Что такое oid в эцп
Отмена OID на электронных торговых площадках и государственных порталах
1 июля 2020 год вступила в силу часть 2.1 статьи №17 Федерального закона № 63 от 06 апреля 2011 г. в редакции от 08.06.20г. Которая вводит запрет для ряда информационных систем, а так же некоторым электронным торговым площадкам требовать внесения в состав сертификата электронной подписи специального объектного идентификатора OID.
Данный введенный запрет, в основном коснулся федеральных информационных систем. И информационных систем массового пользования организациями и физическими лицами. Деятельность этих систем регулируется различными правовыми нормами и актами. В случае отказа торговой площадки от внесения объектного идентификатора OID, в сертификат электронной подписи. То для работы на такой площадке будет достаточно приобрести обычную Квалифицированную Электронную подпись КЭП.
Торговые площадки по своему трактовали это законодательное нововведение. В связи с этим далеко не все площадки решили отказаться от использования OID в сертификатах КЭП.
На данный момент точно известно, что от использования данного расширения в своей коммерческой секции отказалась ЭТП Газпромбанк. Сейчас появилась возможность зарегистрироваться, и торговать в этой секции использую стандартную квалифицированную электронную подпись.
Но далеко не все торговые площадки отказались от использования в сертификатах ЭП дополнительных OID. Такие площадки как НЭП-Фабрикант и B2B-Center от использования дополнительного расширения не отказались. Но дали возможность регистрации сертификата ЭЦП без требуемого OID. Теперь можно провести регистрацию со стандартной КЭП. Для того чтобы вы смогли использовать свою ЭЦП, вам потребуется заплатить за регистрацию вашей ЭП. На данный момент стоимость регистрации Электронной подписи на ЭТП B2B Center составляет 1600 руб. Стоимость регистрации на ЭТП НЭП-Фабрикант составит 2500 руб. Столько же примерно стоит доплата за данное расширение если купить электронную подпись в УЦ.
Данная тенденция, направленная на отказ в использование в работе дополнительных расширений сохраниться. Поэтому стоит ожидать, что и другие порталы и площадки откажутся от использования OID в своих системах. По этой причине перед покупкой Электронной подписи для торговой площадки. На которой раньше необходимо было использовать дополнительное расширение, лучше уточнить, необходимо ли оно сейчас.
Объектные идентификаторы области использования ключа
Объектные идентификаторы (OID) определяют отношения, при осуществлении которых электронный документ, подписанный ЭЦП, будет иметь юридическое значение.
OID, зарегистрированные в Удостоверяющем центре, включаются состав следующих расширений сертификата ключа подписи: Key Usage (использование ключа), Extended Key Usage (расширенное использование ключа), Application Policy (политики применения сертификата).
В каждый сертификат издаваемый нашим Удостоверяющим центром включаются следующие OID:
Остальные объектные идентификаторы включаются в издаваемый сертификат на основании Заявления на изготовление сертификата ключа подписи.
Перечень объектных идентификаторов используемых в различных информационных системах
Текст ограниченной лицензии КриптоПро CSP
Ограниченная лицензия на использование любого экземпляра программы для ЭВМ СКЗИ «Крипто-Про CSP» версии 3.6 для использования с ключом электронной подписи (закрытым ключом электронной цифровой подписи) соответствующего сертификата ключа проверки электронной подписи (сертификата ключа подписи) жителями города Москвы, работниками органов исполнительной власти города Москвы и работниками иных учреждений и организаций, осуществляющих свою деятельность в интересах органов исполнительной власти города Москвы и/или участвующих в процессах оказания государственных услуг и/или исполнения государственных функций с использованием современных технологий
Что такое сертификат ЭЦП
Из нашей статьи вы узнаете:
Под сертификатом электронной подписи понимают официальное свидетельство, подтверждающее то, что ЭЦП принадлежит определённому человеку. Допускается оформление документа как на бумаге, так и в электронном формате. Благодаря наличию последнего можно проверить, является ли ЭП подлинной.
Для чего нужен сертификат эцп? При отсутствии сертификата никто не сможет использовать ЭЦП, так как проверка её подлинности в данном случае будет невозможна. Задача такой проверки — подтверждение авторства подписи и того, что документ является подлинным.
Понятие OID
Object Identifier является дополнительным атрибутом в составе сертификата ЭЦП. Он необязателен, но может предоставить дополнительные данные (например, об обладателе подписи, центре удостоверения, ключах и т.п.). Также работа Object Identifier может быть связана с приложениями и сервисами, используемыми сертификатом ЭП.
ЭЦП и федеральное законодательство
Существует федеральный закон об ЭП №63-ФЗ от 06.04.2011:
Поскольку законодательная формулировка в данном случае выглядит расплывчатой, представители многих коммерческих онлайн-площадок считают, что наличие объектного идентификатора, входящего в состав сертификата ЭЦП, должно быть обязательным требованием. С его помощью торги на площадке становятся доступными, без ограничений. Именно по этой причине OID считают полезным дополнением, расширяющим действие сертификата. Доплату за расширение, при этом производят поставщики.
Рекомендация: перед обращением в центр удостоверения с целью получения ЭЦП нужно заранее знать, какие торговые площадки-онлайн станут сферой её применения. Их следует выбрать заблаговременно, во избежание неожиданностей. Также нужна информация и об OID — для того, чтобы работать на конкретной «виртуальной точке». С этой целью владелец подписи может обратиться в техническую поддержку.
Плюсы электронной подписи
Она уже успела занять серьёзное место в жизни многих людей, особенно тех, кто является руководителем предприятия или организации. Благодаря ЭЦП вы можете:
Владелец подписи всегда может использовать её, когда работает с документами. Особенно актуальной электронная подпись становится в том случае, если возникает необходимость контактов с официальными и государственными органами.
Важно помнить:
Как получают ЭЦП
Для получения электронной цифровой подписи необходимо обращение в центр сертификации. Предварительно нужно собрать пакет документов, имея ввиду то, что для физического и юридического лица он выглядит по-разному. Срок, в течение которого заявка подлежит рассмотрению, составляет 3 дня.
Законодательством предусмотрен срок выдачи ЭЦП на год, после чего её нужно получать заново. Введение этого ограничения связано с вопросами безопасности, а также с обеспечением защитных функций.
Благодаря высокой степени защиты и соответствующим мерам, принятым на законодательном уровне, ЭЦП представляет собой надёжный способ для заверения любых документов.
Процесс получения ЭЦП
Чтобы получить электронную подпись:
Что такое oid в эцп
Не задан ID пользователя.
Если начинать с базовых понятий, электронное подписание основывается на асимметричных алгоритмах шифрования. Основная особенность этих алгоритмов в том, что для шифрования и расшифровки сообщения используются два разных ключа. Широкой общественности более знакомы симметричные алгоритмы, когда одним ключом (или паролем) мы и шифруем и расшифровываем сообщение, например архивируем файл с паролем или защищаем документ MS Word.
На асимметричных алгоритмах шифрования основаны многие вещи, хотя сам по себе тот факт, что для шифрования и расшифровки используются разные ключи, ещё не позволил бы найти сколько-нибудь полезного применения этим алгоритмам. Для этого они должны обладать ещё некоторыми дополнительными свойствами. Во-первых, ключи не должны быть вычисляемыми, то есть зная один ключ вы не можете вычислить второй. Также очень важно, чтобы разным ключам шифрования соответствовали разные ключи расшифровки и наоборот — одному ключу расшифровки соответствовал только один ключ шифрования.
При чем тут собственно подпись? Ведь нам надо подписать документ, а не зашифровать его. Для начала надо разобраться, что такое собственно подпись и для чего она нужна. Когда вы ставите свою собственноручную подпись на бумажный документ, вы тем самым заверяете, что именно вы (а не кто-то другой) видели (и согласны) именно этот документ (а не какой-то другой). Важнейшее свойство подписи — неотрекаемость (non-repudiation). Это означает, что подписав документ, вы не можете позже отказаться от этого факта. В случае бумажной подписи вас уличит графологическая экспертиза, в случае электронной — математические методы, основанные на асимметричных алгоритмах шифрования.
Как все это работает, в двух словах. Берем асимметричный алгоритм шифрования, генерируем пару ключей (для шифрования и расшифровки). Ключ шифрования даем человеку, который будет подписывать документы. Он его должен всегда держать при себе и никому не давать. Поэтому его называют «закрытый» ключ. Другой ключ (расшифровки) даем всем желающим, поэтому он «открытый». Подписывая документ, человек должен зашифровать его своим закрытым ключом. На самом деле шифруется не сам документ, так как он может быть достаточно большим, а нам вообще-то и не нужно его шифровать. Поэтому по документу получают хэш — это некая числовая последовательность с большой долей вероятности разная для разных документов, как бы «отпечаток» документа. Его и шифруют закрытым ключом подписанта. Этот зашифрованный хэш и есть электронная подпись документа. Теперь имея документ, подпись и открытый ключ, любой может легко проверить, что именно этот документ был подписан именно этим закрытым ключом. Для этого снова получаем хэш документа, расшифровываем открытым ключом подпись и сравниваем. Должны получить две идентичные числовые последовательности.
Все это прекрасно, но пока мы получили неотрекаемость подписи для закрытого ключа, то есть доказали, что документ подписан конкретным ключом. Нам же необходимо доказать, что он был подписан конкретным человеком. Для этого существуют удостоверяющие центры и цифровые сертификаты. Самое важное, что делает удостоверяющий центр — он удостоверяет, что закрытый ключ принадлежит конкретному лицу. Чтобы это гарантировать, именно удостоверяющий центр генерирует пары ключей и выдает их лично в руки владельцам (есть варианты по доверенности, удаленно, но это уже детали). Вместе с ключами генерируется цифровой сертификат — это электронный документ (бывает и бумажное его представление), в котором содержится информация о владельце ключа, самом ключе, удостоверяющем центре и некоторая другая информация. Владелец, как правило, получает все это добро на защищенном носителе (смарт-карте, ру-токене и так далее), на котором содержится закрытый ключ и сертификат с внедренным открытым ключом. Сам носитель необходимо всегда держать при себе, а скопированный с него сертификат с открытым ключом можно давать всем желающим, чтобы они могли проверить вашу электронную подпись.
Итак, подписание производится закрытым ключом, а проверка подписи открытым. Поэтому фраза «документ подписывается набором OID» (прозвучавшая в упомянутом споре) лишена всякого смысла. В процедуре подписания и проверки участвуют только два ключа, в 63-ФЗ они и названы соответственно — ключ подписи и ключ проверки подписи.
А что такое эти пресловутые OID? Формат цифрового сертификата X.509 позволяет сохранять в нем расширения (extensions). Это некие необязательные атрибуты, при помощи которых можно хранить дополнительную информацию. Каждый такой атрибут является объектом, который задается идентификатором из иерархического справочника. Отсюда OID — Object Identifier. Углубляться в природу самих OID здесь смысла нет. По сути это некоторая дополнительная информация, которая может присутствовать в сертификате.
Данные дополнительные атрибуты могут использоваться для разных целей. Они могут либо предоставлять дополнительную информацию о владельце, ключах, УЦ, либо нести какую-то дополнительную информацию для приложений и сервисов, которые этот сертификат используют. Самое распространенное применение — это управление доступами на основе ролей. Например, в сертификате можно прописать, что владелец ключа является руководителем организации, и это даст ему возможность сразу во всех ИС получить доступ к нужным функциям и сведениям, без необходимости связываться с администраторами каждой ИС и менять настройки доступа. Все это конечно при условии, что все эти ИС используют сертификат пользователя для его авторизации и анализируют один и тот-же атрибут одинаковым образом (для того-то атрибуты и выбираются из справочника, а не задаются произвольно).
Как видим, никакие законодательные нормы не диктуют обязательного наличия в квалифицированном сертификате атрибутов, связанных с авторизацией в каких-либо информационных системах. Откуда тогда эти требования берутся? А исходят они от разработчиков (или «владельцев») конкретных систем. Возьмём например «Методические рекомендации по использованию электронной подписи при межведомственном электронном взаимодействии (версия 4.3)», размещенные на технологическом портале СМЭВ. Действительно, в пункте 6 данного документа читаем: «При подготовке сведений для формирования сертификата ЭП-СП необходимо определить необходимость запроса сведений из Росреестра (выписки из ЕГРП). При необходимости такого запроса в поле “Улучшенный ключ” (OID=2.5.29.37) в сертификате ЭП-СП должен быть указан OID по требованиям Росреестра.». То есть информационная система Росреестра использует этот атрибут для определения сведений, которые можно выдавать владельцу сертификата. Однако этот же документ содержит важное примечание, а именно — данное требование действует до полного запуска ЕСИА (единый сервис авторизации в гос. системах) и подключения к ней системы Росреестра. Это важное замечание, запомним его.
Не буду разбираться с другими ИС, применяемыми в гос. органах. Подозреваю, что там ситуация похожая. Портал госзакупок, электронные торговые площадки, различные бухгалтерские и финансовые приложения также могут требовать наличия тех или иных дополнительных OID в сертификате пользователя. При этом утверждение, что прописывая OID информационной системы в сертификате, я каким-либо образом делегирую ответственность удостоверяющему центру, мягко говоря, неверно. УЦ вносит эти данные в сертификат согласно моей заявки. Если у меня изменилась должность, а я забыл подать заявку на отзыв старого и выпуск нового сертификата, УЦ никак не может отвечать за мою забывчивость. К тому-же закон 63-ФЗ прямо закрепляет ответственность за неправильное использование сертификата за его владельцем. В пункте 6 статьи 17 читаем:
Владелец квалифицированного сертификата обязан:
1) не использовать ключ электронной подписи и немедленно обратиться в аккредитованный удостоверяющий центр, выдавший квалифицированный сертификат, для прекращения действия этого сертификата при наличии оснований полагать, что конфиденциальность ключа электронной подписи нарушена;
2) использовать квалифицированную электронную подпись в соответствии с ограничениями, содержащимися в квалифицированном сертификате (если такие ограничения установлены).
Необходимость хранить в сертификате сведения о ролях и доступах пользователя в конкретных информационных системах приводит к проблеме, из-за которой разгорелся спор в фейсбуке, а именно — сертификат приходится перевыпускать гораздо чаще, чем это диктуют требования безопасности к персональной электронной подписи. Поменялась должность — перевыпускаем сертификат. Появилась новая ИС — перевыпускаем сертификат. Появилась необходимость запроса сведений из ИС новой организации (Росреестр) — перевыпускаем сертификат.
Налицо стопроцентное попадание в концепцию, именуемую в мире Attribute Certificate (или Authorization Certificate), о которой говорилось выше и при которой рекомендуется выпускать эти сертификаты другим удостоверяющим центром (Attribute Autority, в отличие от Certificate Authority — обычного УЦ, выпускающего квалифицированные сертификаты ЭП) и по упрощенной схеме. Этот сертификат сам по себе не должен содержать ключа электронной подписи и информации о владельце. Вместо этого он содержит ссылку на сертификат открытого ключа владельца, из которого можно получить остальную необходимую информацию о персоне.
Необходимо заметить, что и эта схема имеет весьма ограниченное применение и не решает всех проблем. Что если очередная информационная система решит использовать то-же поле сертификата “Улучшенный ключ” (OID=2.5.29.37), которое уже занято значением Росреестра, для своих нужд? Вписать два разных значения в одно поле не получится. Следовательно придется выпускать ещё один AC! Другая проблема связана с коротким временем жизни PKC (один год). Если имеем несколько AC (в которых содержится ссылка на персональный сертификат), их все придется перевыпустить по истечении срока PKC. Для эффективного применения AC необходим некий единый центр авторизации пользователей во всех информационных системах, а все приложения должны согласованно и единообразно использовать атрибуты сертификатов.
Такой единый центр авторизации для гос. органов уже есть — это ЕСИА. Вспомним про примечание, касающееся OID’ов Росреестра. В будущем они будут заменены информацией из ЕСИА. Так же должны поступать и прочие информационные системы, в которых работают гос. служащие. Вместо использования AC для авторизации, необходимо интегрироваться с ЕСИА и получать необходимую информацию оттуда. ЕСИА должна иметь возможность привязки квалифицированного сертификата ЭП к учетной записи, таким образом информационные системы смогут проводить аутентификацию пользователя по персональному ключу, а его авторизацию (предоставление доступа к приложению) через ЕСИА. Такая система представляется универсальней и надежней, чем применение полей сертификатов, а в перспективе позволит автоматизировать управление доступами. Если будет создана единая система кадрового учета гос. служащих, ЕСИА сможет брать информацию о полномочиях того или иного лица непосредственно оттуда. Перевелся человек на другую должность — автоматически потерял доступ к одним системам и получил к другим. При этом он продолжает пользоваться своим ключом ЭП для подписания документов, ничего перевыпускать не нужно.
Вывод — OID’ы информационных систем в сертификате, не являясь абсолютным злом сами по себе, требуют взвешенного применения. У данного подхода есть альтернативы, которые стоит рассмотреть, например единые сервисы авторизации.
Что такое oid в эцп
Регистрация объектного идентификатора (OID) производится по квалифицированному сертификату ключа электронной подписи, выпущенному на ответственного за регистрацию OID’а сотрудника юридического лица. Приобрести сертификат электронной подписи вы можете в компании Инфотекс Интернет Траст или в любом аккредитованном удостоверяющем центре. Сертификат не требует включения дополнительных OID’ов.
Для получения идентификатора объекта юридическое лицо должно зарегистрироваться в личном кабинете, заполнить и подписать заявку на получение OID электронной подписью. При этом на получение OID в каждой отдельной дуге российского дерева идентификаторов объектов должна быть заполнена отдельная заявка. Зарегистрировать организацию в личном кабинете может любое лицо организации. Подача же заявления осуществляется с электронной подписью ответственного за регистрацию объектного идентификатора лица.
Для регистрации в личном кабинете необходимо указать ИНН организации. После того как мы получим ваши данные из ЕГРЮЛ, вам на электронную почту придет приглашение в личный кабинет. После этого вы можете подать заявку. Заявка подписывается квалифицированным сертификатом электронной подписи. После проверки вашей заявки, вы получаете подписанное электронной подписью уведомление о присвоении объектного идентификатора. OID публикуется в реестре.
Об изменении реквизитов юридического лица заявитель должен сообщить в уполномоченный орган по регистрации через личный кабинет.
Срок рассмотрения заявления — 7 дней!