4

Здравствуйте. Задача такая: создается мобильное приложение с базой данных предприятий; при регистрации нового предприятия (и одновременно, первого пользователя регистрируемого предприятия) нужно, чтобы приложение точно устанавливало факт того, что данный пользователь реально является сотрудником (представителем) регистрируемого предприятия.

Пока исследуем первый вариант решения задачи: у каждого предприятия есть свои ЭЦП - для сдачи отчетностей, для ДБО и т.д. Они уникальны и никому не передаются (по понятным причинам). Мысль такая: раз пользователь идентифицирует себя представителем предприятия путем ввода ключа этого предприятия, то он на это уполномочен (если не считать криминальных ситуаций воровства ключей злоумышлинниками).

Вопрос: возможно ли как-нибудь использовать эти имеющиеся у предприятия сертификаты ЭЦП для идентификации пользователя в качестве представителя этого предприятия при регистрации в базе данных через мобильное приложение??

Понятно, что не путем вставки токен-флешки в несуществующий USB-порт устройства; может быть вводом какой-то информации?

Понимаю, что специалисту по ЭЦП вопрос может показаться смешным и абсурдным, но я обязан исследовать все варианты. Пожалуйста, не скупитесь на свои предложения.

6
  • А почему не существующий? Я так понимаю, что мобильное приложение - это клиент, весь драйв в облаке?
    – Чад
    27 янв 2017 в 6:17
  • 1
    Не существующий, потому что на android-устройствах не предусмотрены полноразмерные USB-порты. А кабель-переходник далеко не каждый с собой носит.
    – Logist-111
    27 янв 2017 в 6:32
  • Весь драйв в приложении.
    – Logist-111
    27 янв 2017 в 6:33
  • 1
    Боюсь вам придется регистрировать пользователей только когда им доступен USB. Потому как заставлять пользователя вводить ручками данные подписи и еще чего доброго сертификата (если на этот момент вы сертификат этой компании не видели) это как то перебор, там большой шестнацетиричный дамп. Да и что бы его получить пользователю все равно придется подойти к компу с USB
    – Mike
    27 янв 2017 в 7:22
  • @Mike, Тогда возникает вопрос, для чего "в любом западном легальном Android устройстве хранятся корневые сертификаты крупнейших удостоверяющих центров (типа VeriSign, Thawte и проч.), с помощью которых легко можно понять кому принадлежит полученный ЭЦП" ?? Не с кабелями же ходят западные users. Значит как-то по-другому. Возможно, изначально сами токен-"флешки" изготавливают в формате microUSB.
    – Logist-111
    27 янв 2017 в 19:17

1 ответ 1

3

Ничего смешного и абсурдного в этом вопросе нет.

Российский стандарт ЭЦП "слегка" отличается от западных стандартов digital signature. Стандарт описан в ГОСТ Р 34.10-2012

По идее все российские ЭЦП должны соответствовать указанному стандарту, но, как говорится - в жизни бывает всякое.

ЭЦП на уровне данных, это по сути 2 набора данных: публичный ключ и приватный ключ. Приватный ключ никому не передается и хранится у обладателя. Публичный ключ рассылается всем желающим, то есть в рамках вашего сценария - предприятие высылает вам свой публичный ключ, чтобы получить доступ к вашему бесценному приложению.

Теперь внимание, вы должны понять, что публичный ключ принадлежит тому кто вам его выдал. Для этого существуют сертификаты публичных ключей. Вся фишка именно в этом. Если бы дело касалось западных digital signature, то в любом легальном Android устройстве хранятся корневые сертификаты крупнейших удостоверяющих центров (типа VeriSign, Thawte и проч.), с помощью которых легко можно понять кому принадлежит полученный ЭЦП. Российские корневые (квалифицированные) сертификаты надо получать в соответствующем удостоверяющем центре, в котором получен ЭЦП. Этих центров у нас прямо скажем много... При этом большинство из них не идентифицируют друг друга. На всякий случай корневой сертификат налоговой здесь, а Сбербанковский здесь - в общем понятно надеюсь.

Ближе к программированию. Упомянутый выше ГОСТ реализован в Bouncy Castle - для тех кто в танке - это один самых известных публичных API реализующих почти все мыслимые и немыслимые криптографические алгоритмы. И что особенно приятно, Bouncy Castle реализует алгоритмы в качестве стандартного Java Cryptography Extension провайдера.

Для Андроида есть специальный порт Bouncy Castle - называется Spongy Castle

Проверка юзера должна сводиться к:

  1. Получить корневой сертификат удостоверяющего центра
  2. Получить сертификат публичного ключа юзера
  3. Сверить его на валидность с корневым сертификатом удостоверяющего центра

Все это можно сделать программно (хотя и не просто...)

Далее уж гуглите сами на тему validate+certificate+java

5
  • Аж в животе защекотило от радости...
    – Logist-111
    27 янв 2017 в 17:56
  • А если серьезно, то сразу обратил внимание на то, что публичный ключ может предоставить кто угодно (ведь он публичный). Походу вопрос по данному варианту близится к закрытию.
    – Logist-111
    27 янв 2017 в 18:02
  • Коли уж Вы обрадовали меня рассказав о digital signature в западных android-устройствах, может Вам известно, как чисто технически это используется на западе? В комментариях к основному вопросу есть точка зрения, что придется регистрировать пользователей только когда им доступен USB, чтобы тупо фтыкать свисток.
    – Logist-111
    27 янв 2017 в 19:25
  • Иронию на полтона пониже, коллега и будет щекотать и дальше. Вообще меня всегда удивляло как малообразованные люди разводят несчастных заказчиков :)
    – Barmaley
    29 янв 2017 в 9:56
  • Никакой иронии не было, и сейчас нет. Вы неправильно представили мой тон при прочтении своим внутренним голосом моих комментариев на Ваш ответ, который действительно хорош и полезен. Я сначала удивился, но после прочтения своих же комментариев в контексте якобы "иронии", увидел иронию, и сам расстроился. Извините, сам не ожидал, реально не хотел. Все комменты искренние, представьте при их прочтении тон искренней радости зелёного программиста, не знавшего о digital signature, и только-только начавшего получать более-менее серьезные задачи. За ответ Спасибо - быстро, развёрнуто, без лишней воды.
    – Logist-111
    29 янв 2017 в 15:28

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими пользовательским соглашением, политикой конфиденциальности и политикой о куки

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.