Добрый день.


То есть клиент работал через какое-то приложение с ЕГАИС, потом решил попользовать данный токен в КриптоПро CSP (какой версии, кстати?) и какими-то действиями заблокировал токен? Учитывая, что там не менее 10 попыток ввода пароля, довольно странный сценарий.


Это верная информация. Данный документ был выпущен по результатам совместных испытаний. JaCarta PKI/ГОСТ поддерживается как ключевое хранилище в провайдерах CSP 3.9 и CSP 4.0. Что такое JaCarta SE я не знаю, такого токены мы не встречали и заключение на работу с ним не выдавали.


Конечно. Если токену 10 раз предъявили неправильный пароль, то он будет заблокирован. Более того, любое ПО, которое использует токен, может его заблокировать. Например, "Единый клиент JaCarta". Кстати говоря, его же через ЕК можно и разблокировать с помощью пароля администратора. На что ушло два дня, не очень понятно.




КриптоПро CSP 3.9/4.0 не используют токен как СКЗИ (не вызывают криптографические функции). Оценка влияния ФСБ, насколько мне известно, в данном случае не нужна. Ответственные за эти вопросы коллеги отпишут чуть позже.

В JaCarta SE всего 3 (три) попытки ввода пароля. Не угадал - на выброс ключ. Нельзя разблокировать.
Для работы в ЕГАИС токен всегда был подключен к ПК. Насколько я понимаю, КриптоПро закэшировал пароль от другого токена JaCarta (для отчетности) и в какой-то момент обращался к JaCarta SE с неправильным паролем. У нашей компании нет продаж алкоголя и настроенного JaCarta SE. Промоделировать ситуацию мы не можем. Поверять на других клиентах не будем. Дорого.
ЕГАИС глобальная система с большим количеством клиентов. Неужели вообще до этого не проверяли как оно работает?


Ну так в Аладдин говорят, что JaCarta SE это JaCarta PKI/ГОСТ. Что совместная работа оттестирована. Но на вопрос как это все работает с ЕГАИС - тут конкретного ответа не дают.
Мне бы получить некое заключение, что установка ПО КриптоПро не сказалась на работе с системой ЕГАИС и не могла привести к блокировке JaCarta SE. Но пока только понятно, что они как раз как-то и должны были начать друг с другом работать.


Так два дня ушло на получение нового токена с ключом к ЕГАИС. Теперь клиент заказал два таких ключа, чтобы избежать простоя. Так им посоветовали в точке продаж. А заблокировать само устройство не проблема - 3 попытки ввода пароля. В Яндекс вводим "егаис jaсarta заблокирован" и видим массовое явление.

Это невозможно. Пароли сохраняются с уникальным номером носителя. Так что если там что-то и записано для другого токена, то будет проверяться только на нем. Если же был записан пароль от этого токена, потом его как-то снаружи поменяли на другой машине и вернули обратно, то после первой попытки пользователя просят ввести правильный.


Если это прямо ровно PKI/ГОСТ с другой наклеечкой на корпусе, то мы ручаемся за его поддержку. Я только не понимаю, причем тут вообще ЕГАИС. Эти же системы никак КриптоПро CSP не используют. Они, вроде, вообще RSA-шные, а не ГОСТ-овые. То есть, пользователь использовал флешку в программе А, потом поставил программу B, которая умеет работать с флешкой совсем по другим сценариям, сломал, а теперь жалуется, что программы А и B не совместимы друг с другом. Где-то тут изъян в логике.

Спросил. Будет ответ - сообщу.


Ни в какую работу вы не вмешались. У "КриптоПро CSP" на токене выделенное место, где мы храним свои ключи. Их умеет использовать только CSP. Ключи, которые использует ЕГАИС, находятся в другом месте. Единственное, что пересекается, - это работа с паролем токена. Любые команды, которые отправляют в токен, засинхронизированы на уровне операционной системы. Единственный способ заблокировать токен - неверно предъявить пароль N раз через любое ПО. Всё в рамках документации.


Практически не сомневаюсь, что возможно. Это даже не зависит от ответа на вопрос, равно ли PKI/ГОСТ и SE.

Еще раз. От того, совместим ли токен с КриптоПро CSP или не совместим, совершенно не зависит возможность пользователя его сломать. Про оценку влияния вообще очень странная логика. Даже, допустим, если это было бы так (что неправда), какое это имеет отношение к вашему вопросу? Как вообще в теории можно пользоваться токеном так, чтобы его нельзя было заблокировать? Это же его неотъемлемое свойство - быть, как минимум, "флешкой с паролем".

Я тоже параллельно провел исследование. Вы чуть раньше меня написали.
Но у меня другие результаты. И это уже интересно.
См. описание JaCarta SE
https://ca.kontur.ru/articles/313

СКБ Контур так же подтвердил, что Jacarta SE это НЕ PKI/ГОСТ !
Токен JaCarta SE PKI/ГОСТ сочетает в себе возможности трех приложений, или апплетов
— Приложение «ГОСТ» позволяет формировать квалифицированную электронную подпись при помощи сертифицированной реализации российских криптографических алгоритмов ГОСТ Р34.10-2001, ГОСТ 28147-89 и ГОСТ Р34.11-94. Алгоритмы реализованы на самом устройстве, что повышает безопасность использования ЭП — ведь ключ подписи никогда не покидает токен, его невозможно использовать или скопировать без ведома владельца.
— Приложение «PKI» используется для строгой 2-х или 3-х факторной аутентификации пользователей в различных информационных системах.
— Приложение «SE» реализует фискальные функции внутри токена — считает количество операций, совершенных с приложением «ГОСТ» и хранит их журнал.


PKI/ГОСТ - это два первых апплета. БЕЗ ТРЕТЬЕГО! Который реализует фискальные функции!

А вот еще
https://egais.center-inf...gais/nositel-jacarta.php
Для аппаратного крипто-ключа JaCarta SE не требуется дополнительный криптопровайдер (например, КриптоПро CSP), т.к. он уже находится внутри JaCarta SE.


Вообщем я понимаю, что мы косякнули, но КОЛЛЕГИ - КАК ТАК-ТО?


JaCarta SE с 16 го года в ЕГАИС. Все люди мучаются - токены блокируются. Ответ производителя - сами виноваты. Покупайте новый токен.
Или еще один, а этот по гарантии заменим.

Я понимаю, что это выгодно производителю токенов. Но вы ж с этого не зарабатываете, а только теряете.


Страшно спрашивать как в ЕГАИС Рутокен 2.0 работает с CSP.
Он же тоже встроен в Криптопро csp? Он же то же СКЗИ и не как флэшка?



Вообщем ситуация видится так.
Вы вместе с Аладдин протестировали некоторые модели.
А далее Аладдин продолжает штамповать новые модели и активно распространяет их на рынке. А все косяки - наши и ваши.
Просто удивительно - ведь JaCarta SE на рынке с 16 го года!!!!!


А формуляры на свои СКЗИ производители токенов предоставляют? Возможно их вообще использовать без оценок влияния и проверки корректности встраивания?