NFC-токен для электронной подписи: как выбрать и какой формат подписи запросить в удостоверяющем центре

Главное: какой должна быть электронная подпись для смартфона

Для работы электронной подписи со смартфоном по NFC ключи должны быть:

• созданы непосредственно внутри токена;
• неизвлекаемыми;
• записаны в формате PKCS#11;
• размещены на носителе с поддержкой NFC и аппаратной криптографией.

Именно такой вариант позволяет мобильному приложению обращаться к ключу непосредственно по NFC.

Шаг 1. Выберите подходящий токен

Для работы электронной подписи со смартфоном нужен носитель с NFC и аппаратной криптографией.

В качестве подходящего варианта рекомендуем модели линейки Рутокен ЭЦП 3.0 с NFC:

• USB-токены;
• смарт-карты;
• компактные модели Slim-A и Slim-C.

Эти носители сертифицированы ФСТЭК и ФСБ России и подходят для квалифицированной электронной подписи.

Какие носители не подойдут для работы по NFC

Носители без NFC, например Рутокен Lite, Рутокен S и модели ЭЦП 2.0, JaCarta, Esmart, Ангара могут использоваться для электронной подписи на компьютере, но не обеспечивают работу со смартфоном по беспроводному соединению NFC.

Поэтому при покупке важно понимать, что токен нужен именно для работы с электронной подписью на смартфоне.

Также проверьте наличие NFC в самом телефоне. На iPhone поддержка NFC начинается с iPhone 7; на Android необходимо проверить соответствующую настройку устройства.

Шаг 2. До получения сертификата уточните совместимость

Покупка подходящего токена — только первый шаг. Не менее важно убедиться, что мобильное приложение, в котором вы планируете подписывать документы, поддерживает работу с таким носителем.

Это может быть приложение оператора ЭДО, системы маркировки, банка или государственной информационной системы.

Перед визитом в удостоверяющий центр рекомендуется уточнить у оператора приложения:

Поддерживает ли приложение работу с токеном Рутокен по NFC на операционной системе — Android или iOS? Какой формат ключей требуется?

Большинство приложений работает с ключами PKCS#11, однако в отдельных случаях может использоваться и другой формат. Для работы по NFC предпочтительно заранее уточнить требования конкретного приложения.

Шаг 3. Получите сертификат электронной подписи в правильном формате

Самый важный момент — формат ключа определяется при его создании.

Поэтому недостаточно просто прийти в удостоверяющий центр с подходящим токеном и попросить выпустить сертификат. Необходимо заранее сообщить оператору удостоверяющего центра, что ключ должен быть создан непосредственно на токене, быть неизвлекаемым и использовать формат PKCS#11 - «как для ЕГАИС».

Формулировка «как для ЕГАИС» используется потому, что формат PKCS#11 давно применяется в этой системе и специалистам удостоверяющих центров такая формулировка может быть более понятна.

Если удостоверяющий центр использует КриптоПро CSP 5.0 R2 или новее, при генерации ключа выбирается режим «Активный токен».

При использовании Signal-COM CSP или ViPNet CSP на Рутокен ЭЦП 3.0 неизвлекаемые ключи в нужном формате PKCS#11 создаются автоматически.

Как проверить, что ключ действительно создан в нужном формате

Перед тем как покинуть удостоверяющий центр, скачайте приложение на свой мобильный телефон приложение «Панель управления Рутокен» (только для владельцев Android).

1. Запустите приложение Панель управления Рутокен.
2. Приложите токен к модулю NFC.
3. В окне приложения откроется карточка устройства, нажмите на нее. Откроется список ключевых пар и сертификатов, сохраненных на Рутокене.

В описании сертификата должен быть указан формат:

• «PKCS#11 (GOST R 34.10-2012-256)» или
• «Объект PKCS#11, доступный через Crypto-Pro GOST R 34.10-2012».

Если отображается только: «Crypto-Pro GOST R 34.10-2012 Cryptographic Service Provider», это означает, что ключ создан не в требуемом формате для данного сценария работы по NFC. В таком случае ключ необходимо сгенерировать заново.

Если вы используете iOS или у вас нет технической возможности проверить данные в удостоверяющем центре, проверьте формат сертификата на своем рабочем месте через приложение «Панель управления Рутокен». Скачать программу можно по ссылке.

Инструкция по форматам подписи

Какие документы взять с собой в удостоверяющий центр

При получении сертификата потребуются документы, предусмотренные процедурой его выдачи.

Рекомендуется взять:

• паспорт;
• СНИЛС;
• ИНН;
• сам токен.

Для руководителей организаций и индивидуальных предпринимателей сертификаты выпускает УЦ ФНС и его доверенные лица, в том числе отделения Сбербанка и ВТБ, обслуживающие юридических лиц. Для физических лиц и сотрудников сертификат выдает аккредитованный удостоверяющий центр.

Шаг 4. Проверьте электронную подпись прямо в удостоверяющем центре

Если мобильное приложение уже установлено на смартфоне, лучше всего проверить работу электронной подписи непосредственно при получении сертификата.

Попробуйте:

• войти в приложение с использованием сертификата;
• выполнить тестовую операцию;
• подписать тестовый документ.

Если возникает ошибка, её проще устранить сразу в удостоверяющем центре, чем обнаружить проблему уже после начала работы.

Что делать, если электронная подпись работает на компьютере, но не видна смартфоном

Это одна из наиболее распространенных ситуаций.

Если при подключении токена к компьютеру через USB сертификат определяется и подпись работает, а мобильное приложение не видит токен по NFC, вероятная причина — ключ создан в неподходящем формате.

В таком случае необходимо обратиться в удостоверяющий центр.

Важно: формат ключа определяется при его создании и впоследствии не изменяется. Поэтому уже выпущенный сертификат нельзя просто «переключить» на другой формат. Для работы по NFC потребуется перевыпуск сертификата с генерацией ключей в нужном формате и отзывом старого сертификата.

При этом до выпуска нового сертификата старый ключ продолжает работать обычным способом — например, при подключении токена к компьютеру по USB.

Если перевыпуск оказался платным, рекомендуется попросить удостоверяющий центр зафиксировать причину: ключ был выдан в формате, несовместимом с работой по NFC.

Как правильно приложить токен к смартфону

Для работы по NFC важно правильно расположить токен относительно телефона.

У большинства Android-смартфонов NFC-антенна находится в верхней части задней панели. У iPhone — в районе верхнего края устройства.

Приложите токен или смарт-карту к соответствующей области и удерживайте неподвижно несколько секунд, пока выполняется операция подписи.

Обычный защитный чехол, как правило, снимать не требуется. Однако металлические чехлы и чехлы с магнитными элементами могут мешать работе NFC.

Можно ли использовать тот же токен на компьютере?

Да.

Тот же токен с теми же ключами можно использовать и традиционным способом — подключить к компьютеру через USB и работать с электронной подписью в браузере и программах.

При необходимости токен можно подключить к смартфону через переходник (к Android, iPhone).

Таким образом, токен с NFC может использоваться как для мобильной работы, так и для привычной работы с электронной подписью на компьютере.

Чек-лист: всё ли готово к работе?

Перед началом работы проверьте:

• Куплен токен с NFC и аппаратной криптографией.
• Ключи в формате PKCS#11.
• В удостоверяющем центре проверен формат контейнера.
• Мобильное приложение оператора установлено на смартфоне.
• NFC включён в настройках телефона.
• Выполнен вход по сертификату или тестовая подпись через NFC.
• Сохранены документы на токен и контакты технической поддержки удостоверяющего центра.

Главное, что нужно запомнить