Программно-аппаратный комплекс КриптоПро DSS 2.0 предназначен для централизованного выполнения действий пользователей по созданию электронной подписи (ЭП), управления сертификатами и других криптографических операций с использованием ключей, хранимых в ПАКМ КриптоПро HSM [1] (дистанционная («облачная») подпись), локально в мобильном приложении [2] (мобильная подпись) или на рабочем месте пользователя (DSS Lite [3]).
КриптоПро DSS 2.0 обеспечивает:
- создание электронной подписи любого формата электронного документа;
- отсутствие необходимости в установке клиентской части на стационарное рабочее место при работе с неквалифицированной подписью;
- отсутствие необходимости в установке клиентской части на стационарное рабочее место при установке клиентских компонент на мобильные устройства;
- возможность работы с квалифицированной электронной подписью в случае использования комплектаций, имеющих сертификаты соответствия требованиям ФСБ России (требуется установка указанных в документации на данные комплектации клиентских компонент);
- широкий охват платформ и устройств, с которых пользователь может работать с КриптоПро DSS;
- снижение стоимости развертывания и владения инфраструктурой ЭП, т.к. нет необходимости установки средства ЭП на каждое стационарное рабочее место пользователя, а управление всей инфраструктурой сосредоточено на одном сервере;
- снижение риска компрометации ключей пользователей за счёт их централизованного защищённого хранения;
- возможность использования стандартного интерфейса CryptoAPI с помощью дополнительного модуля КриптоПро Cloud CSP [4] на базе КриптоПро CSP версии 5.0 [5] для обеспечения совместимости с традиционными приложениями;
- возможность работы с локальными ключами электронной подписи на рабочих местах пользователей (режим КриптоПро DSS Lite [3]);
- возможность работы с локальными ключами электронной подписи на мобильных устройствах пользователей (режим мобильной подписи [6]);
- лёгкость встраивания функций создания ЭП в прикладные системы за счёт наличия простых интерфейсов автоматизации на базе стандартных средств протокола HTTP и веб-сервисов (API), включая SOAP и REST;
- возможность усиления ранее созданной электронной подписи до усовершенствованного формата (CAdES-T или CAdES-X Long Type 1) путем добавления штампов времени и информации о статусе сертификата.
- возможность применения различных схем аутентификации пользователя для доступа к его ключам, включая возможность интеграции со сторонними центрами идентификации по протоколам SAML (WS-Security) и OAuth (в т.ч. с корпоративным доменом на безе MS AD и OpenLDAP);
- централизованное /локальное шифрование/расшифрование электронных документов;
- пакетная обработка электронных документов (подписание/шифрование по API одной командой набора однотипных электронных документов);
- Поддержка нескольких экземпляров сервисов электронной подписи и центров идентификации с различными параметрами настройки функционирования на одном сервере КриптоПро DSS
- Визуализация (отображение) подписываемых электронных документов формата PDF, docx, txt, xml. Возможно расширение перечня форматов отображаемых файлов.
- создание видимой подписи с логотипом и текстом и в виде изображения (image appearance) с учетом требований Приказа Минкомсвязи и ФСО России от 27.05.2015 №186/258При для документов формата PDF с использованием API (SOAP/REST);
- возможность интеграции с корпоративными хранилищами документов, поддерживающими стандарт CMIS;
- возможность кастомизации графического веб-интерфейса (цветовой гаммы, логотипов, шрифтов и т.п.) в соответствии с корпоративным стилем и требованиями Заказчика.
Обращаем внимание: до издания ФСБ России требований, предусмотренных пунктом 2.1 части 5 статьи 8 Федерального закона "Об электронной подписи", и до осуществления подтверждения соответствия КриптоПро DSS 2.0 изданным требованиям комплекс не может применяться для реализации функций, предусмотренных частью 2.2 статьи 15 Федерального закона "Об электронной подписи".
Поддерживаемые форматы электронной подписи
- Необработанная электронная подпись ГОСТ Р 34.10-2012 (и ГОСТ 34.10-2001);
- Усовершенствованная подпись (CAdES-BES, CAdES-T и CAdES-X Long Type 1);
- Подпись XML-документов (XMLDSig);
- Подпись документов PDF;
- Подпись документов Microsoft Office.
Требования к окружению
КриптоПро DSS 2.0 предоставляет пользователям интерактивный веб-интерфейс для управления криптографическими ключами и создания ЭП под документами, которые пользователь загружает на КриптоПро DSS. Для работы с данным интерфейсом в случае неквалифицированной подписи необходим лишь веб-браузер.
При встраивании КриптоПро DSS в системы возможна работа через мобильное приложение myDSS, которое получает от сервера уведомления о поступлении документов на подпись и после одобрения операции пользователем отправляет криптографически защищенное подтверждение на сервер КриптоПро DSS.
Безопасность
Создание и хранение ключей электронной подписи пользователей осуществляется с использованием специального защищённого модуля КриптоПро HSM [1]. Каждый пользователь получает доступ к своим ключам после прохождения процедуры надёжной многофакторной аутентификации в КриптоПро DSS. Дополнительно каждый ключевой контейнер защищается индивидуальным ПИН-кодом, который знает и может сменить только владелец ключа электронной подписи.
Пользователями КриптоПро DSS управляет оператор, который имеет возможность посредством веб-интерфейса или API выполнять следующие действия:
- создание пользователя;
- блокирование и удаление пользователя;
- генерация ключа электронной подписи пользователя;
- формирование и передача в удостоверяющий центр запроса на создание сертификата ключа проверки электронной подписи;
- установку полученного сертификата пользователю;
- настройку параметров аутентификации пользователей;
- аудит и формирование аналитической отчетности по выполняемым пользователями операциям;
- сброс пароля в случае его утраты пользователем.
Способы аутентификации
В зависимости от настройки, КриптоПро DSS 2.0 может реализовывать следующие способы аутентификации пользователя:
- классическая однофакторная аутентификация по логину и паролю с дополнительной защитой доступа по протоколу TLS (только для неквалифицированной подписи или при работе в одной контролируемой зоне);
- криптографическая аутентификация по алгоритму HMAC в соответствии с Р-50.1.113-2016 [7] с помощью мобильного приложения myDSS [8] или специального апплета на SIM-карте;
- двухфакторная аутентификация с использованием цифровых сертификатов и USB-токенов или смарт-карт;
- двухфакторная аутентификация с дополнительным вводом одноразового пароля, доставляемого пользователю посредством SMS (OTP-via-SMS) (только для неквалифицированной подписи или в качестве дополнительного фактора аутентификации).
Высокая отказоустойчивость и доступность
Обеспечивается с помощью горячего резервирования и кластеризации всех компонент КриптоПро DSS и КриптоПро HSM с помощью специализированных балансировщиков нагрузки (например, HAProxy [9]) и SQL-кластера на базе технологий MS SQL Server AlwaysOn availability groups.
В случае нарушения функционирования любого из зарезервированных компонентов переключение на резервные, в т.ч. размещенные на территориально-удаленных технологических площадках (Резервных ЦОД), осуществляется автоматически без участия обслуживающего персонала и без потери сохраненных данных.
Мониторинг функционирования и доступности
В составе с КриптоПро DSS может использоваться специальный программный комплекс класса Network Performance Monitoring and Diagnostics (NPMD) "КриптоПро Центр Мониторинга" [10] для мониторинга работоспособности и оперативного уведомления администраторов СЭП о выявленных сбоях, ошибках функционирования и прочих внештатных ситуациях.
[10]
Сервис электронной подписи ООО «КРИПТО-ПРО» [11]
Тестовый сервис электронной подписи [12]
Приобрести ПАК "КриптоПро DSS 2.0" [13]
Загрузить ПАК "КриптоПро DSS 2.0" [14]