦП восстановлению не подлежит.

Пароль успешно изменен.

Список ключей эцп

Выберите из выпадающего списка меню, раздел «Список ключей ЭЦП».

В новом окне отобразятся все имеющиеся регистрационные свидетельства на физическое лицо, с указанием текущего статуса. Также есть функция отдельного отображения списка ключей ЭЦП по следующим статусам: действующие, отозванные и срок действия которых истек.

Универсальная электронная карта

Существуют также более простой подход к защите канала между пользовательской системой и картой. Он заключается в установлении ЗОС с помощью классического протокола Диффи-Хеллмана. Подобный подход применяется для работы Универсальной электронной карты (УЭК).

К сожалению, несмотря на кажущуюся простоту и эффективность, существует один ключевой недостаток. Протокол Диффи-Хеллмана сам по себе не защищен от атаки человека посередине (man-in-the-middle, MITM). То есть, злоумышленник, контролирующий канал связи между пользовательской системой и картой, может имитировать их работу друг для друга.

Для решения подобной проблемы в УЭК используется аналог PKI-инфраструктуры. Существует корневой удостоверяющий центр, который выпускает сертификаты (подписанные открытые ключи с некоторой идентифицирующей информацией) определенного формата. На этапе выпуска карты в нее зашивается корневой сертификат центра и сертификаты собственных ключей аутентификации (ключей Диффи-Хеллмана).

Перед обращением к карте пользователь генерирует собственный ключ аутентификации и через онлайн-сервис получает на него сертификат от обслуживающего центра УЭК. Тем самым для карты и для пользователя обеспечивается возможность подтверждения подлинности друг друга.

К сожалению, данное решение обладает значительной вычислительной сложностью и рядом существенных ограничений на использование (например, требование подключения к Интернет для доступа к службе выпуска пользовательских сертификатов). Это не позволяет его использовать повсеместно.

Функциональный ключевой носитель – защищенность от противника в канале

Для того чтобы устранить ограничение, связанное с отсутствием злоумышленника в канале связи между машиной и носителем, существует специальный тип токенов, которые принято называть функциональными ключевыми носителями (сокращенно, ФКН).

Эти носители, как и активные носители, рассмотренные выше, предоставляют пользователю возможность получить лишь результат вычислений, в которых участвует ключ. Отличие состоит в том, что эти вычисления разделены между пользовательским приложением, использующим токен, и самим токеном.

В настоящее время нашей компанией разрабатывается усовершенствованный протокол взаимодействия между пользовательским приложением и токеном для линейки продуктов ФКН CSP 4.0. Он основан на протоколе семейства EKE – протоколе аутентифицированной выработки общего ключа под защитой пароля.

Использование этого протокола позволяет математически строго обеспечить такой же уровень защищенности от противника в канале, что и от противника, имеющего физический доступ к носителю, защита от которого, напомним, обеспечивается на аппаратном уровне.

Таким образом, злоумышленник, имеющий возможность читать и подменять сообщения в канале, не сможет ни узнать пароль, ни даже получить возможность перебирать пароли неинтерактивно, то есть без контроля со стороны токена. Это свойство удается обеспечить за счет того, что пароль используется лишь для защиты передаваемых по каналу компонент вырабатываемого общего ключа – эфемерных открытых ключей протокола Диффи-Хеллмана.

Таким образом, для того, чтобы получить критерий для подбора пароля без взаимодействия с токеном, нужно восстановить хотя бы одну из этих компонент, что является известной трудной задачей – вычислительной задачей Диффи-Хеллмана (CDH). После установления соединения взаимодействие с носителем производится по каналу защищенного обмена сообщениями (ЗОС или Secure Messaging), в котором весь обмен данными происходит в зашифрованном виде.

Пароль украден. это конец?

Конечно, какие бы меры противодействия нарушителям ни применяли разработчики криптосредств, всегда существует опасность кражи пароля ключевого носителя. Это может произойти по различным причинам: слежка за пользователем, невыполнение элементарных правил безопасности или, что самое распространенное, использование в качестве пароля значения по умолчанию.

В этом случае злоумышленник, как уже было упомянуто выше, может направлять на подпись от лица пользователя любые данные (производить селективную подделку). Можно ли каким-либо образом хоть немного защититься от подобного сценария? К радости пользователей, подобное решение существует.

Вполне очевидно, что штатными средствами токена или программного обеспечения реализовать защиту от селективной подделки невозможно в силу самой природы атаки. Таким образом, нам требуется некоторое устройство, которое бы ставило дополнительный барьер между ключом и злоумышленником, который хочет подписать от нашего имени чек на миллион долларов.

Этим устройством является средство визуального контроля подписи. Оно перехватывает запросы на подпись и показывает на своем дисплее, что именно подписывает пользователь. В случае, если реквизиты документа не совпадают с реальными или запрос на подпись не создавался в принципе, пользователь может нажать аппаратную кнопку “Отмена” и заблокировать операцию.

Отзыв ключей эцп

Выберите из выпадающего списка меню, раздел «Отзыв ключей ЭЦП».

В новом окне отобразятся все имеющиеся регистрационные свидетельства на физическое лицо, с указанием текущего статуса.

Для того чтобы отозвать регистрационное свидетельство, выберите из списка необходимое регистрационное свидетельства и нажмите кнопку «Редактировать».

Укажите хранилище ключей.

Укажите путь к ключу ЭЦП для подписи (RSA).

Введите пароль.

Для отзыва регистрационного свидетельства укажите причину отзыва из предоставленного списка.

Поставьте галочку о согласии предпринимаемых действий и нажмите кнопку «Отозвать».

Подпишите ключами ЭЦП (RSA).

Процедура отзыва регистрационного свидетельства завершена.

Итого

Итак, подведем итоги.

Получить доступ к ключу на носителе можно только в том случае, если пользователь ввел правильный пароль. Использование токенами счетчиков количества вводов неправильных паролей не позволяет злоумышленнику бесконтрольно перебирать ключ, если он получил физический доступ к носителю. В этом основное отличие токенов от простых флэшек с записанными на них ключевыми файлами, защищенными паролем.

Существуют три основных вида токенов, обладающих разными свойствами по отношению к противнику, контролирующему канал связи токен-машина:

Все виды токенов уязвимы по отношению к противнику, работающему внутри пользовательской системы – эта уязвимость принципиально неустранима при использовании ключевых носителей. В этом случае у токена нет даже теоретической возможности отличить легального пользователя от злоумышленника.

На данный момент компанией «КРИПТО-ПРО» совместно с ведущими производителями ключевых носителей разработаны следующие продукты:

Первые три продукта работают с носителями по защищенной технологии ФКН, последний разработан для взаимодействия с картами УЭК. 

Использование же пассивных устройств является классической схемой для криптопровайдера КриптоПро CSP (3.6, 3.6.1, 3.9, 4.0). Он работает c широким спектром производителей токенов и смарт-карт, в частности:

Смышляев С.В., к.ф.-м.н.,

начальник отдела защиты информации

ООО “КРИПТО-ПРО”

Алексеев Е.К., к.ф.-м.н.,

инженер-аналитик 1 категории

ООО “КРИПТО-ПРО”

Агафьин С.С.,

инженер-программист 1 категории

ООО “КРИПТО-ПРО”

Прохоров А.С.,

инженер-аналитик 2 категории

ООО “КРИПТО-ПРО”