Когда мы применяем мобильное устройство для работы с ЭП, наиболее простыми являются следующие два варианта хранения ключа: локально на устройстве или в облаке. Первый вариант имеет тот минус, что вредоносное ПО может похитить значение ключа прямо из памяти - и нарушитель дальше сможет его использовать по своему усмотрению. Второй же требует наличия специализированных требований, которые пока не выпущены: дело в том, что ключи в этом варианте находятся на стороне сервера, поэтому требуется особенно высокая мера защиты от угроз со стороны администраторов.

Предыдущим шагом вперед было то усовершенствование, что было предложено и реализовано коллегами несколько лет назад: вариант, при котором ключ ЭП расшифровывается в памяти телефона только непосредственно перед операцией. Но при этом все равно остается в силе та же уязвимость к вирусам на телефоне: если вредоносное ПО непрерывно дампит память устройства, то появляющийся (пусть и на короткое время) в ней ключ тоже сможет компрометировать.

И вот с учетом всего вышесказанного после очень долгих дискуссий с экспертами мы решили создать систему, в которой ключ ЭП в принципе не появляется никогда нигде в голом виде. Разработали протокол DKSSP, позволяющий в этих условиях вычислить ЭП по ГОСТ 34.10-2018 - фактически, распределенным образом. Ключ пользователя в защищенном виде создается и хранится на устройстве, а на сервере в HSM хранится ключ защиты. При этом операции проводятся так, что эти ключи применяются по очереди в рамках протокола, поэтому значение ключа нигде не появляется ни в один момент.
Протокол обеспечивает стойкость как в случае нарушителя на стороне мобильного устройства, так и на стороне сервера (но без сговора между ними). Работа с паролями идет через криптографические механизмы, благодаря которым перебор паролей становится возможен только при взаимодействии с сервером (где всё покрывается аудитом и возможностью блокировки).

И всё это реализовано в СКЗИ «КриптоПро Ключ» - причем наряду с более привычными способами, такими как работа с ключами на NFC-токенах.

Теперь все государственные органы смогут применять "обезличенные" электронные подписи, чтобы автоматически подписывать и проверять документы. Это позволит ускорить обработку массовых запросов граждан, например, при выдаче справок, получении ряда государственных услуг, лицензий, разрешений и других юридически значимых документов.

таким образом оказывается устранено серьезное бюрократическое препятствие

В пункта 2 проекта Требований говорится, что Квалифицированные сертификаты, указанные в пункте 1 настоящих требований, подлежат анализу (разбору) на их соответствие требованиям законодательства Российской Федерации, включая требования к их форме, содержанию, средствам удостоверяющего центра и средствам электронной подписи, использованным при их подписании.
Обязательной проверке подлежат все расширения таких квалифицированных сертификатов в соответствии с установленной уполномоченным удостоверяющим центром политикой безопасности. При этом должны анализироваться:
- расширения квалифицированного сертификата, содержащие сведения о классе средств удостоверяющего центра, с использованием которых он был создан, и сведения о классе средств электронной подписи владельца квалифицированного сертификата на соответствие установленной политике безопасности;
- расширения квалифицированного сертификата, содержащие наименование средств электронной подписи и средств удостоверяющего центра, которые использованы для создания ключа электронной подписи, ключа проверки электронной подписи, этого квалифицированного сертификата, наименование средства электронной подписи, используемого владельцем квалифицированного сертификата, а также
- реквизиты документа, подтверждающего соответствие указанных средств требованиям, установленным законодательством Российской Федерации.
1. В пункте говорится про "расширения квалифицированного сертификата, содержащие наименование средств электронной подписи и средств удостоверяющего центра, которые использованы для создания ключа электронной подписи, ключа проверки электронной подписи, этого квалифицированного сертификата",
но средства УЦ не принимают участие в создании ключа ЭП и ключа проверки ЭП. Создание ключа ЭП и ключа проверки ЭП осуществляется с использованием средства ЭП владельца квалифицированного сертификата. А сам квалифицированный сертификат создаётся с использованием средств УЦ.
2. Отсутствует проверка расширения квалифицированного сертификата удостоверяющего центра содержащее срок действия ключа электронной подписи. Проверка требуется, чтобы убедиться, что сертификат пользователя не был создан уже после окончания периода в течение которого ключ ЭП УЦ использовался для целевых функций УЦ (подписание сертификатов пользователей и CRL).