Как проверяется ЭЦП от разных удостоверяющих центров?

Question

[ryzhak]

Здравствуйте.

У нас есть логистическая компания, которая владеет огромным складом. На складе различные транспортые компании хранят свои товары.

Нам нужно организовать электронный документооборот между нашей компанией и различными транспортными компаниями в веб интерфейсе.

Пример:
1. В веб интерфейсе создается документ
2. Мы загружаем подписанный ЭЦП с нашей стороны документ
3. Представитель компании скачивает подписанный нами документ, затем подписывает его со своей стороны, затем загружает обратно в веб интерфейс.

У разных транспортных компаний разная ЭЦП от разных удостоверяющих центров.

Вопрос: как проверить, что ЭЦП действительно была добавлена транспортной компанией, чтобы договор имел юридическую силу?

У КриптоПро есть утилита cryptcp https://www.cryptopro.ru/products/other/cryptcp с методом verify. Она проверяет подпись только тех ЭЦП, которые выданы удостоверяющим центром КриптоПро или по всем удостоверяющим центрам России? Как можно будет понять, что подпись создана сертификатом, выданным в УЦ, а не сгенерированным самостоятельно?

Надеюсь вопрос понятен.

Thanks in advance.

Answer 1

[АртемЪ]

Это просто решается добавлением корневых сертификатов в доверенные.
Если вы доверяете УЦ выдавшему сертификат, он у вас в доверенных, как и все выданные этим УЦ сертификаты.
Если у контрагента самодельный сертификат, или выданный неизвестным вам УЦ - корневого сертификата этого УЦ разумеется у вас в доверенных не будет, и номер не пройдет.

Comments

[ryzhak]

Получается нужно для всех аккредитованных УЦ(а их 463 согласно minsvyaz.ru/ru/activity/govservices/2/) добавить корневой сертификат и постоянно следить за его актуальностью? Может есть какой нить онлайн сервис с API для проверки таких вещей?

Answer 2

[other_letter]

Вообще есть специальные сервисы, которые это делают. Цена - грубо - несколько рублей за документ. И это в целом обычно выгоднее, чем рожать свой сервис.

А так - АртемЪ написал верно. Настраиваете доверие к выдавшим сертификат организациям.