Как сделать в своём мобильном приложении подписание с помощью ЭЦП?

Question

[VMesser]

У меня в веб-приложении сейчас уже реализовано подписание через КриптоПро Browser Plugin. Пользователь делает подписание, не выходя из бизнес-системы. Хотел бы реализовать аналогичную функцию в мобильном приложении или PWA в обёртке.

Сценарий.

Пользователь открывает моё приложение, прикладывает документ, подписывает ЭЦП.
Приложение Android, IOs, либо PWA в обертке приложения.

Цель: организоать подписание, не выходя из мобильного приложения бизнес-системы.

Как альтернатива, я так понимаю: поставить КриптоПро CSP на телефон, подписать файл, потом файл и отсоединенную подпись загрузить в моё приложение.

Речь сейчас о подписях из российских УЦ.

Возможно ли такое без танцев с бубном для пользователя? И если лучше просто проставить СКЗИ на телефон и потом руками загружать файлы - то какие есть особенности? Что с IOs?

Такое вообще распространено, так делают на массового пользователя?

Answer 1

[Василий Банников]

Да, так делают, криптопро csp или другой csp можно встроить в приложение.

Но:
1. Нужно покупать лицензии с запасом. Если у тебя 100к установок приложения, то нужно 100к лицензий.
У криптопро есть вариант чуть более дешёвых лицензий для мобильных приложений с использованием цифрового рубля. Если у тебя приложение не работает с цифровым рублём, то только фуллпрайс - 3700р за штуку. 100к установок - 3 миллиарда и 700 миллионов рублей только на лицензии CSP. А ещё тебе наверняка понадобится техподдержка и серверные компоненты.

Вероятно есть смысл зайти к ним отдел продаж и договориться о каком-нибудь более выгодном предложении. Либо использовать не криптопро, а что-то другое.

2. Внимательно прочитай "Постановление Правительства РФ от 16.04.2012 N 313"
3. Внимательно прочитай "Положение ПКЗ-2005"

Чистый PWA не получится использовать. Работа с CSP или мобильным SDK другого решения должна быть в нативной части приложения.

UPD: дополнение к Пума Тайланд. Есть ещё вариант с КриптоПро Ключ (который по сути DSS 3.0). С ним возможно выйдет дешевле, так как стоимость лицензий будет расти не так быстро от количества пользователей, как в случае с использованием CSP + будет защита от компрометации ключей в случае компрометации устройства пользователя, но тут будет гораздо сложнее инфраструктура на стороне сервера. Надо смотреть на конкретный сценарий подписания.
https://cryptopro.ru/sites/default/files/products/...
(там сразу в конце идёт список того, что можно/нужно купить)

Оба способа требуют получения лицензий от регуляторов.

Так что считай, что будет выгоднее - использовать имеющуюся схему, когда пользователь сам загружает подписанный самостоятельно документ в приложение или сделать подписание внутри приложения.

Comments

[VMesser]

Спасибо за развёрнутый ответ, очень мощно!

Можете ли раскрыть тему про регуляторов? Вы имеете в виду, что моё ПО (моб. приложение) становится чем-то вроде СКЗИ и само по себе должно получить лицензию?

И в случае с Ключом я так понимаю, что если подпись на сервере, то он должен хранить серты пользователя? То есть его надо будет попросить так же их как-то на сервер передать для начала?

Речь о простом бизнесовом сценарии: бизнес-пользователь с улицы имеет флешку с ЭЦП от ФНС по жизни, пришёл в приложение, хочет что-то подписать, встаёт вопрос: чем подписывать он будет? Мы его не нагружаем влешку в телефон по переходнику вставлять. Какие могут быть его действия?

[Василий Банников]

VMesser,

Можете ли раскрыть тему про регуляторов? Вы имеете в виду, что моё ПО (моб. приложение) становится чем-то вроде СКЗИ и само по себе должно получить лицензию?

Нет. Лицензию должна получить организация, как разработчик продукта, в котором используется СКЗИ.
Это написано в "Постановление Правительства РФ от 16.04.2012 N 313"

И в случае с Ключом я так понимаю, что если подпись на сервере, то он должен хранить серты пользователя? То есть его надо будет попросить так же их как-то на сервер передать для начала?

1. Не нужно путать сертификат и ключ
2. Закрытый ключ (который используется для формирования подписи) запрещено передавать третьим лицам

Мы его не нагружаем влешку в телефон по переходнику вставлять. Какие могут быть его действия?

Носитель ключа должен быть подключен к устройству, на котором происходит подписание.
Ключ очень часто неизвлекаемый.

Так что либо вставлять флешку, либо изначально генерировать распределённый ключ, чтобы часть была на сервере, а часть была в памяти телефона.

Как конкретно происходит подпись с использованием ключа пользователя и как конкретно выпускаются ключи - лучше посмотрите в документации криптопро.

[VMesser]

Спасибо, и последний внезапный вопрос, в связи с тем, что вы мне открыли целую вселенную: если я на веб-сайте сделал подключение к КриптоПро Браузер плагину - это тоже под ПП 313 попадает?

[Василий Банников]

VMesser, по идее не должно подпадать, но тут лучше уже с юристами пообщаться.

[Василий]

Да не пугай человека. У крипто про есть облачное решение. Ты ты там заводишь пользователей. Отправляешь туда док и id пользователя они тебе подпись и док обратно.

Answer 2

[Пума Тайланд]

Для массовки без плясок — КриптоПро Ключ / DSS (серверная подпись через API, юзер только подтверждает в приложении). Android дополнительно: SDK + Рутокен NFC, можно in-app. iOS: NFC-сценарии тоже есть. PWA без нативного bridge к CSP: мимо.

Comments

[VMesser]

Спасибо!
Впрос по простому сценарию: внешний бизнес-пользователь ничего ни в чем не понимает, у него флешка из ФНС и кнопка подписания в приложении. Что ему сделать, чтобы подписать? Выпустить через Ключ новую подпись? Я соответсвенно должен его буду убедить, что это всё это имеет силу?
Пытаюсь оценить возможности Ключа с точки зрения клиентского пути. Возможно прикладывать руками для него будет проще, потому что понятнее.

[Пума Тайланд]

С флешкой ФНС напрямую в мобиле не подпишешь — нужен новый облачный сертификат через Ключ/DSS. Юридическая сила та же, это КЭП. Но если юзеры уже живут с токеном — загрузить подписанный файл реально проще для старта.

Answer 3

[Oleg A]

Может встроить в БП приложение Госключ? в нем можно подписывать как УНЭП, так и УКЭП

Comments

[VMesser]

Я правильно понимаю, что там надо:
1. Разработчику получить доступ к API Госуслуг
2. Пользователю выпустить себе Госключ
3. В мобильном приложении осуществлять серверное подписание по API, на клиенте будет просто отправка документа в Госключ и получение sig

[Oleg A]

Да, выглядит что так. Возможно в этом списке не все так страшно. Затраты на лицензии от КриптоПро выглядят страшнее, но тут кому как.
Знаю, что Госключа очень не плохие каналы в ТГ.