Пять простых шагов для понимания JSON Web Tokens (JWT) / Хабр

Введение

Традиционно под токенами понимаются портативные устройства, которые содержат во внутренней памяти «секрет» (криптографические ключи, сертификаты, пароли). Это могут быть смарт-карты, SIM-карты, USB-устройства на основе смарт-карт и др. Термин «токен» используется наравне с альтернативными ему обозначениями: «аппаратный токен», «электронный ключ», «криптографический токен» и пр.

Обычно токен оснащен защищенным микропроцессором, операционной системой, ядром для исполнения криптографических алгоритмов, защищенным хранилищем чувствительных данных («секрета»), одним или несколькими сервисными приложениями. Производители также могут встраивать в него механизмы предотвращения физических и логических атак.

Токены используются в качестве элементов подсистемы обеспечения информационной безопасности в коммерческих и государственных учреждениях, банках, телекоммуникационных системах. Токены, в которых реализованы криптографические алгоритмы преобразования информации (главным образом, в этом контексте уместно вести речь об электронной подписи), относятся к числу средств криптографической защиты информации (СКЗИ).

Законодательство Российской Федерации и сложившаяся практика в сфере обеспечения информационной безопасности в ряде случаев предусматривают обязательное использование СКЗИ, которые имеют сертификат ФСБ России. Так, для использования усиленной квалифицированной электронной подписи подходят только токены, для которых подтверждено соответствие требованиям, установленным Федеральным законом от 06.04.

2021 № 63-ФЗ «Об электронной подписи» и Приказом ФСБ РФ от 27 декабря 2021 г. № 796 «Об утверждении Требований к средствам электронной подписи и Требований к средствам удостоверяющего центра». Это соответствие подтверждается наличием сертификата соответствия, выданного ФСБ России, в котором соответствующая информация приводится в явном виде.

В зависимости от нужд потребителя токены в качестве СКЗИ могут быть сертифицированы на различные классы защиты. В нашем сравнении в таблице ниже на соответствие этим требованиям указывает параметр «Класс» раздела «Сертификат ФСБ». В соответствии со статьей 20 Приказа ФСБ № 796 при разработке средств электронной подписи должны использоваться криптографические алгоритмы, утвержденные в качестве государственных стандартов или имеющие положительное заключение ФСБ России по результатам их экспертных криптографических исследований.

С использованием токенов в зависимости от их функциональных особенностей может быть реализовано множество функций безопасности:

• Защита ключей: в токене могут защищенным образом храниться секретные ключи, пароли, маркеры доступа.
• Электронная подпись: в токене могут храниться секретные ключи и выполняться операции создания и проверки подписи.
• Шифрование данных: в токене по запросу со стороны приложения могут генерироваться ключи шифрования, выполняться операции симметричного и асимметричного шифрования, производиться процедуры экспорта ключа в открытом или зашифрованном виде.
• Хеширование: в токене по запросу со стороны приложения могут вычисляться значения хеш-функции для блоков данных.

Даже из приведенного краткого описания видно, что за понятием «токен» кроется обширное множество решений. Они могут различаться почти во всех отношениях, начиная от форм-фактора изделия и заканчивая ограничениями на среду его функционирования. Оборотная сторона разнообразия — трудный выбор.

Как показывает опыт, разночтения есть даже в самом понимании сущности токена. Иногда потребитель рассчитывает на наличие несвойственных токену функций — например, возможности защищенного хранения пользовательских данных. Или может не принимать во внимание имеющиеся ограничения (поддерживаемые интерфейсы встраивания; операционные системы, в которых может работать токен; поддерживаемые криптографические алгоритмы и др.).

Далее, если сертификат имеется, потребитель не всегда старается разобраться в нюансах, а удовлетворяется фактом его наличия. Например, есть риск упустить из виду, что в соответствии с выпиской из документа ФСБ России № 149/7/1/3-58 от 31.01.2021 «О порядке перехода к использованию новых стандартов ЭЦП и функции хеширования», использование ГОСТ Р 34.

10-2001 для формирования подписи после 31 декабря 2021 года не допускается. Вместо этого должен быть выполнен переход к использованию национального стандарта ГОСТ Р 34.10-2021. Обратите внимание, что в таблице ниже приведены реализованные в токенах в настоящее время национальные стандарты.

Наконец, производитель порой выбирает настолько сложную схему сертификации изделия, что неискушенному человеку трудно разобраться в ней. Список факторов, влияющих на выбор, широк.

При существующем положении вещей полезно иметь компактный справочник с указанием основных характеристик, функциональных возможностей и ограничений токенов. Особенно наглядна такая информация в виде сравнительной таблицы — она представляет сведения о каждом токене в удобной форме и позволяет сравнить токены разных производителей между собой.

Esmart – надежные ключевые носители

Как записать сертификат в личном кабинете

Если вы еще не выпустили сертификат ЭП и хотите сразу записать его на съемный носитель:

1. Зайдите в личный кабинет на сайте удостоверяющего центра. Сервис попросит пройти аутентификацию: введите номер телефона, который указали в заявлении на получение ЭП. В течение двух минут на этот номер придет одноразовый пароль для входа. Этот пароль будет действовать только 5 минут, если вы не успеете ввести его за это время — запросите пароль еще раз.
2. Затем вставьте в компьютер носитель, на который вы хотите записать сертификат ЭП — флешку или токен.
3. В личном кабинете найдите нужный сертификат и нажмите на кнопку «Перейти к выпуску». Система автоматически проверит ваш компьютер и предупредит, если на него нужно установить дополнительные программы.
4. Следуйте указаниям системы, чтобы выпустить сертификат.
5. Если вы записываете ЭП на флешку, придумайте и установите на нее пароль в открывшемся окне.
   Если вы записываете ЭП на токен со стандартным паролем — пропустите этот пункт. Но если вы меняли стандартный пароль на собственный — введите его в открывшемся окне.
6. После выпуска сертификат можно установить на носитель. Для этого нажмите на кнопку «Установить сертификат».

Если у вас есть сертификат для одного из сервисов Контура, например, Экстерна или Диадока, и вы хотите установить его на флешку или токен:

1. Зайдите в личный кабинет на сайте удостоверяющего центра.
2. Выберите сертификат электронной подписи, который хотите записать.
3. Вставьте флешку или токен в компьютер. 
4. Нажмите на кнопку «Сделать резервную копию».
5. Выберите носитель, на который сервис запишет сертификат.
6. Если вы копируете ЭП на флешку придумайте пароль и установите его в открывшемся окне. Этот пароль нужно вводить каждый раз, когда вы используете ЭП. Забытый пароль нельзя восстановить, однако мы не рекомендуем пропускать этот шаг — без пароля ваши данные останутся без защиты.
   Если вы устанавливаете ЭП на токен со стандартным паролем — пропустите этот шаг. А если вы задавали на токене собственный пароль — введите его в специальном окне.
7. После ввода пароля система запишет сертификат ЭП на носитель.

Как работать с носителями

Мы говорили об этом раньше, но напомним — токен должен быть сертифицирован ФСТЭК России или ФСБ России. Только на такой носитель УЦ ФНС сможет установить электронную подпись и, соответственно, только с таким носителем сможет работать индивидуальный предприниматель, юридическое лицо или нотариус.

Порядок получения электронной подписи на токен выглядит следующим образом:

1. Приобретаем сертифицированный носитель.
2. Приходим в операционный зал налогового органа региона.
3. Представляем документ, удостоверяющий личность, СНИЛС, токен и документацию к нему.
4. Получаем электронную подпись.

Чтобы полноценно работать с установленной на токен электронной подписью, нужно выполнить ещё несколько действий. Главное — на компьютер нужно установить криптопровайдер «КриптоПро CSP», это требование налоговой. Остальное зависит от выбранного носителя: нужно будет установить драйвер для работы с токеном.

Порядок работы с носителями очень прост: в случае с Рутокеном, который является самым распространённым российским носителем, достаточно установить драйвер и воткнуть сам токен в гнездо USB. Настройка носителя осуществляется в специальной панели управления, которая устанавливается вместе с драйвером.

После выполненных действий электронную подпись можно будет использовать по назначению: подписывать электронные документы, работать с государственными порталами и участвовать в закупках.

Какие носители бывают

Все токены внешне напоминают флешку и выполняют её функции — выступают в качестве носителя. Однако, в отличие от обычной флешки, токены являются защищёнными носителями: на них устанавливается пароль и в них встроены криптографические алгоритмы.

Мы лишь вскользь упомянем о том, что хранить электронную подпись можно и на компьютере, но это небезопасно. В то же время, с 1 января 2022 года, получить подпись для юридических лиц, индивидуальных предпринимателей и нотариусов можно будет только в удостоверяющем центре ФНС. И получатель должен иметь при себе токен, на который и будет загружен ключ.

К носителям выставлены определённые требования: они должны быть сертифицированы и соответствовать формату USB Type-A. К этому типу можно отнести следующие токены:

• JaCarta LT, JaCarta ГОСТ, JaCarta-2 ГОСТ;
• Рутокен Lite, Рутокен ЭЦП 2.0, Рутокен S;
• ESMART Token, ESMART Token ГОСТ.

Вы можете приобрести в нашем магазине: JaCarta LT, Рутокен Lite, Рутокен ЭЦП 2.0.

Методология сравнения токенов

Сведения, представленные в рамках сравнения, включают:

• реестр токенов;
• перечень параметров, по которым они могут быть сопоставлены;
• оценка токенов по представленным параметрам.

Номенклатура токенов, имеющих действующий сертификат ФСБ России, составлена преимущественно на основе данных «Перечня средств защиты информации, сертифицированных ФСБ России». Этот перечень регулярно обновляется, и разумно рассматривать его в качестве достоверного источника информации с поправкой на некоторую задержку в части обновления сведений.

Параметры сравнения выбирались таким образом, чтобы как можно более полно представить имеющуюся информацию о токенах. При формировании набора параметров учитывалось как исторически сложившееся в отрасли представление об устройствах данного класса, так и критерии последнего времени. При этом помимо отечественной нормативной базы использовались следующие зарубежные документы:

• PKCS #15 v1.1: Cryptographic Token Information Syntax Standard; RSA Laboratories; June 6, 2000;
• Department of Defense Public Key Infrastructure and Key Management Infrastructure Token Protection Profile (Medium Robustness), Version 3.0, 22 March 2002, Common Criteria for Information Technology Security Evaluation, Prepared by Booz Allen Hamilton Prepared for National Security Agency (NSA);
• Серия европейских стандартов Protection profiles for Secure signature creation device;
• GlobalPlatform Device Technology. Secure Element Access Control, Version 1.0, Public Release, May 2021;
• NIST Special Publication 800-63B. Digital Identity Guidelines. Authentication and Lifecycle Management, June 2021», введенный в действие в июне 2021 года и заменяющий значимые для поставленной цели разделы документа «NIST Special Publication (SP) 800-63-2. Electronic Authentication Guideline, August 2021.

Оценка токенов согласно выбранным параметрам производилась на основании сведений из открытых источников, уточненных производителями решений по нашей просьбе. Авторы сравнения старались, чтобы сведения были максимально полными и достоверными. Но реалии таковы, что полностью исключить возможность ошибки нельзя. Поэтому мы готовы внести в материал коррективы, которые помогут повысить его качество.

При использовании сравнительной таблицы следует принять в расчет ряд оговорок частного характера:

• «РУТОКЕН ЭЦП» в исполнениях «РУТОКЕН ЭЦП», «РУТОКЕН ЭЦП micro» и «РУТОКЕН ЭЦП Flash» снят с продаж (при этом соответствующие сертификаты действуют до конца 2021 года).
• С начала 2021 года прекращены процедуры продажи, поддержки и сопровождения USB-токенов семейства eToken PRO (Java), eToken и СКЗИ «Криптотокен» в составе изделий eToken ГОСТ. По этой причине eToken ГОСТ исключен из рассмотрения в рамках настоящего сравнительного анализа.
• В сертификате на «Криптотокен ЭП» (JaCarta ГОСТ и соответствующие комбинированные модели) не указаны отечественные стандарты в области криптографической защиты информации.
• На отечественном рынке есть решения, оценка которых с учетом нюансов сертификации может быть затруднительна для потребителя. Примером является функциональный ключевой носитель (ФКН) vdToken производства компании «Валидата». ФКН vdToken не сертифицирован как самостоятельное изделие, но поддержка его заявлена в сертификатах соответствия аппаратно-программных комплексов производства компании «Валидата». Это обстоятельство отражено в значении параметра «Объект сертификации» в таблице сравнения токенов.
• Имеются решения, сертификация которых на момент написания статьи еще не закончена, но проходит завершающую стадию. Одно из таких решений, «Токен », с оговоркой включено в таблицу сравнения сертифицированных решений.
• Имеется решение, сведения о котором получены уже после подготовки данного материала. Речь идет об изделии Рутокен ЭЦП 2.0 исполнение А, регистрационный номер сертификата СФ / 121-3241 от 21 ноября 2021 года, действительный до 31 декабря 2021. Данное изделие соответствует требованиям к СКЗИ классов КС1, КС2; Требованиям Приказа ФСБ № 796 для классов КС1, КС2 и может использоваться в том числе для реализации функций электронной подписи в соответствии с Федеральным законом от 6 апреля 2021 г. № 63 ФЗ «Об электронной подписи». Информация об этом решении не включена в сравнительную таблицу, читатель может ознакомиться с его возможностями самостоятельно на сайте производителя.

Сравнение токенов с действующим сертификатом фсб россии

В сравнении мы намеренно не делаем выводов, не выделяем продукты и производителей. Этот материал следует расценивать как сводку информации о токенах, без замалчиваний и преувеличений. Окончательный выбор всегда остается за потребителем, поскольку только он способен адекватно оценить значимость каждого показателя в выборе токена в своем, частном случае.

Благодарим за активное участие в создании статьи:

Владимира Иванова, директора по развитию компании «Актив»

Антона Кузнецова, ведущего менеджера по развитию продуктов компании «Аладдин Р.Д.»

Максима Садовского, ведущего специалиста компании «Валидата»

https://www.youtube.com/watch?v=Sb8MZVSDY4I

Илью Моргасова, генерального директора компании «Инфокрипт»

Устройства аппаратной аутентификации и информационной безопасности купить в москве – esmart