Создание аккредитованного удостоверяющего центра. В каком удостоверяющем центре можно получить ЭЦП? Удостоверяющий центр Федерального казначейства: получение ЭЦП

Популярность и относительная простота получения ЭЦП посодействовали росту целых сетей удостоверяющих центров, готовых выдать ключ или сертификат через несколько дней после обращения клиента или даже за час. В этой статье мы поговорим о таких центрах, а также о возможностях электронно-цифровых подписей, которые становятся популярными.

Типы электронно-цифровой подписи

Существует несколько типов ЭПЦ, отличающиеся набором функций, например:

• простая;
• усиленная;
• неквалифицированная.

Получив простую ЭЦП, вы не сможете впоследствии редактировать завизированный документ в отличие от других типов электронной подписи. Однако простой ЭЦП вполне достаточно для участия в тендерах госзакупок и отправки документов в органы государственного контроля.

Получение ЭПЦ в удостоверяющих центрах

Если вы не знаете, где получить электронно-цифровую подпись, вам понадобится уточнить месторасположение ближайшего удостоверяющего центра. Получить нужную информацию вам помогут в отделении ПФР районной налоговой инспекции. Также вы можете , оформим онлайн-заявку на нашем сайте.

Основная задача всех удостоверяющих ЭЦП центров - зафиксировать и обработать переданные им документы, после чего вернуть их владельцу с его цифровой подписью.

Для получения ЭЦП владельцу документов необходимо предоставить в удостоверяющий центр:

• копию своего паспорта;
• СНИЛС, который может вам выдать ПФР, относящийся к месту вашей прописки;
• адрес своей электронной почты.

После получения документов и контактных данных центр по выдаче ЭПЦ подготавливает USB-носитель с электронно-цифровой подписью, а также ключи и сертификаты. Выданная удостоверяющим центром может быть использована на электронных аукционах госструктур, а также тендерных площадках коммерческого подчинения.

Срок изготовления электронно-цифровой подписи, обычно, составляет несколько дней. При этом, владельцу остается лишь выждать это время, единожды предоставив всю необходимую информацию. При внесении дополнительной платы можно получить ЭЦП за час.

Внутрикорпоративные ЭЦП

Любая компания может выдавать собственные электронно-цифровые сертификаты, которые можно будет использовать внутри корпорации. Для этого вовсе не нужно регистрироваться в государственных контролирующих органах. Однако завизированные лично электронные документы во внешних контактах не будут иметь силы ЭЦП, полученной в удостоверяющем центре.

Как стать удостоверяющим ЭЦП центром

Предприятие, решившее стать удостоверяющим ЭЦП центром, должно подготовить ряд нижеприведенных документов:

• заявление о намерении стать удостоверяющим центром;
• образец поручительского договора, который предстоит заполнять клиентам;
• образец соглашения с заверениями и обязанностями защищать персональные данные клиентов.

Орган казначейства

В функционировании удостоверяющих центров и использовании ЭЦП орган казначейства выполняет несколько задач.

1. Основное назначение федерального казначейского органа - проверка удостоверяющих центров. Если вы недовольны работой какого-либо из центров, вы можете обратиться в госорган казначейства. Его сотрудники инициируют проверку аттестационного центра по факту вашего обращения. В результате проверки центр может получить предупреждение.
2. Если вы не имеет возможности заказать ЭПЦ в удостоверяющем центре, получить ее вы сможете в органе казначейства. Так как выдача ЭП не входит в список основных обязанностей госструктуры, ожидание электронно-цифровой подписи может затянуться.

Несомненным положительным качеством использования электронно-цифровой подписи можно назвать возможность подписания документов с ее помощью сотрудниками фирмы, находящимися в разных городах. Также ЭП позволяет за считанные минуты завизировать файл и отправить его на дальнейшую обработку. Эти и другие качества ЭПЦ и принесли ей большую популярность.

Когда работал системным администратором, возникла у меня необходимость реализовать VPN на несколько десятков филиалов компании, интранет и почту на серверах в Москве с суровой защитой и доступом через VPN вообще отовсюду. При этом придумать всю систему и организовать её развёртывание предстояло в одно лицо. Бюджет был в тысячи полторы долларов, было это 4 года назад, некоторое время честно пытался найти более-менее приемлемое по цене ПО, потом нечестно пытался найти что-то на торрентах – пусто. В итоге – OpenSSL и OpenVPN. В этом вводном тексте хотелось бы поговорить об OpenSSL.

В конечном итоге были развёрнуты:

• центр выдачи сертификатов (CA – Certificate Authority, он-же УЦ – Удостоверяющий Центр, в отечественной терминологии организация, уполномоченная выпускать сертификаты),
• интранет-сайт с авторизацией доступа по клиентским сертификатам,
• VPN с взаимной аутентификацией серверов, клиентов и динамической маршрутизацией,
• Авторизация клиентов на корпоративном IM сервере с помощью тех-же сертификатов.

Описанное далее будет интересно скорее корпоративным технарям, нежели обычным пользователям. При условии, если: организация не государственная, есть цель сэкономить, есть желание попробовать некоторые «штуки» не вбухивая в R&D сумму с шестью нолями.

Предполагается, что читающие знакомы с понятиями VPN (в данном случае Virtual Private Network) и SSL (Secure Sockets Layer) и тем, что из себя представляют электронные сертификаты в формате x.509 .

СА

Важно помнить (как оказалось ), что выпуск и использование сертификатов электронной цифровой подписи это не только технический, но и организационный процесс, без которого преимущества использования подобного рода защиты сходят на нет. Диск с УЦ, к примеру, после выпуска всех сертификатов, лучше вынуть или отключить (если он USB ) и убрать в сейф. И журнал завести.

Сайт

В конфиг сервера было добавлено что-то вроде:

SSLVerifyClient require
SSLVerifyDepth 2
SSLRequire %{SSL_CLIENT_I_DN_CN} in {"My LTD OpenSSL CA"}

Т.е. разрешить всем, чей сертификат выдан My LTD OpenSSL CA (в реальности, конечно, название другое )

Также можно ограничить доступ по именам:

SSLOptions +FakeBasicAuth +StdEnvVars
SSLVerifyClient require
SSLVerifyDepth 2
SSLRequire %{SSL_CLIENT_S_DN_CN} in {"Ivan A Ivanov", \
"Petr B Petrov"}

В логи сервера пишется с помощью вот такой вот конструкции:

CustomLog ../logs/ssl/ssl_request.log \
"\"%t\",\"%h\",\"%{SSL_CLIENT_S_DN_CN}x\",\"%r\",\"%s\"" env=!dontlogit

Распространение сертификатов

Т.к. я был сам себе УЦ, то был избавлен и от такого «сервиса» и от копирования сертификатов «на память» техническими специалистами (и не очень).

Разъездным сотрудникам сертификаты выдавались на аппаратном носителе – USB-ключе Aladdin. Банки и УЦ предлагали (и предлагают) юридическим лицам для этой цели использовать дискеты или современный вариант - флешки. Это более удобно, но приводит к другой опасности - возможности сделать дубликат. В идеальном случае ключи и сертификаты должны храниться на смарт-карте, которая дополнительно защищена pin-кодом, имеет собственный крипто-процессор на борту, генератор случайных чисел, который, как считается, сильно понижает шансы потенциальных взломщиков, буде те решаться подобрать ваш ключ. Кроме того, смарт-карты практически не поддаются копированию.
USB-ключи Aladdin eToken как раз и являются такими картами, только в виде USB-брелка.
В случае аутентификации шифруется лишь небольшой объём данных, необходимый для процедуры, но при желании можно шифровать и весь трафик между клиентом и сервером. В случае, если сертификат нужно использовать для шифрования на сервере с большим количеством клиентов, в сервер нужно ставить уже что-то посерьёзнее например, крипто-плату, бесплатный IBM HTTP Server (тот-же Apache, фактически ), даже какое-то их количество поддерживает.
Никто конечно не мешает использовать смарт-карты, которые выглядят как обычные пластиковые карты, но тогда на каждом рабочем месте, на котором такую карту нужно будет использовать, должен стоять картридер.

После того, как мы получили у УЦ сертификат, поместили его на «токен», и закрыли токен пин-кодом, мы получаем возможность выполнить двухфакторную двустороннюю аутентификацию. Фактор первый - мы имеем токен, фактор второй - знаем от него пин-код. А имея сертификат можем выполнить проверку, что сервер действительно тот, за кого себя выдаёт, в этом случае bobik.ru и bоbik.ru уже спутать не получится, потому, что русская «о» во втором варианте даст несовпадение имени (для компьютера это всё-таки разные буквы ).

Списки отозванных сертификатов

Многие отечественные CA местоположение CRL указывают, а выкладывать или обновлять сам список «забывают», и когда, скажем, тот-же Outlook не может проверить сертификат по списку отозванных и вывешивает предупреждение, консультант в CA по телефону может предложить вам это предупреждение проигнорировать. В случае, если клиентом является другой сервер, при невозможности проверки сертификата, он просто будет разрывать подключение.

В случае необходимости сертификат перевыпускался с тем же закрытым ключом, что позволяло не терять доступ к зашифрованным ранее данным.

Доводка OpenSSL

Чтобы всё было чуть серьёзнее нужна небольшая рихтовка:

• если вы хотите, чтобы ваша система прожила больше года, перед выпуском корневого сертификата CA увеличьте количество дней до 3650, потом верните обратно, для пользовательских сертификатов лучше оставить год или полгода
• в секции [ CA_default ]
  выставить параметр unique_subject в «yes» - это не позволит вам выпустить 2 идентичных сертификата
• в секции [ user_cert ]
  добавить
  ExtendedKeyUsage = clientAuth
• секция для серверов может выглядеть так
  [ server_cert ]
  basicConstraints = CA:FALSE
  nsCertType = server
  keyUsage = digitalSignature, keyEncipherment
  extendedKeyUsage = nsSGC, serverAuth
• в секции [ v3_ca]
  изменить
  basicConstraints = CA:TRUE, pathlen:5
• раскомментировать nsCertType и keyUsage
• добавить
  extendedKeyUsage = serverAuth, clientAuth

Автоматизация выпуска сертификатов

1. отдельно вынесен файл настройки переменных окружения
2. выпуск произвольного сертификата – минимум настроек, задаёт кучу вопросов, позволяет выпустить сертификат, скажем, для партнёров, потом подписать в нашем CA
3. выпуск корневого сертификата CA – вызывается один раз или несколько раз, если строится дерево, ручками
4. выпуск сертификата сервера – понятная штука, openssl вызывается с параметром -extensions server_cert, а в конфиге в секции должны быть нужные параметры, ещё одно отличие – не упаковывается в PFX и создаёт распакованные версии ключей, может понадобится некоторым серверам
5. выпуск сертификата пользователя
6. отзыв сертификата – интересный процесс: из архива (надо делать самому) выданных сертификатов извлекался нужный (по имени, но можно и по серийному номеру), потом по нему уже выполнялся отзыв
7. обновление сертификата пользователя – сначала выполнялся отзыв старого сертификата (батником №6), потом создание нового сертификата (батником №5) для старого ключа
8. обновление списка отозванных сертификатов – простая команда, но в моём случае сопровождалась запуском скрипта на Perl, который препарировал полученный список и помещал его в директорию (адресную книгу, как её ещё иногда называют ) Lotus Domino, оттуда его было проще доставать (через LDAP, что является практически стандартным способом дистрибуции CRL)

Любая крупная компания имеет достаточно большой оборот документов. Сейчас прошли времена, когда все бумаги складировались на года в складах. В настоящее время вся документация отформатирована и хранится в основном в электронной версии. Это значительно экономит пространство в крупных предприятиях, но дарит свои риски. К примеру, вероятность подделки. Поэтому, большинство предприятий, чтобы защитить свои данные используют электронную подпись. Она приобретается в удостоверяющих центрах (центр сертификации).

Такие аппараты организовывают предприниматели. Но, на пути данного бизнеса можно встретить множество преград: вложение больших денег в приобретение оборудования, получение лицензии на такую деятельность, прохождение аккредитации и другое. Тем не менее, можно с уверенностью сказать, что открытие удостоверяющего центра и отдела сертификации вполне прибыльное дело.

В своей работе можно выбрать два направления для действий:

Первый вариант - это открытие центра для работы партнеров по бизнесу. Тогда можно будет объединиться для безопасной работы.

Второй случай подразумевает работу для сторонних предприятий, которым необходима электронная подпись.

Открытие офиса.

К выбору рабочего помещения предъявляют очень высокие требования. В первую очередь поднимается вопрос защиты данных и работников. Месторасположение помещения не играет большой роли. Конечно, более выгодно расположиться в центре города. Ведь, клиенты, желающие получить электронную подпись будут обращаться лично. И если центр сертификации будет находиться на краю города, то клиент может просто полениться ехать так далеко и попробует обратиться к посредникам.

Обращение через посредников или посредством современных коммуникаций невозможно согласно законодательной базе. Размер помещения должен соответствовать количеству работников. В среднем площадь должна быть около 100 метров квадратных. Отдельно стоит предусмотреть расположение технического помещения для размещения оборудования.

Арендная плата за выбранную площадь будет начинаться от 1,7 тыс. $ в месяц. Чаще всего требуется авансовый платеж за аренду.

Персонал.

В качестве руководящего звена необходимо нанять на работу человека с высшим профессиональным образованием по профилю «Информационная безопасность». Также важно, чтобы руководитель прошел переподготовку по одной из специальностей данного профиля. В зависимости от перечня предлагаемых услуг стаж работы такого специалиста будет составлять не менее 3-5 лет.

Без руководящего лица со специальной подготовкой и образованием предприниматель не сможет получить лицензию от ФСБ. Также в штате обязательно должен быть юрист. Еще необходимо пригласить на работу двух специалистов с образованием в области «Информационной безопасности». Они будут нести исполнительную роль, а именно заниматься разработкой криптографии, программного обеспечения, вести регулярную работу в отрасли информационной безопасности. Также необходим администратор и оператор, которые будут вести переговоры с клиентами, заниматься выдачей электронной подписи.

Для маленького города могут возникнуть некоторые сложности с подбором персонала. Ведь, опытных специалистов в данной отрасли не так много. Если организовать бизнес в мегаполисе, то подбирать людей будет гораздо легче. Вот только специалисты высокого уровня четко знают себе цену. В некоторых случаях будет выгодно нанять специалистов с небольшим опытом и вложить средства в их обучение, чем платить высокую цену за полученные навыки.

Зарплата штата работников, состоящая из 6 человек будет составлять не менее 4,5 тыс. $.

Инвестиции в технику и программное обеспечение.

Для работы в отрасли создания удостоверяющего центра и центра сертификации необходимо вложить средства в такие ресурсы:

1. Вычислительные устройства - от 12 тыс. $;
2. Программа с базой данных - от 5 тыс. $;
3. Компьютеры - от 3,5 тыс. $;
4. Сервер - от 2 тыс. $;
5. Программа безопасности - от 500 $;
6. МФУ - от 1,5 тыс. $.

Минимальное количество денежных средств на создание технической базы будет составлять около 25 тыс. $.

Выбирая вычислительные устройства важно опираться на их мощность. Но, чем более производительными будут вычислительные аппараты, тем дороже их цена. Работая с большим количеством клиентов экономить в данном направлении не получится.

Реклама необходима для поиска клиентов и продвижения собственных услуг. В большинстве случаев потребители будут обращаться по собственной инициативе. Задача бизнесмена - дать о своей деятельности полную информацию и контакты компании. Подойдут средства массовой информации. Даже на первых парах работы без созданного и продвинутого в сети сайта обойтись не получится. Также подойдут известные порталы в интернете. В некоторых случаях, а также на заре развития бизнеса стоит заняться поиском клиентов самостоятельно, путем личного обращения.

Основные траты.

Бизнес по созданию удостоверяющего центра и центра сертификации будет состоять из таких вложений:

1. Аренда помещения - от 1,7 тыс. $;
2. Техника и программы - от 25 тыс. $;
3. Персонал - от 4,5 тыс. $;
4. Реклама - от 1 тыс. $;
5. Вложения в разрешительную документацию - от 4 тыс. $.

Стартовым капиталом для начала деятельности в данной отрасли будет сумма в 36 тыс. $.

Прибыль и период для окупаемости.

Выдача электронной подписи - не слишком дорогостоящая услуга. Компания сама устанавливает цену на свои работы, опираясь на конкурентную среду. В среднем, для частного лица электронная подпись будет стоить около 150 $. Организации смогут воспользоваться подобной услугой за сумму, начинающую от 500 $. Для держания на плаву необходимо в месяц выдавать не менее 110 подписей.

Штат сотрудников в количестве 6 человек сможет поднять ежемесячную прибыль в 3,5 тыс. $. В данном случае окупаемость произойдет за 9-12 месяцев.

Клиенты и варианты для развития.

Клиентами в данной отрасли могут выступать любые организации, вне зависимости от объема, желающие защитить свои электронные данные. Также, потребителями становятся люди частного порядке, использующие электронную подпись для личных целей. В качестве дополнительного заработка, можно предлагать клиента такие услуги: мониторинг, обработка и анализ информации, подготовка документов, обновление подписей, услуга перерегистрации и так далее.

Читайте так же:

Сортировка по городу.

Современный документооборот с каждым днем все сложнее становится представить без электронной подписи. Ведь этот инструмент позволяет существенно сократить временные затраты при ведении различных видов хозяйственной деятельности. Попробуем разобраться, что собой представляет электронная подпись, где ее получить, и что такое удостоверяющий центр.

Электронная подпись (ЭП) — это цифровой аналог традиционного рукописного автографа. Ее используют для придания юридической силы электронным документам. В современном законодательстве вопросы, связанные с этим инструментом, регламентирует Федеральный закон № 63-ФЗ от 06.04.2011 .

Виды электронной подписи

С технологической точки зрения, ЭП является сложным комплексом, включающим в себя программное обеспечение, место хранения ключа и непосредственно сам ключ, или сертификат. Последний представляет собой криптографический алгоритм, в котором зашифрованы данные, идентифицирующие владельца подписи. В физическом выражении ЭП выглядит как флеш-накопитель или смарт-карта.

Существуют два вида ЭП — простая и усиленная. Второй вид подразделяется на неквалифицированную и квалифицированную. Документ, подписанный простой ЭП, приравнивается к бумажному только по договоренности сторон. Неквалифицированная усиленная подпись является аналогом заверения печатью, и по своему действию схожа с простой подписью. Квалифицированная подпись автоматически приравнивает заверенный ею электронный документ к бумажному. Существующая градация основана на степени защиты, которую обеспечивает ЭП документу.

Удостоверяющие центры для получения ЭЦП

Удостоверяющий центр ЭЦП — это организация, играющая роль администратора по выдаче и обслуживанию сертификата ключа. Таким образом, он занимается непосредственно созданием сертификатов, их проверкой, установлением срока действия, аннуляцией и учетом.

В удостоверяющий центр необходимо обращаться только при получении усиленной подписи. Квалифицированные ЭП имеет право выдавать только аккредитованный Минкомсвязью России УЦ. Неквалифицированную может выдать не аккредитованный ведомством центр, но имеющий аккредитацию одной из шести федеральных торговых площадок. Простую подпись можно получить в других инстанциях, например, на портале «Госуслуги».

Удостоверяющий центр Федерального казначейства: получение ЭЦП

УЦ Федерального казначейства занимается созданием сертификатов ЭП. Его структура включает УЦ сертификации, региональные УЦ, а также удаленные региональные УЦ.

Для получения ЭП в этом или другом центре необходимо предоставить определенный пакет документов, состав которого может различаться в зависимости от требований каждой конкретной организации. Для получения услуги юридическим лицом нужны следующие документы:

• свидетельство ОГРН;
• документ о назначении руководителя;
• паспорт клиента (владельца сертификата);
• СНИЛС.

Физическим лицам нужно предоставить:

• паспорт;
• СНИЛС;
• ОГРНИП, если клиент является ИП.

Скорость выдачи ЭП зависит от того, насколько быстро клиент предоставит необходимые документы, а также от скорости обработки запроса сотрудниками центра. Обычно эта процедура занимает один рабочий день.

Выбор надежного УЦ

Центр выдачи электронных подписей должен отвечать современным техническим и юридическим требованиям. Ведь от его корректной работы зависят все сферы предпринимательской деятельности, где используются электронные подписи. Соответственно, при выборе УЦ стоит обратить внимание на следующие факторы:

• имеется ли аккредитация Минкомсвязи;
• наличие лицензии ФСТЭК на осуществление деятельности, связанной с технической защитой информации;
• наличие лицензии Центра по лицензированию, сертификации и защите государственной тайны ФСБ России;
• является ли доверенным центром ФНС, ПФР и Росстата;
• наличие аккредитации на торговых площадках Госзакупок;
• длительность работы;
• наличие представительств в регионах;
• имеется ли круглосуточная служба технической поддержки.

Кроме этого, на официальном сайте Минкомсвязи имеются списки УЦ, имеющих аккредитацию, и тех, которые ее лишены.

Если по каким-либо причинам возникают сомнения в подлинности ЭП, на портале «Госуслуги» можно провести ее проверку в режиме онлайн. Для этого необходимо загрузить файл сертификата.