В условиях массового перехода сотрудников на удаленную работу перед техническими специалистами встает острый вопрос безопасности: как организовать работу с электронным документооборотом (ЭДО), не копируя закрытые ключи сертификатов (ЭЦП) на личные или корпоративные ноутбуки? Риск компрометации ключа, хранящегося в реестре Windows или на незащищенном токене вне офиса, крайне высок. Разберем, можно ли заставить модуль Диадок использовать сертификаты, прописанные в справочнике 1С «Сертификаты и шифрование», и какие архитектурные изменения для этого потребуются.
По умолчанию модуль Диадок для 1С является клиентским приложением. Это означает, что при попытке авторизации или подписания документа код модуля обращается к установленному на локальной машине криптопровайдеру (например, КриптоПро CSP). Криптопровайдер ищет закрытый ключ в локальных хранилищах (реестр Current User, вставленный токен или папка на диске).
В системном разделе 1С «Обмен ЭДО» — «Сертификаты и шифрование» хранятся преимущественно «карточки» сертификатов (публичные части и ссылки на отпечатки). Сама по себе запись в 1С не содержит закрытого ключа. Поэтому простое «указание» модулю на эту запись не решит проблему, если на компьютере пользователя физически отсутствует контейнер закрытого ключа. Проанализируем способы обхода этого ограничения.
Самый современный и безопасный метод, не требующий глубокой переработки кода модуля, — это переход на технологию DSS (Digital Signature Service). Рассмотрим подробнее, как это работает:
Этот метод полностью исключает возможность компрометации ключа при краже ноутбука или утечке реестра, так как ключа на ноутбуке просто нет.
Если ваша компания принципиально использует локальные ключи, установленные на сервере, мы можем рассмотреть вариант доработки модуля Диадок для использования механизма серверного подписания, штатно реализованного в платформе 1С. Для этого необходимо перенаправить криптографические операции с клиента на сервер приложений 1С.
Выясним причину сложности: модуль Диадок использует собственные функции работы с API. Чтобы задействовать сертификаты из раздела «Сертификаты и шифрование», нам нужно внедрить вызовы стандартных методов 1С. Разберем пример логики, которую необходимо внедрить в модуль:
// Пример получения ссылки на сертификат из справочника 1С
Функция ПолучитьСертификатИзБазы(Отпечаток) Экспорт
Запрос = Новый Запрос;
Запрос.Текст =
"ВЫБРАТЬ
| Сертификаты.Ссылка КАК Ссылка
|ИЗ
| Справочник.СертификатыКлючейЭлектроннойПодписиИШифрования КАК Сертификаты
|ГДЕ
| Сертификаты.Отпечаток = &Отпечаток";
Запрос.УстановитьПараметр("Отпечаток", Отпечаток);
Результат = Запрос.Выполнить();
Если Не Результат.Пустой() Тогда
Выборка = Результат.Выбрать();
Выборка.Следующий();
Возврат Выборка.Ссылка;
КонецЕсли;
Возврат Неопределено;
КонецФункции
После получения ссылки на объект СправочникСсылка.СертификатыКлючейЭлектроннойПодписиИШифрования, необходимо использовать метод общего модуля ЭлектроннаяПодписьИШифрование.ПодписатьДанные(). При этом в настройках 1С должна быть включена опция «Выполнять подпись на сервере», а сами криптоконтейнеры должны быть установлены в реестр под учетной записью, от которой запущен сервер 1С (обычно USR1CV8).
Часто сотрудники тратят много времени на просмотр документов и подготовку черновиков, для чего сертификат технически не обязателен. Проанализируем ситуацию: мы можем настроить авторизацию в модуле по логину и паролю (или через API-ключ).
Это организационное решение позволяет минимизировать количество копий ключей в сети.
При реализации любого из подходов следует помнить о следующих моментах:
Подведем итог: штатной возможности «просто забирать» ключи из 1С без их наличия в системе (ОС) не существует из-за архитектуры защиты информации. Однако использование Контур.DSS или кастомизация модуля для работы через серверные методы 1С (ЭлектроннаяПодписьИШифрование) позволяют полностью решить задачу безопасной удаленной работы.