Методы подтверждения ssl-сертификатов

Методы подтверждения SSL-сертификатов

Для подтверждения SSL-сертификата доступно 4 метода:

DNS TXT

Email

Хеш-файл

CNAME DNS

Обратите внимание, что проверка записи DNS TXT чувствительна к регистру. Некоторые DNS-провайдеры могут автоматически корректировать регистр записи TXT, этот приведет к сбою.

Обратите внимание, что для домена с HTTP и HTTPS хеш будет разным, поэтому обязательно укажите, по какому именно протоколу доступен ваш сайт.

Таблица сертификатов, их типов и методов подтверждения:

При оформлении сертификатов EV и OV выполняется проверка организации.

Сроки действия TLS-сертификатов и рекомендации

В конце 2022 года и начале 2023 года истекают сроки действия TLS-сертификатов российских сайтов, выданных зарубежными сертифицирующими центрами. Например, уже 28 сентября истёк сертификат главной страницы Сбербанка, а в январе истечёт срок действия сертификата Госуслуг.

После истечения срока действия сертификата сайты перестанут открываться в браузерах иностранной разработки, включая Google Chrome, Microsoft Edge, Mozilla Firefox и Opera.

Рекомендации:

• Установить TLS-сертификат с сайта Госуслуг
• Воспользоваться браузером российской разработки: Яндекс.Браузер или Атом

Мы рекомендуем выбрать второй вариант. Устанавливать любые TLS-сертификаты небезопасно.

Зачем нужны TLS-сертификаты

Практически все современные сайты используют для работы протокол HTTPS. Он подразумевает передачу шифрованного трафика, который даже в случае перехвата невозможно прочитать. Использование протокола HTTPS увеличивает вашу конфиденциальность и приватность.

Протокол HTTPS подразумевает, что сайт будет отправлять информацию в зашифрованном виде, а браузер будет её расшифровывать – и наоборот, браузер будет передавать информацию в зашифрованном виде, а сайт будет её расшифровывать. Чтобы этот механизм начал работать, сайт и браузер должны создать совместный одноразовый ключ шифрования (пароль для расшифровки трафика) и обменяться им.

Установка российского TLS-сертификата

Но браузер по умолчанию не доверяет серверу. В конце концов, мошенники могут создать сайт, который станет имитировать интернет-магазин или онлайн-банк, и таким образом начать похищать деньги у пользователей. Чтобы браузер начал доверять серверу, тот должен предоставить сертификат, выданный авторизованным центром сертификации.

У каждого браузера есть список авторизованных центров сертификации, которым он доверяет. Это могут быть DigiCert, Let’s Encrypt, GlobalSign и другие. Если браузер определяет, что TLS-сертификат выдан удостоверяющим центром из списка авторизованных, он его принимает и устанавливает защищённое соединение.

Зарубежные и российские TLS-сертификаты

До 2022 года в России не было собственного удостоверяющего центра, который бы выдавал TLS-сертификаты. Чтобы получить такие документы, сайты обращались в зарубежные компании. Например, TLS-сертификат онлайн-банка Сбербанк.Онлайн выдан удостоверяющим центром GlobalSign.

Однако в 2022 году на российские компании был наложен ряд экономических санкций, а международные удостоверяющие центры отказались выдавать сертификаты для российского бизнеса и государственных органов.

Это вынудило Министерство цифрового развития, связи и массовых коммуникаций РФ (Минцифры РФ) совместно с НИИ Восход создать собственный Национальный удостоверяющий центр и выпустить TLS-сертификаты для российского бизнеса.

Зачем устанавливать сертификаты?

В целом установка TLS-сертификатов – распространённая практика в корпоративных сетях. Часто внутренние корпоративные порталы – например, CRM-системы или базы знаний – запускаются на серверах без подключения к интернету, а их сайты подписываются собственным сертификатом.

Однако браузеры не принимают такие TLS-сертификаты, поскольку не доверяют им. Ведь они созданы не авторизованным удостоверяющим центром, а какой-то другой компанией. Чтобы браузер начал доверять этому сертификату, необходимо установить сертификат в корневое хранилище сертификатов на устройстве.

С Национальным удостоверяющим центром РФ (Russian Trusted Root CA) наблюдается похожая ситуация. Он не является авторизованным удостоверяющим центром, поэтому браузеры, получив от него сертификаты, им просто не доверяют. При попытке открыть, например, сайт Сбербанка в Google Chrome пользователь получит предупреждение, что соединение с этим сайтом не безопасно и открывать его не рекомендуется.

Именно поэтому Минцифры РФ предлагает установить корневой TLS-сертификат на устройство. Таким образом он встроится в список сертификатов, которым браузер обязан доверять, и сайт Сбербанка снова начнёт открываться. Однако мы не рекомендуем этого делать.

Поскольку единственная с точки зрения пользователя проблема российского TLS-сертификата заключается в том, что без него не получается открыть нужные сайты, для работы с этими сайтами лучше использовать дополнительный браузер, который доверяет российским TLS-сертификатам. Например, Яндекс.Браузер или Атом.

Что будет, если всё-таки установить российский TLS-сертификат?

Зачем нужны TLS-сертификаты

TLS-сертификаты нужны для того, чтобы обеспечивать вашу информационную безопасность. Они участвуют в шифровании трафика, таким образом, перехваченный трафик не может быть прочитан злоумышленниками. Максимум информации, который смогут получить хакеры, разбирая перехваченные данные – это домен сайта, например, www.sberbank.ru. Даже при перехвате трафика они не смогут узнать, сколько денег у вас на счетах, и, тем более, не смогут ими распорядиться.

Однако при установке TLS-сертификата на компьютер вы уменьшаете защиту данных. Хотя трафик по-прежнему шифруется, злоумышленники при определенных обстоятельствах смогут выдать себя за любой сайт или создать SSL-прокси, что даст им возможность расшифровать ваш трафик и получить полный доступ к вашим данным.

Что такое SSL-прокси

SSL-прокси – это сервер, который пропускает через себя весь интернет-трафик пользователя (пользователей), одновременно с этим подменяя TLS-сертификат. Данная технология была попытана к внедрению в Республике Казахстан в 2016 году.

Россия – страна с высоким уровнем государственного контроля

Российская Федерация – это страна с высоким уровнем государственного контроля. С 2018 года в России вступил в силу пакет Яровой, который обязывает интернет-провайдеров хранить копии интернет-трафика пользователей в течение 6 месяцев. Это позволяет правоохранительным органам иметь доступ к данным пользователей.

Поскольку крупнейшие сайты использовали зарубежные TLS-сертификаты, российские органы не могли получить доступ к зашифрованной информации. Однако, если вы будете использовать российский TLS-сертификат, часть вашего трафика может быть доступна для просмотра.

Опыт запуска цензурирующего сертификата в Казахстане

В 2016 году в Республике Казахстан была попытка запустить государственную платформу анализа трафика. Это вызвало протесты и негодование со стороны пользователей, а также привело к проблемам с доступом к критически важным сайтам для инфраструктуры страны. Инициатива была отменена вскоре после запуска.

Не устанавливайте российский TLS-сертификат!

Подводя итоги, стоит отметить: не устанавливайте российский TLS-сертификат. Это может привести к уязвимостям и утечкам данных, открывая ваш трафик для различных злоумышленников, включая государственные службы.

Отказ от использования стандартных браузеров

Вместо этого воспользуйтесь одним из двух российских браузеров, поддерживающих TLS-сертификаты Russian Trusted Root CA. Это Яндекс.Браузер и Атом. При этом используйте их только для доступа к сайтам, которые недоступны в привычных браузерах.

Если вам всё-таки нужно установить этот TLS-сертификат, вы сможете защитить себя, используя VPN – VPN создаёт туннель, в котором дополнительно шифруется весь трафик. Так что никакие хакеры или государственные службы не смогут прочитать вашу интернет-активность.

Сервис 1С:Кабинет сотрудника

1С: Кабинет сотрудника – сервис для упрощения взаимодействия сотрудников организации с отделом кадров и бухгалтерией.

Сервис предоставляет возможность организовать обмен кадровыми документами с помощью технологии кадрового электронного документооборота и тем самым отказаться от документооборота бумажного.

КЭДО

КЭДО – кадровый электронный документооборот – возможность создавать, подписывать, использовать и хранить документы, связанные с работой сотрудников организации и оформленные в электронном виде без дублирования на бумажном носителе.

Доступные программы

Сервис 1С:Кабинет сотрудника доступен в следующих программах:

• Программа 1
• Программа 2
• Программа 3

Пользователям доступен тестовый период на 45 дней, который можно подключить прямо в программе 1С. Во время тестового периода можно создать неограниченное количество личных кабинетов. Для подключения сервиса и дальнейшей работы необходим доступ в Интернет, кроме того программа должна быть на официальной поддержке.

Сервис является платным, цена зависит от количества приобретаемых кабинетов. При оформлении нескольких тарифов 1С: Кабинет сотрудника, доступы к кабинетам, которые входят в эти тарифы, суммируются.

Подключение сервиса в 1С

Настройка

Настройка производится под пользователем с полными правами. Для подключения 1С: Кабинет сотрудника необходимо перейти во вкладку Кадры – Сервис 1С: Кабинет сотрудника. Откроется помощник подключения к сервису.

Помощник подключения

В открывшемся помощнике подключения 4 пункта. На первом этапе сотрудник, ответственный за сервис, должен заполнить поле с адресом сервиса в Интернете (заполняется латинскими буквами, как правило, включает название организации), название организации подтянется автоматически.

На втором этапе указывается сотрудник, ответственный за сервис. Для этого сотрудника должны быть указаны мобильный телефон и адрес электронной почты. Настройки на этапе 3 можно пропустить и вернуться к ним позже (будут рассмотрены в пункте 3).

Когда все необходимые поля будут заполнены, можно будет нажать кнопку Подключить. Подключение может занять некоторое время, в этом случае на этапе 4 будет выдано соответствующее сообщение.

После подключения на почту ответственному сотруднику придет письмо с ссылкой на сервис.

Рисунок 4 – Письмо для сотрудника, ответственного за сервис

Также ответственный сотрудник может перейти на страницу сервиса из 1С по ссылке из помощника подключения. Если помощник был закрыт, перейти на него можно через Кадры – Сервис 1С: Кабинет сотрудника. Здесь же можно посмотреть идентификатор, использующийся при обращении в техническую поддержку сервиса, количество созданных кабинетов, а также изменить настройку публикации.

Рисунок 5 – Помощник работы с сервисом

При переходе по ссылке в Кабинет сотрудника ответственному за сервис будет предложено придумать и повторить пароль. После этого на мобильный номер ответственного будет отправлено сообщение с четырехзначным кодом, который необходимо будет указать на странице.

Рисунок 6 – Аутентификация в Кабинете сотрудника

При успешной авторизации откроется Кабинет ответственного. Пока функционал Кабинета ограничен: доступны только разделы Компания и Администрирование. Для завершения настроек необходимо опубликовать сотрудников, для которых планируется создание кабинетов (в том числе и ответственного сотрудника).

Рисунок 7 – Ограниченный функционал Кабинета ответственного сотрудника

Для создания кабинетов сотрудников необходимо опубликовать их в 1С. Перейдем во вкладку Кадры – Сервис 1С: Кабинет сотрудника – Изменить настройку публикации.

Рисунок 8 – Ссылка для настройки публикации

В открывшемся окне можно выбрать подразделения для публикации или опубликовать кабинеты для сотрудников всей организации. Для этого необходимо проставить галочку в колонке «Публиковать».

Рисунок 9 – Выбор подразделений для публикации

Ознакомиться со списком публикуемых сотрудников можно по кнопке «Публикуемые сотрудники». После необходимо нажать на кнопку «Обновить публикацию».

Рисунок 10 – Завершение настройки публикации

Снова перейдем в кабинет ответственного за сервис. Теперь можем увидеть полностью доступный функционал.

Рисунок 11 – Функционал Кабинета ответственного после изменения настроек публикации

Создание личных кабинетов для сотрудников

После изменения настроек публикации в кабинете сотрудника, ответственного за сервис, появится информация о публикуемых сотрудниках, посмотреть ее можно на вкладке Администрирование – Сотрудники и личные кабинеты. Цветными пиктограммами обозначено состояние кабинета для каждого сотрудника: кабинет не создан, кабинет создан, но сотрудник в нем не авторизовался, кабинет создан и сотрудник успешно зашел в него и т.д.

Рисунок 12 – Информация о состоянии Кабинетов

Чтобы создать кабинеты для сотрудников, необходимо установить галочку рядом с именем выбранного сотрудника, нажать кнопку «Выполнить», выбрать «Создать кабинеты». Если в процессе создания кабинета возникла ошибка и кабинет не был создан, рядом с именем соответствующего сотрудника появится пиктограмма с красным человечком. Нажав на имя сотрудника можно ознакомиться с ошибкой.

Далее для отправки сотрудникам, которым создали кабинеты, приглашения с инструкцией по началу работы необходимо вновь отметить их галочкой, нажать кнопку «Выполнить», выбрать «Отправить приглашение на email» или «Отправить sms приглашение».

Рисунок 13 – Создание Кабинетов и отправка приглашений

Настройка со стороны 1С

Для начала использования кадрового электронного документооборота необходимо в базе 1С перейти на вкладку Кадры – 1С: Кабинет сотрудника – Настройки и проставить галку «Используется кадровый ЭДО».

Рисунок 14 – Включение КЭДО

Для того чтобы кадровые электронные документы отправлялись из 1С в личные кабинеты сотрудников, в базу необходимо добавить сертификат электронной подписи. Квалифицированной электронной подписью будут подписываться документы со стороны организации.

Без настроенной подписи КЭДО не будет работать!

Для настройки сертификата необходимо перейти на вкладку Администрирование – Обмен электронными документами – Электронная подпись и шифрование – Настройка электронной подписи и шифрования, предварительно установив галку «Электронные подписи».

Рисунок 15 – Настройка ЭЦП в 1С

Если ранее в базу 1С не добавлялся сертификат ЭП, то добавить его можно по кнопке «Добавить».

Рисунок 16 – Добавление ЭЦП

В настройках сертификата обязательно должен быть указан пользователь, ответственный за сервис 1С:Кабинет сотрудника, чтобы у него была возможность подписывать документы, отправляемые из 1С.

Рисунок 17 – Настройка использования ЭЦП

Рисунок 18 – Скачивание корневого сертификата

После скачивания сертификат необходимо открыть его и установить в Доверенные корневые центры. Это делается для того, чтобы сотрудник, ответственный за сервис, мог проверять неквалифицированные электронные подписи (НКЭП) сотрудников.

Рисунок 19 – Запуск установщика

В открывшемся установщике необходимо выбрать расположение хранилища – флаг «Текущий пользователь». Затем проставить флаг «Поместить все сертификаты в следующее хранилище», нажать «Обзор» и выбрать папку «Доверенные корневые центры». Нажать «Далее». После этого согласиться с предупреждением системы безопасности, нажав «Да». После успешной установки система выдаст соответствующее сообщение.

Рисунок 20 – Установка корневого сертификата

Настройка со стороны сотрудников

Сервис 1С: Кабинет сотрудника предусматривает подписание документов со стороны организации (УКЭП) и со стороны сотрудников (УНЭП). Неквалифицированная электронная подпись сотрудников представляет собой пароль, который каждый сотрудник придумывает сам.

Для того чтобы каждый сотрудник в своем Кабинете смог создать личную УНЭП, ему необходимо подписать согласие на присоединение к КЭДО.

Согласия формируется в 1С сотрудником, ответственным за сервис, во вкладке Кадры – сервис 1С: Кабинет сотрудника – Настройки по кнопке «Сформировать согласия». Согласия будут сформированы и разосланы в Кабинеты сотрудникам (для ускорения процесса можно выполнить обмен с сервисом вручную там же на вкладке Состояние обмена с сервисом по кнопке «Выполнить обмен»).

Рисунок 21 – Формирования согласия

После рассылки сотрудники в своих Кабинетах на странице Главное в блоке Документы увидят уведомление о неподписанном согласии. Для ознакомления необходимо нажать кнопку «Подключиться».

Рисунок 22 – Уведомление о наличии неподписанного согласия у сотрудника

В открывшемся окне можно ознакомиться с текстом согласия и нажать на кнопку «Я подписал».

Рисунок 23 – Подписание согласия сотрудником

После этого сотрудник, ответственный за сервис, в базе 1С должен перейти на вкладку Кадры – Согласие на присоединение к КЭДО и подтвердить наличие подписанного документа. После очередного обмена с сервисом в личных Кабинетах сотрудников, подписавших согласие, появится возможность создать неквалифицированную ЭП.

Для этого каждый сотрудник в своем Кабинете должен перейти на вкладку Профиль – Электронная подпись и нажать на кнопку «Создать». Система предложит придумать пароль и повторить его. По кнопке «Сохранить» можно сохранить пароль.

Рисунок 24 – Создание ЭП сотрудника

Неквалифицированная подпись создана, и теперь во вкладке Профиль – Электронная подпись появилась кнопка «Обновить». Подписи сотрудников действуют 2 года, по истечении этого срока можно обновить подпись, нажав на данную кнопку и придумав новый пароль. Также если сотрудник забыл пароль от подписи, задать новый можно по этой же кнопке «Обновить».

Рисунок 25 – Обновление ЭП сотрудника

Из нашей статьи вы узнаете:

Работа с машиночитаемой доверенностью имеет множество преимуществ для бизнеса. Ускоряется процесс взаимодействия между контрагентами и госорганами. Снижается риск ошибок при заполнении. Уменьшаются затраты на печать и доставку бумажных документов. Переход на МЧД может быть сложным процессом, если не знать порядок работы и вовремя не обучить сотрудников. Перейти на МЧД нужно всем руководителям юрлиц и индивидуальным предпринимателям, чьи документы подписывают доверенные лица.

Расскажем подробно, на какой срок перенесли использование МЧД и как осуществить переход на машиночитаемые доверенности в 2023 году.

Нужно ли переходить на МЧД в 2023 году

Изначально переход на МЧД продлили в конце декабря 2022 года. Был принят Федеральный закон № 536-ФЗ. Документ внёс изменения в отдельные законодательные акты РФ. В том числе закон перенёс срок обязательного использования машиночитаемых доверенностей. Тем самым был продлён переходный период, и представителям бизнеса предоставили отсрочку.

В июле этого года в третьем чтении был одобрен законопроект № 216859-8. Согласно документу, квалифицированные электронные подписи (КЭП) работников организации можно использовать до 31 августа 2024 года, включительно. При условии, что КЭП оформлена до 1 сентября 2023 года. Это значит, что сотрудникам юрлица достаточно продлить свои сертификаты подписи и работать без машиночитаемой доверенности ещё год. Если не оформить КЭП работника организации до 31 августа 2023 года, сотрудник сможет представлять интересы компании только с КЭП физлица совместно с МЧД. Перенос сроков необходим для того, чтобы участники электронного документооборота успели подготовиться к изменениям в законодательстве.

Важно запомнить! Если срок действия электронной подписи заканчивается до 1 сентября 2024 года, её нужно перевыпустить уже сейчас. Сертификаты КЭП сотрудника организации можно получить только до 31 августа 2023 года.

Переходить на работу с МЧД в 2023 году нужно если доверенное лицо не успело получить КЭП работника организации до 31 августа 2023 года. В этом случае сотрудник получает сертификат квалифицированной электронной подписи физлица. А полномочия на подписание документов ему передают через машиночитаемую доверенность.

Как работать сотрудникам с электронной подписью при переходе на МЧД

На имя сотрудника выпускают МЧД, которая подтверждает его полномочия. Таким образом, он сможет действовать от имени организации. Возможность сдавать отчётность по бумажной доверенности сохраняется до 1 сентября 2024 года.

Сегодня для подписи документов от имени руководителя представители организаций используют квалифицированную электронную подпись (ЭП) работника юрлица. Машиночитаемая доверенность при этом не нужна. Переход на МЧД необходимо осуществить с 1 сентября 2024 года и использовать её вместе с квалифицированной ЭП физлица.

Новые правила касаются также и представителей ИП. Чтобы сдавать отчётность и подписывать электронные документы от имени индивидуального предпринимателя, им тоже нужно будет перейти на машиночитаемые доверенности (МЧД).

Электронные подписи юрлиц, предпринимателей и их представителей, выпущенные в коммерческих удостоверяющих центрах будут действительны до конца срока их действия, но не позднее 31 августа 2024 года.

Несмотря на это, переход на машиночитаемые доверенности (МЧД) можно осуществить уже сегодня. Возможность работы с документом реализована во всех государственных органах. При взаимодействии с контрагентами МЧД имеет юридическую силу.

Что такое МЧД и кому она нужна

Машиночитаемая доверенность — это доверенность, созданная в электронном машиночитаемом виде. Информационная система, в которой она используется, распознаёт содержащиеся в ней данные автоматически.

При переходе на МЧД руководитель юридического лица или индивидуальный предприниматель назначает доверенное лицо, которое действует от имени организации или ИП. Им может быть бухгалтер, ответственный сотрудник или работник сторонней компании, которая предоставляет такие услуги. С помощью машиночитаемой доверенности этому лицу передаются определённые полномочия. С ней можно сдавать отчётность и подписывать любые электронные документы от имени ИП и юрлица.

Подробнее ознакомиться с понятием МЧД рекомендуем в нашей статье.

Машиночитаемая доверенность (МЧД) создаётся в формате XML. Файл содержит информацию о доверителе и уполномоченном лице с перечнем полномочий.

Какие законы регулируют переход на МЧД

Приказ Минцифры РФ:

Обязанность подписания машиночитаемых доверенностей квалифицированной электронной подписью юрлица или ИП закреплена в статьях 17.2 и 17.3 Федерального закона № 63-ФЗ. Эти же статьи закона регулируют возможность передоверия МЧД.

Как перейти на работу с МЧД

Чтобы осуществить переход на работу с машиночитаемыми доверенностями (МЧД) по новым правилам, нужно выполнить два шага.

Переход на машиночитаемые доверенности (МЧД) позволяет сотруднику заверять электронные документы с помощью КЭП физлица.

О порядке работы с машиночитаемой доверенностью и электронной подписью мы подробно рассказывали в нашей статье.

Создавать МЧД удобно с интеграционным решением Астрал.Платформа. Решение позволяет оформить МЧД на сотрудника или доверенное лицо в короткий срок. Директору или предпринимателю достаточно выбрать тип машиночитаемой доверенности, заполнить данные и подписать документ своей КЭП.

Единый формат МЧД

В настоящее время существует несколько видов МЧД. Их разрабатывали Федеральные органы исполнительной власти (ФОИВ). Основные виды МЧД:

Не все госпорталы поддерживают определённые виды машиночитаемой доверенности. Например, B2G делалась ФНС, и другие ведомства с ней работать не могут.

В марте 2023 года на портале Госуслуг появился единый формат МЧД версии 003, который разработал Минцифры. Этот тип машиночитаемой доверенности позволяет вести взаимодействие с контрагентами и почти со всеми госорганами, используя один документ, вместо двух, то есть объединяет в себе возможности B2B и B2G форматов. Поясним. Если сотрудник имеет полномочия подписывать документы от имени руководителя, ему нужно использовать две МЧД. Например, B2G — для сдачи налоговой отчётности, и B2B — для подписания товарной накладной. Новый формат МЧД упрощает процесс передачи данных для всех участников электронного документооборота.

В рамках единого формата МЧД была решена проблема с передоверием. В частности, в ФНС касаемо B2G доверенности. В новой версии доверенности стало проще оформлять передоверие. Теперь не нужно заполнять паспортные данные руководителя организации. Также был представлен расширенный справочник полномочий для доверенных лиц.

Перейти на МЧД нового формата можно уже сегодня, но важно учитывать, что не все Федеральные органы исполнительной власти его принимают. Многие информационные системы госорганов настроены на ранее представленные типы доверенностей и имеют свои сервисы для создания документа. Так, на сайте ФНС можно воспользоваться только форматами B2B и B2G.

Создавать МЧД удобно с бесплатным сервисом «Астрал Доверенность». Решение позволяет оформить МЧД на сотрудника или доверенное лицо в короткий срок. Директору или предпринимателю достаточно выбрать тип машиночитаемой доверенности, заполнить данные и подписать документ своей КЭП.