Что означает аутентификация и авторизация с ЭП на стороне клиента?

Question

[Максим Иванов]

Вот я написал форму авторизации (логин и пароль), по сути это однофакторная авторизация, у заказчика стоит требования, производить аутентификация и авторизацию по учетной записи (логину и паролю) с ЭП.

Электронная подпись на стороне клиента в веб-интерфейса вызывается сторонними chrome-плагинами, но вот вопрос, какие данные-то подписывать? Разве так делаю, подписывают логин и пароль? Или я чего-то не понимаю?

Answer 1

[Андрей]

Сервер должен сгенерировать небольшой (например, 16 байт), но уникальный (никогда не повторяющийся) текст, а клиент его подписать. После этого сервер проверяет, тот ли самый текст подписал клиент, и если текст верный и подпись верна, то клиент аутентифицирован. Чтобы гарантировать уникальность текста обычно в него включают текущие дату/время с высокой точностью, например, до миллисекунд по часовому поясу, не имеющему летнего времени, например, UTC (чтобы избежать риска повтора в час перевода стрелок назад).

P.S. Рекомендую: Menezes, et al. Handbook of applied cryptography, 10.3.3, раздел (ii)

Answer 2

[Владимир Дубровин]

Совершенно не обязательно использовать сторонние плагины, можно использовать аутентификацию посредством клиентского сертификата https://.

Comments

[Максим Иванов]

а что такое клиентский сертификат?

[Владимир Дубровин]

Максим Иванов: клиентский сертификат SSL - сертификат который запрашивается у пользователя при подключении к серверу по SSL/TLS (https). Сертификат с приватным ключем хранится в браузере (или в системном хранилище у пользователя). Инструкций по генерации сертификатов и настройке Apache можно найти достаточно, например
it-free.ru/ssl_avtorizaciya