Возможна ли авторизация на сайте с помощью эцп?

Question

[EVOSandru6]

Добрый день,

Имеется ли API для разработчиков, чтобы посетители их сайта могли авторизовываться при помощи ЭЦП? К примеру, пользователь при авторизации загружает свой приватный/публичный ключ при регистрации/авторизации. Далее идет некий запрос на гос портал и по результатам ответа я пускаю или не пускаю пользователя в систему. Возможно ли это? Законно ли это? Казахстан - egov.kz

Answer 1

[Сергей Горячев]

На счет законности.
Ты ж делаешь сайт не для школьника Пети, который не знает законов. А для портала госуслуг.
Что, юристов, способных ответить на этот вопрос не нашлось?
Не стоит подобного рода вопросы выливать на Тостер, тут мало профессиональных юристов.
А еще меньше тех, кто реально захочет полностью обосновать свой ответ выдержками из законов.

А по поводу ЭЦП, опять же.
Логичнее спросить на более тематическом форуме, а еще лучше в службе поддержки какого-либо сертификационного центра.
Возможно это натолкнет на мысли.
https://habrahabr.ru/post/123372/

Comments

[EVOSandru6]

Благодарю за ответ! Попробую пойти предложенным путем.

[Сергей Горячев]

EVOSandru6: Просто Тостер - это Тостер. Даже если будут какие-то ответы, полагаться на них 100% нельзя. А тем более у тебя двоольно серьезный вопрос.

Answer 2

[Никита]

Про законность не могу сказать.

Про реализацию, у крипто про есть плагин для работы с шифрованием в браузере, поддерживает эцп, у клиента должен быть ключ с контейнером. почитать тут

Comments

[EVOSandru6]

Благодарю, ознакомлюсь.

Answer 3

[Mi7teR]

пользователь при авторизации загружает

никак нельзя.
вы можете проверить валидность подписи корневым сертификатом нуц www.pki.gov.kz/index.php/ru ,
сам файл ключа загружать куда-либо нельзя. Подписывать на стороне пользователя вы можете файл, строку, что угодно, и потом проверить подпись через криптопровайдер, который работает с сертификатами НУЦ РК.
Криптопровайдер нужно либо написать самому в соответствии с СТ РК 1073-2007, либо использовать существующий, к примеру gamma.kz/product/3

Answer 4

[Кот Абсолютный]

пользователь при авторизации загружает свой приватный/

Вот этого делать ни в коем случае нельзя! Личный ключ не должен куда-либо загружаться вообще - утечка личного ключа означает, что тот, кто его получил, сможет выступать в качестве того, чей ключ он получил и способов распознать их (друг от друга) - не будет. Аутентификация по ключу основана на факте уникального владения ключом субьекта, который аутентифицируется.