Рутокен WEB PKI Edition

Решение Рутокен WEB уже достаточно известно на рынке и внедрено в ряд систем ЭДО и web-сервисов. Для интеграции с системами, использующими цифровые сертификаты, нашей компанией создано решение Рутокен WEB PKI Edition, основные характеристики которого представлены ниже:

• работает в браузере
• кроссплатформенность и мультибраузерность
• для установки не требуются права системного администратора
• поддержка российских криптографических алгоритмов (хэш по ГОСТ Р 34.11-94, электронная подпись по ГОСТ Р 34.10-2001)
• поддержка запросов на сертификаты PKCS#10, сертификатов X.509, подписанных сообщений CMS

Для демонстрации возможностей решения создан демонстрационный интернет-банк — pki.rutokenweb.ru

Подробности под катом.

Итак, что умеет плагин.

• Получать список всех подключенных к компьютеру USB-токенов Рутокен ЭЦП или Рутокен WEB
• Получать модель устройства
• Получать метку устройства
• Осуществлять логин на устройство
• Осуществлять логаут с устройства
• Получать список всех ключевых парт ГОСТ Р 34.10-2001 на выбранном USB-токене
• Аппаратно генерировать ключевую пару ГОСТ Р 34.10-2001 на выбранном USB-токене
• Получать метку ключевой пары
• Устанавливать метку для ключевой пары
• Формировать запрос на сертификат в формате PKCS#10 для выбранной ключевой пары (поддерживаются расширения, необходимые для получения квалифицированного сертификата)
• Импортировать на устройство сертификат формата X.509, переданный в виде base64-строки
• Удалять выбранный сертификат с устройства
• Получать информацию, содержащуюся в сертификате X.509 (DN, keyUsages, extendedKeysUsages и т.п.), с поддержкой расширений квалифицированного сертификата. При этом сертификат не обязательно должен уже быть импортирован на токен
• Выдавать информацию о сертификате в виде текста для печати
• Получать список сертификатов, хранящихся на устройстве. Опционально можно задать поиск только тех сертификатов, которые связаны с закрытым ключом
• Осуществлять подпись строки в формте CMS. Опционально строка может быть перекодирована из base64 и подписан бинарный массив.
• Проводить процедуру аутентификации по сертификату (подпись случайных данных)

Теперь немного о логике работы Демо-банка, который является важным примером интеграции плагина.

Демо-банк позволяет пройти процедуру регистрации, после которой пользователю на токен будет записан сертификат и у пользователя появится его личный кабинет, в котором он сможет аутентифицироваться по сертификату. На счет пользователя будут зачислены средства и через личный кабинет можно будет провести платеж, подтвердив его электронной подписью.

1. Главная страница

Для того, чтобы пользователь мог начать работу с банком требуется в разделе Загрузить скачать и установить плагин, соответствующий ОС пользователя. После этого следует пройти процедуру Регистрации.

2. Регистрация

При регистрации на токене пользователя аппаратно генерируется ключевая пара ГОСТ Р 34.10-2001 и для нее формируется самоподписанный запрос на сертификат в формате PKCS#10. В качестве поля Common Name сертификата используется логин, указанный пользователем. Запрос отправляется на сервер и по нему выдается сертификат X.509, который затем записывается на токен пользователя. Сертификат сохраняется в базе данных сервера и «привязывается» к аккаунту пользователя.

При желании можно посмотреть запрос в виде PEM-строки и сертификат.

3. Авторизация

При авторизации Демо-банк производит поиск всех подключенных к компьютеру токенов, а затем на каждом из них поиск всех пользовательских сертификатов, связанных с закрытым ключом. Формируется список сертификатов, в котором каждый сертификат представлен Common Name. При выборе пользователем нужного сертификата вызывается функции аутентификации, в которую передаются случайные данные, пришедшие с сервера. Функция аутентификации добавляет к этим данным дополнительный рэндом и затем подписывает результат закрытым ключом, связанным с сертификатом. В итоге формируется «присоединенная» подпись в формате CMS, которая отправляется на сервер. Сервер производит проверку подписи, с выстраиванием цепочки, сверяет «присоединенные» данные и авторизует пользователя в личном кабинете по сертификату, содержащемуся в сообщении CMS.

И вот вы в личном кабинете

4. Подпись платежа

Демо-банк эмулирует работу платежной системы — через него можно провести платеж, заверив его подписью.
При формировании подписи используется тот же сертификат, что и при авторизации в личном кабинете. Заверенный подписью платеж отправляется на сервер, где по результатам проверки подписи принимается.

На сайте Демо-банка имеется раздел API, в котором можно ознакомиться с описанием функциональности браузерного плагина. Если требуется задать вопросы по решению, обращайтесь на форум forum.rutoken.ru/forum/8/