Параметры 1С ERP: Общие настройки → Подписывать на сервере

Параметры 1С ERP: Общие настройки → Подписывать на сервере

Предлагаю вашему вниманию развернутое пояснение к параметру «Подписывать на сервере» в 1С ERP. Этот параметр определяет архитектурный подход к созданию электронных подписей, при котором все криптографические операции выполняются на стороне сервера, а не на клиентских рабочих местах. Это своего рода «централизация криптографических мощностей», которая коренным образом меняет подход к безопасности и управлению электронными подписями в организации.

Развернутое пояснение параметра

1. Общее назначение и концепция

Параметр «Подписывать на сервере» реализует принцип «сервер-центричной криптографии».

• Принцип "Централизованного создания цифровых подписей": Ключевая концепция заключается в том, что процесс создания электронной подписи, включая все криптографические операции, должен выполняться на защищенном сервере, а не на распределенных клиентских рабочих местах. Это преобразует электронную подпись из персонального инструмента в корпоративный сервис.
• Цель: Обеспечить высший уровень контроля над процессом подписания, централизовать хранение и управление криптографическими ключами, гарантировать единообразие политик подписания и значительно повысить безопасность корпоративной криптографии.

2. Механизм работы и техническая реализация

При активации этого параметра система кардинально меняет процесс создания электронных подписей, перенося его с клиентских рабочих мест на сервер.

Ключевые компоненты серверного подписания:

• Архитектура серверного подписания:
  Клиент: Подготавливает данные для подписания и отправляет запрос на сервер
  Сервер подписания: Специализированный сервер с установленными криптопровайдерами и хранилищем ключей
  Хранилище ключей: Централизованное безопасное хранилище закрытых ключей (HSM, токены, защищенные хранилища)
• Процесс серверного подписания:
  Подготовка данных: Клиент формирует хэш подписываемых данных
  Аутентификация: Пользователь проходит аутентификацию на сервере (логин/пароль, двухфакторная аутентификация)
  Запрос подписания: Клиент отправляет хэш и метаданные на сервер подписания
  Криптографическая операция: Сервер выполняет подписание хэша закрытым ключом из центрального хранилища
  Возврат подписи: Сервер возвращает готовую электронную подпись клиенту
  Интеграция подписи: Клиент присоединяет подпись к документу
• Технические особенности:
  Серверные СКЗИ: Криптопровайдеры (CryptoPro CSP) установлены на сервере
  HSM (Hardware Security Module): Аппаратные модули безопасности для хранения ключей
  Сертификаты на сервере: Закрытые ключи хранятся в центральном защищенном хранилище
  Протоколы безопасности: Использование защищенных протоколов для обмена данными

3. Ключевое применение: Корпоративная безопасность и контроль

Использование этого параметра критически важно для:

• Крупных корпораций: Централизованное управление процессами подписания в распределенных организациях
• Финансовых институтов: Высшие стандарты безопасности для финансовых документов и транзакций
• Государственных организаций: Соответствие строгим требованиям информационной безопасности
• Веб-приложений и мобильных решений: Возможность подписания в браузерах и мобильных приложениях
• Аудита и комплаенс: Полная трассируемость и контролируемость операций подписания

4. Гибкость, ограничения и интеграция

Серверное подписание предлагает беспрецедентный уровень контроля, но требует значительных инвестиций в инфраструктуру.

Необходимые условия и предостережения:

• Серверная инфраструктура: Высокопроизводительные серверы с резервированием
• HSM или защищенные хранилища ключей: Аппаратные средства защиты ключей
• Серверные лицензии СКЗИ: Лицензии CryptoPro CSP для серверов
• Квалифицированный персонал: Администраторы с экспертизой в области PKI и информационной безопасности
• Отказоустойчивость: Кластеризация серверов подписания для обеспечения доступности

Интеграция с другими механизмами:

• Тесно связан с HSM: Интеграция с аппаратными модулями безопасности
• Интегрирован с системами аутентификации: Использование Active Directory, LDAP, двухфакторной аутентификации
• Взаимодействует с SIEM-системами: Интеграция с системами мониторинга и управления событиями безопасности
• Связан с системами резервного копирования: Специальные процедуры бэкапа ключей и конфигураций

Преимущества:

• Высший уровень безопасности: Ключи не покидают защищенное хранилище
• Централизованный контроль: Единые политики подписания для всей организации
• Упрощение администрирования: Обновление и управление криптографией в одном месте
• Аудируемость: Полный контроль и журналирование всех операций подписания
• Масштабируемость: Легкое добавление новых пользователей без развертывания клиентской криптографии

Ограничения и риски:

• Высокая стоимость: Значительные инвестиции в серверную инфраструктуру и HSM
• Сложность внедрения: Требует глубокой экспертизы в области PKI и информационной безопасности
• Зависимость от сети: Подписание невозможно при отсутствии связи с сервером
• Единая точка отказа: Риск недоступности сервиса подписания
• Сложность миграции: Трудности перехода с клиентской на серверную архитектуру

5. Место управления и настройки

Управление параметром осуществляется через:
«Главное меню» → «Администрирование» → «Общие настройки» → «Сертификаты и приложения электронной подписи и шифрования» → «Параметры подписания»

Интерфейс обычно предоставляет:

• Настройку серверов подписания:
  Адреса серверов подписания
  Настройки балансировки нагрузки
  Параметры кластеризации
• Конфигурацию хранилищ ключей:
  Настройки HSM
  Параметры доступа к ключам
  Политики ротации ключей
• Управление политиками безопасности:
  Требования к аутентификации
  Ограничения по времени подписания
  Квоты и лимиты подписания
• Мониторинг и аудит:
  Журналы операций подписания
  Статистика использования
  Мониторинг производительности

Итог простыми словами

• Без серверного подписания: Каждый пользователь имеет свой собственный «цифровой штамп» (закрытый ключ на токене или компьютере) и сам решает, когда и как его использовать — подобно тому, как каждый сотрудник имеет личную печать и может ставить ее на документы по своему усмотрению.
• С серверным подписанием: Все «цифровые штампы» хранятся в центральном сейфе (сервере с HSM). Пользователь запрашивает подписание, система проверяет его права, и только тогда квалифицированный оператор (сервер) применяет штамп к документу — подобно работе с документами в канцелярии с строгим учетом.

Этот параметр — «центральный орган корпоративной криптографии» вашей ERP-системы. Он превращает электронную подпись из индивидуального инструмента в корпоративный сервис с высочайшим уровнем контроля, безопасности и управляемости.

Как это выглядит на практике:

Сценарий 1: Крупный банк с тысячами сотрудников

• Ситуация: Банк имеет 2000 сотрудников, каждый ежедневно подписывает десятки финансовых документов.
• Проблема: Управление тысячами токенов, риски утери или компрометации ключей.
• Решение: Внедряется серверное подписание с HSM. Все ключи хранятся централизованно.
• Результат: Высший уровень безопасности, упрощение администрирования, полный аудит операций.

Сценарий 2: Веб-портал для клиентов

• Ситуация: Компания предоставляет клиентам возможность подписывать документы через веб-интерфейс.
• Проблема: В браузерах клиентов нет криптопровайдеров и сертификатов.
• Решение: Реализуется серверное подписание с двухфакторной аутентификацией.
• Результат: Клиенты могут подписывать документы через браузер без установки дополнительного ПО.

Сценарий 3: Мобильные торговые представители

• Ситуация: Торговые представители используют планшеты для заключения договоров.
• Проблема: Невозможно использовать токены на мобильных устройствах.
• Решение: Настраивается серверное подписание с авторизацией по одноразовым паролям.
• Результат: Представители могут подписывать договоры непосредственно у клиентов.

Типичные сценарии использования:

• «Корпоративная безопасность» — централизация управления ключами в крупных организациях
• «Веб-сервисы и API» — предоставление сервиса подписания как услуги
• «Мобильные решения» — подписание на устройствах без доступа к криптопровайдерам
• «Высокие стандарты compliance» — соответствие строгим регуляторным требованиям
• «Аудит и контроль» — полная трассируемость операций подписания

Критические преимущества:

• Безопасность: Ключи никогда не покидают защищенную среду
• Контроль: Централизованное управление политиками подписания
• Аудируемость: Полная запись всех операций подписания
• Масштабируемость: Легкое добавление новых пользователей
• Надежность: Профессиональная серверная инфраструктура

Рекомендации по использованию:

• Используйте для организаций с высокими требованиями к безопасности
• Обеспечьте отказоустойчивость через кластеризацию серверов
• Реализуйте строгие процедуры аутентификации пользователей
• Регулярно проводите аудит безопасности системы
• Обеспечьте физическую защиту серверов и HSM

Оптимальные конфигурации:

• Для максимальной безопасности: HSM + двухфакторная аутентификация
• Для высокой доступности: Кластер серверов подписания с балансировкой нагрузки
• Для веб-решений: Серверное подписание с REST API
• Для гибридных сценариев: Комбинация серверного и клиентского подписания

Таким образом, параметр «Подписывать на сервере» — это стратегический выбор для организаций, которые рассматривают электронную подпись не как техническую функцию, а как критически важный бизнес-процесс, требующий высочайшего уровня безопасности, контроля и управляемости. Он представляет собой переход от персональной криптографии к корпоративной криптографии как сервису.