Возник вопрос организации работы с ЭЦП в гос.учреждении через терминальный доступ. В связи с этим появились вопросы:

1. Есть ли какие-либо ограничения (правовые или технические) для использования КриптоПро 3.6 CSP в терминальном режиме?

2. Также хотелось бы получить рекомендацию по возможным вариантам для хранилища сертификатов:
видится два варианта: передавать с клиента или хранить на сервере.
Вариант с передачей закрытого ключа с клиента имеет место быть (есть платный софт, который позволяет это сделать, но тогда нужно обеспечивать дополнительную защиту канала и т.д.), но дешевле и проще в реализации хранение на сервере.

2.1 Знакомы ли Вам конкретные требования для хранилищ закрытых ключей ЭЦП при работе в гос.учреждениях?

Прикинув на пальцах решили, что как минимум должен быть организован гарантированный доступ только владельца ЭЦП к его закрытый части (у админа доступа тоже быть не должно). Единственный выход типовыми средствами Windows - использование каталогов на NTFS дисках + шифрование (EFS). Дальше встал вопрос как подружить КриптоПро 3.6 CSP c локальными каталогами. Единственный типовой вариант Windows (известный нам) использование команды subst. Диск действительно эмулируется, но он не съемный, поэтому сходу подружить эмулированный командой subst диск с CSP не получается.

2.2 Возможно ли заставить CSP работать с диском эмулированным посредством команды subst (несъемный диск) как с хранилищем закрытых ключей сертификатов?

Буду благодарен за любые советы или ссылки по данному вопросу.

Добрый день!



Можно уточнить? Выходит, что согласно этому приказу перенаправление смарт-карт (етокенов и т.д.) в RDP сессии не правомочно? Крипто-про, установленный на терминальном сервере обратится к такому токену по сети, попросит у него ключ и ключ пойдет обратно по сети? Тогда етокен в этом случае ничем не отличается от обычной флешки. Или закрытый ключ все же не покидает токен? И этот приказ, насколько я понял, касается только информации с ограниченным доступом. А если, к примеру, необходимо использовать токен только для авторизации на сайте и для ЭЦП информации, которая не является ограниченной?

Отредактировано пользователем 9 ноября 2012 г. 19:22:11(UTC)  | Причина: Не указана

Это не возможно. Техническое ограничение МС. Если только ключик не на етокен поместите, а в реестр.

2.5.1.2. Копирование контейнера закрытого ключа

1. Скопировать контейнер в реестр.
2. Установить сертификат из контейнера, который в реестре.

При генерации не было разрешено экспортировать?

Сервис\Протестировать:
Экспорт ключа - запрещен?