1 Тема от x86

  • x86
  • Посетитель
  • Неактивен

Тема: Аутентификация в web приложениях (очень хочу понять)

Доброе время суток . Вопрос у меня такой. Не могу понять технически сехму реализации аутентификации ру_токен в вэб приложениях.

Для примера приведу один из сайтов построенныз на аутентификации eToken ключа..

На компьютер клиента устанавливается необходимые драйвера и_токен а также в браузер устанавливается персональный сертификат разработчика. Когда пользователь открывает сайт, сначала посылается предъявляется сертификат, затем это вэб оболочка каким-то образом иницирует действие, при котором открывается окно стандартного приложения и_токен, где запрашивается ПИН пользователя для и_токена (естевственго что ключ уже находтся в USB порту на клиента), пользователь вводин свой пин,и если он НЕ верный то страница дает ошибку. Не могу понять каким образом данное вэб приложение инициирует запрос ПИН-а у пользователя для и_токен-а.

1) Возможна ли такая же схема с ру_токеном? (если да то пожалуйста объясните схему)
2) Возможно ли схема при которой сам сертификат для предъявления серверу будет хранится в самом ключе, и при вводе ПИН-а пользователя будет предъявляеть его серверу?

p.s. Как я понимаю при вводе ПИН-а на сервер отпарвляется public key и private key который затем сверяется на сервере.

Работаб программистом и хочу сделать такой тип аутэнтификации в своих вэб приложениях

Заранее вам благодарен.

2 Ответ от Алексей Несененко

  • Алексей Несененко
  • Техническая поддержка
  • Неактивен

Re: Аутентификация в web приложениях (очень хочу понять)

Обычно для аутентификации используются протокол с запросом и ответом. Согласно этому протоколу, сервер аутентификации направляет пользователю последовательность символов, называемую запросом, а программное обеспечение клиентского компьютера для генерирования ответа вырабатывает с помощью закрытого ключа пользователя цифровую подпись под запросом от сервера аутентификации. Сам закрытый ключ хранится на токене.

x86 пишет:

p.s. Как я понимаю при вводе ПИН-а на сервер отпарвляется public key и private key который затем сверяется на сервере.

Это не так - Private key никому никогда не передается.

При обращении к токену инициируется запрос PIN-кода.


Рутокены с сертификатами можно использовать для регистрации на Web-сайтах и в приложениях. Механизм, применяемый в случае регистрации на Web-сайте, обычно предусматривает использование SSL протокола, а сертификаты применяются для установления подлинности пользователей.

По этим ссылкам Вы можете найти подробное описание работы SSL:

http://www.intuit.ru/department/interne … y/8/3.html

http://www.intuit.ru/department/securit … s/6/9.html

http://www.intuit.ru/department/network … /11/1.html

3 Ответ от fish

  • fish
  • Посетитель
  • Неактивен

Re: Аутентификация в web приложениях (очень хочу понять)

Не понятен сам механизм проверки клиентских сертификатов.Нужно ли в таком случае разворачивать свой удостоверяющий центр?

4 Ответ от Алексей Несененко

  • Алексей Несененко
  • Техническая поддержка
  • Неактивен

Re: Аутентификация в web приложениях (очень хочу понять)

Вы хотите предоставлять доступ или получать его?

5 Ответ от fish

  • fish
  • Посетитель
  • Неактивен

Re: Аутентификация в web приложениях (очень хочу понять)

Алексей Несененко пишет:

Вы хотите предоставлять доступ или получать его?

получать

6 Ответ от Алексей Несененко

  • Алексей Несененко
  • Техническая поддержка
  • Неактивен

Re: Аутентификация в web приложениях (очень хочу понять)

в таком случае вам необходим только сертификат на токене (ну и установленные драйвера, естественно)

7 Ответ от samulet

  • samulet
  • Посетитель
  • Неактивен

Re: Аутентификация в web приложениях (очень хочу понять)

Алексей, спасибо Вам за интересные ответы!

Алексей Несененко пишет:

а программное обеспечение клиентского компьютера для генерирования..

Алексей, есть ли возможность подписывать документы, а так же принимать подписанные документы посредством ВЭБ интерфейса, без дополнительного программного обеспечения?
Мы используем 2 сервера и программный продукт (mySQL + php), необходимо, что бы Клиенты делали юридически значимые заявки использую ЭЦП и броузера, а сервера со своей стороны делали юридически значимые подтверждения приемки их. Клиентов придется "заставить" приобрести токены и получить ЭЦП. Наше преимущесто - нет необходимости привязываться к конкретному компу.

Спасибо.

8 Ответ от Vladimir Ivanov

  • Vladimir Ivanov
  • Администратор
  • Неактивен

Re: Аутентификация в web приложениях (очень хочу понять)

Для того, чтобы подпись была юридически значимой, необходимо использовать сертифицированное СКЗИ.
Насколько нам известно, в настоящее время работающих непосредственно в браузере СКЗИ нет.
Тем не менее у Вас существует возможность разработать плагин для браузера, выполняющий функции СКЗИ
и сертифицировать его  в соотв. органах. То же самое касается серверной стороны.