Почему не заходит в егов через эцп

Обновлено: 05.07.2024

В последнее время государство пытается максимально перенести все госуслуги в электронный формат. Активно выдаются адресные справки, и другие справки выдаются через Портал электронного правительства. Даже можно зарегистрировать брак пожениться через портал. На самом деле, очень удобно. Есть конечно же минусы, в основном — организационные, нормативные на уровне законов, на уровне реализации. Но это уже другой вопрос, главное очень хорошие начинания. Это все хорошо, но пост не про это.

Очевидно, чтобы пользоваться госуслугами, нужно как-то подтверждать свою личность. Для этого когда-то давно законодательно закрепили использование ЭЦП. Основная формулировка применения ЭЦП такая — ЭЦП приравнивается к собственноручной подписи. Многие не знают, но за передачу ключей ЭЦП (здесь и далее буду использовать термин — ключи ЭЦП. Все называют просто ЭЦП, а по факту это две пары ключей — для аутентификации и подписи). За передачу третьим лицам даже есть какая-то ответственность. Очевидно, что многим людям это без разницы, не понимают всей серьезности.

Вообще тема поста про NCALayer, прослойка между браузером и ключами ЭЦП. По безопасности — это уязвимый механизм использования ЭЦП.

Что такое NCALayer

Так как основная реализация криптопровайдера на Java и в последних версиях браузеров нет возможности использовать апплеты, то НУЦ придумал оригинальное решение для использования ЭЦП в браузерах. Это решение называется — NCALayer. NCALayer — посредник между браузером, криптопровайдером и ключами ЭЦП.

NCALayer устанавливается локально на компьютере пользователя. Работает NCALayer следующим образом — открывается вебсокет сервер на определенном порту, куда отправляется разного рода запросы.

Опуская все детали подключения, рассмотрим пока два запроса, чтобы иметь общее представление как NCALayer работает:

После отправки запроса, на машине где стоит NCALayer, открывается диалоговое окно, которое предлагает выбрать файл ключей ЭЦП.

Соответственно, после выбора ключа, через сокет получаем следующий ответ.

Внимание: при использовании NCALayer, получаешь реальный путь к файлу на машине клиента.

Если у вас есть путь к хранилищу ключей, то для последующей работы обязательно нужно предоставлять пароль от этого хранилища. Обычно сайт как-то забирает этот пароль через формочку. Вот пример, как подписать или поставить ЭЦП на какие-нибудь данные.

Не буду публиковать ответ, но там содержится подписанная часть xml, которая была в запросе.
Повторюсь, получить пароль от хранилища ключей ЭЦП, ложится на плечи сайта. То есть, сайт всегда знает где лежат ключи и пароль у пользователя, иначе работать нельзя.

Минусы реализации текущего варианта NCALayer

Здесь один большой минус — путь к файлу и паролю доступен любому разработчику сайта, где используется ЭЦП. Даже пользуясь всякими токенами, при использовании NCALayer, пароль от устройства-токена также передаются на сайт. По крайней мере, текущая реализация позволяет это сделать.
Хранение путей к ключам и пароль каждый сайт может хранить у себя в базе. Может и не хранить. Вообще, хранить или же не хранить пути и пароли — опять же, все это лежит на совести разработчиков сайтов.
Любой сайт может за вас подписывать данные без вашего ведома в фоновом режиме, если он знает про путь где хранятся ключи и пароль. Опять таки, Если вы хоть раз использовали ЭЦП на сайте, то сайт уже знает путь к файлу и паролю. Если сайт-злоумышленник, то он гарантированно сохранит пароль где-то у себя.
Хочу заметить, что прямой доступ к носителю с ключами не предоставляется. Доступ ограничен только функциями NCALayer.

Реальный пример, как получить доступ к egov.kz, если ты не владеешь ЭЦП человека

Не буду углубляться глубоко в технические детали и реализацию. Опишу как можно это сделать.
Теперь, чтобы эту уязвимость эксплуатировать, нужно понимать как работаем механизм входа на egov.kz через ЭЦП. Для входа на egov.kz, xml от egov.kz подписывается пользователем и передается на сервер, где проверяется. Если подпись валидна, то осуществляется вход. Со стороны NCALayer, процесс входа состоит из следующих шагов:

Портал запрашивает следующие данные из NCALayer — loadSlotList (здесь можно ответить ошибкой), getKeys, getSubjectDN, getNotBefore, getNotAfter и signXml. Если NCALayer правильно подставит эти данные от другого пользователя, то соответственно мы удачно войдем в систему. Здесь очень важно правильно получить от NCALayer только subjectDN и xml для подписи.
Теперь как получить доступ к egov.kz от другого человека, механизм:

У себя на компьютере, извлекаешь xml строку, которую нужно подписать чтобы войти на egov.kz. Это делается так, просто в консоли разработчика на idp.egov.kz, нужно запросить следующие данные — document.getElementById('xmlToSign').value .
Отправляешь xml строку на подпись нужному человеку, который сидит на сайте-злоумышленнике. Он у себя на компьютере, в фоновом режиме подписывает нужную xml строку. Дополнительно получаешь subjectDN.
Сейчас в наличии есть subjectDN и подписанный xml.
Теперь самое интересное, у себя на компьютере эмулируешь работу NCALayer, который отдает необходимые данные.

Некоторые утверждения

Пост не рассчитан на широкую аудиторию, больше на технарей, которые понимают принципы веб-разработки.
Уязвимы ВСЕ ресурсы, которые используют NCALayer.
Познания в криптографии не нужны.
Для эксплуатации этой уязвимости не нужно получать SDK от НУЦ. Соответственно, НУЦ не в состоянии выявить сайты-злоумышленники.
Разработчики NCALayer не могут дать гарантии, что злоумышленники не смогут использовать такой механизм. Это будет глупо отвечать за всех. Технически возможность есть.
Уязвимы ключи не только на файловой системе, но также на токенах.
Вы гарантированно засветили пароль от носителя ключей ЭЦП, даже от токенов. Достаточно войти всего один раз на egov.kz. Как используется пароль на сайте, это на совести разработчиков.
Насколько я слышал, уже есть системы, которые хранят путь к ключам ЭЦП и пароль в настройках.
На сайтах нет уязвимостей, просто схема использования ЭЦП через NCALayer небезопасна.

Что можно сделать

Будет неудобно — но при каждом использовании ключей, запрашивать хотя бы пароль.
Продвигать web crypto api
.

Эмулятор NCALayer
Приложение, которое без ведома пользователя, в фоновом режиме подписывает данные

Проверить ЭЦП, т. е. расшифровать код самостоятельно, невозможно : необходима специализированная программа. Самый легкий способ проверить подпись, не вдаваясь в технические подробности, — использовать сайт Госуслуг. Для этого необходимо совершить ряд действий.

Следует знать! Для проверки ЭЦП на сайте Госуслуг регистрация и подтверждение учетной записи не потребуются.

В разделе «Электронная подпись» пользователям доступно несколько вариантов проверки электронной подписи, как на физическом носителе, так в виде файла.

Подтверждение сертификата — это получение информации о владельце ЭЦП, сроке действия и органе, выдавшем подпись.

Выберите необходимый вариант, загрузите файл, введите капчу (код с картинки) и запустите проверку нажатием кнопки «Проверить». После обработки данных результата проверки ЭЦП на портале Госуслуг отобразится вся информация.

Что делать, если не работает электронная подпись на госуслугах?

В случае если портал Госуслуги не видит электронную подпись и не разрешает вход, следует обратиться в удостоверяющий центр, в котором была приобретена ЭЦП, либо к сотрудникам сайта Госуслуг. Однако ряд действий можно произвести самостоятельно. налоговой отчетности и уплаты налогов.

1. Попробуйте другой браузер — иногда причина того, что Госуслуги не видят ЭЦП, заключена в установке непроверенных дополнений (плагинов).
2. Попробуйте зайти на сайт с другого компьютера или устройства.
3. Попробуйте временно отключить антивирус и войти без его контроля.
4. Убедитесь с целостности физического носителя, проверьте файл на портале по инструкции, указанной выше.
5. Посмотрите, не вышел ли срок годности ЭЦП, в этом случае вам придется купить новую подпись.
6. Посмотрите в календарь, часто висит сам портал, когда наступают последние дни сдачи

Если сайт Госуслуги не видит сертификат ЭЦП, а все вышеуказанные ситуации не подходят, нужно перенастроить браузер Internet Explorer.

Если по-прежнему не работает электронная подпись на Госуслугах, переустановите плагин.

Перейдите «Сервис» — «Настроить надстройки» — «Отображать: все надстройки», здесь убедитесь, что настройки плагина Rostelecom включены. Очистите кэш и куки, перезапустите Internet Explorer. Перейдите по ссылке и установите новый плагин Rostelecom.

Помните! Портал Госуслуг рекомендует использовать браузер Internet Explorer последней версии.

Перед обращением в службу поддержки сделайте скриншоты вкладок браузера по каждому пункту, в том числе предоставьте скриншот списка установленных программ. Его делают, перейдя по следующему пути в ОС Windows компьютера: «Пуск» — «Панель управления» — «Программы и компоненты». На скриншоте должны быть видны следующие данные: версия плагина от издателя Rostelecom и дата его установки. По всем вопросам, связанным с получением ЭЦП, вы можете проконсультироваться у наших специалистов. Просто позвоните нам или оставьте заявку на сайте.

С развитием интернета стало актуально получать отдельные услуги, не выходя из дома. Поэтому полезно знать, как зарегистрироваться в Егов с ЭЦП с персонального компьютера. Эта информация поможет вам пользоваться услугами государственных органов онлайн в любое удобное время. Узнайте последовательность действий, которые помогут сэкономить время.

Как зарегистрироваться на Егов с ЭЦП?

Чтобы успешно пройти регистрацию на портале, необходимо ознакомиться с текстом соглашения, подтвердить его и отметить галочкой пункт ниже — «Физическое лицо». Далее регистрация проходит следующим образом:

Фото: egov.kz: UGC

Как скачать Егов на компьютер? Вы можете сохранить ключи ЭЦП в отдельной папке или на переносном носителе. Многие пользователи также задаются вопросом, как активировать ЭЦП? Вам понадобится загрузить ключи. Для этого перейдите на сайт НУЦ. Сразу вам нужно узнать, обработалась ли ваша заявка, поэтому активация ЭЦП egov проходит так:

Выберите раздел «Статус заявки».
Впишите ее номер и кликните «Искать».
Если регистрационные свидетельства выпущены, тогда нажмите «Загрузить сертификаты».

В результате сертификаты загрузятся в выбранную папку на компьютере, и вы сможете использовать их при необходимости. Когда может понадобиться активировать ЭЦП? К примеру, перед тем как зайти в «Личный кабинет» Егов. Здесь вы сможете выполнять различные операции, о которых поговорим ниже.

Как войти в «Личный кабинет» Егов через ЭЦП?

В кабинете отображается ваша личная информация. Здесь вы можете проверить очередь в садик или на жилье, данные о документах, список реестра должников и другие сведения. Все эти данные предоставляет egov.kz «Личный кабинет». ЭЦП помогает войти в пространство только вам и защищает информацию от посторонних. Именно поэтому предусмотрена система безопасности с использованием ключей.

Если сертификаты хранятся в папке на компьютере, тогда вот как войти в Егов с ЭЦП:

Кликните «Войти по ЭЦП».
Нажмите на раздел «Выбрать сертификат».
Укажите путь к сертификату ЭЦП Егов.
Выберите «Войти в систему».

Фото: egov.kz: UGC

Теперь «Личный кабинет» egov.kz находится в вашем распоряжении. Как войти в Егов с ЭЦП на флешке? Эти типы хранилищ не слишком хорошо защищают данные, поэтому используются редко. Вы можете скопировать сертификаты на компьютер и действовать по указанному выше способу.

Напрямую с флешки вы сможете использовать сертификаты по прямому назначению — для подписания документов. А вот для входа на портал такой вариант не подойдет.

Что еще позволяет сделать ЭЦП? К примеру, вы можете изменить пароль на портале, чтобы повысить защиту. Для этого поступите так:

Кликните кнопку «Смена пароля по ЭЦП».
После загрузки сертификата система выдаст новую форму.
Укажите новый пароль и его подтверждение.
Теперь внесите ИИН или БИН, новый пароль, чтобы войти в систему.

Теперь вы можете пользоваться порталом egov, войти в который несложно с помощью установленных сертификатов. Как видите, система разработана с целью защиты личных данных, поэтому не стоит беспокоиться.

Развитие интернета позволяет нам эффективно управлять своим временем и не тратить его на пустые поездки в госструктуры. Теперь все необходимое можно найти на сайте электронного правительства. Пользуйтесь на здоровье!

Узнавайте обо всем первыми

Подпишитесь и узнавайте о свежих новостях Казахстана, фото, видео и других эксклюзивах.

Дина Ли специально для Informburo.kz

Пошаговая инструкция, как получать госуслуги на сайте электронного правительства.

Разобраться в том, как пользоваться Egov.kz – задача не из простых. Но если уделить этому немного времени и попытаться вникнуть, можно существенно облегчить себе жизнь. Informburo.kz совместно с госкорпорацией "Правительство для граждан" подготовил пошаговую инструкцию, которая поможет не только зарегистрироваться на сайте электронного правительства, но и получать государственные услуги, не выходя из дома.

Любой ли компьютер подойдёт для работы с сайтом электронного правительства?

Выйти на сайт Egov.kz можно как с помощью различных гаджетов, типа планшетов или смартфонов, так и персональных компьютеров – стационарных или же ноутбуков. Пока мобильные приложения только развиваются, поэтому мобильные гаджеты не дают доступа ко всем государственным услугам, имеющимся в интернете. Все без исключения разделы сайта электронного правительства открыты лишь для пользователей персональных компьютеров (PC).

И на стационарные компьютеры, и на ноутбуки должно быть установлено специальное программное обеспечение для защиты данных NCALayer. Установить его на PC самостоятельно несложно. Для этого нужно зайти на сайт Национального удостоверяющего центра РК – PKI.gov.kz, выбрать раздел "получить ключ ЭЦП" и скачать программу, выбрав нужный вариант: для Windows, для Linux или для MacOSX. Скачанное программное обеспечение запускается и устанавливается на компьютер, как любая другая программа.

Что необходимо для регистрации на сайте Egov.kz?

Чтобы зарегистрироваться на сайте электронного правительства, необходимо получить электронно-цифровую подпись (ЭЦП). Её можно получить в любом отделении ЦОНа. Для этого там же на сайте нужно подать заявку, указать все требуемые данные (ИИН, адрес электронной почты, название населённого пункта, где планируете посетить ЦОН). Затем, своё электронное заявление необходимо скачать и вместе с ним, а также удостоверением личности посетить ЦОН – это гарантия того, что именно вы подавали заявление, а не кто-то другой от вашего имени.

В ЦОНе необходимо взять талон на очередь "ЭЦП" и подписать заявление у сотрудника центра обслуживания. Сразу после этого уже можно скачивать ЭЦП с сайта PKI.gov.kz – для этого нужно лишь добраться до своего персонального компьютера и ввести номер заявки. Электронно-цифровая подпись представляет собой два ключа: один – для входа в свой личный кабинет на сайте Egov.kz, другой – для подписи, при получении услуг. Далее необходимо придумать код ЭЦП, который будет действителен тоже один год. Он должен состоять не менее чем из 6 символов, но и не более чем из 8. Кстати, ЭЦП действительна всего год.

Как зарегистрироваться на сайте Egov.kz?

Сайт Электронного правительства / Скрин с сайта egov.kz

Как получить электронную государственную услугу?

Рассмотрим один из распространённых примеров госуслуг, которые казахстанцы хотели бы получать в электронном формате, но не все могут это делать. Речь идёт о выписке по налоговым задолженностям и их оплата. Проще всего найти нужную услугу через поисковик, введя слово "налоги". Портал предоставляет десятки ссылок, из которых следует найти и выбрать нужную, к примеру, по физическим лицам. Если задолженность есть, нажимая кнопку "подробнее", получаете возможность с ними ознакомиться, уточнить, идёт ли речь о транспортном налоге, налоге на недвижимость или земельном, есть ли пеня.

В чём преимущество оплаты через сайт электронного правительства?

Когда речь идёт об оплате налогов или штрафов, факт перечисления средств фиксируется и сохраняется в базе данных, поэтому, даже если чек будет потерян, его можно восстановить в любой момент. Все виды оплат через портал Egov.kz осуществляются с комиссией в 100 тенге. Сотовая связь и переводы, касающиеся Жилстройсбербанка, комиссией не облагаются.

Что такое личный кабинет на Egov.kz?

Личный кабинет – это страница пользователя сайта Электронного правительства, на которой, можно просмотреть все основные персональные данные: от паспортных, до сведений о заключении брака. В их числе есть немало полезных данных, получить которые столь же легко и оперативно не всегда представляется возможность. На странице личного кабинета Egov.kz, к примеру, есть пункт - "реестр должников" и, если у пользователя имеются какие-то задолженности то, он о них сразу же узнает и сможет оплатить, аналогично тому, как это описывалась в выше, только на этот раз искать отдельно категории не нужно.

Персональные данные в личном кабинете / Скрин с сайта egov.kz

Кроме того, здесь есть отдельно пункты, посвящённые штрафам: автомобильным и административным, статусу индивидуального предпринимателя, очереди на жильё, информации о прикреплении к поликлинике, а также отчислениям работодателя по социальному медицинскому страхованию" – одним словом всё, что необходимо знать для того чтобы контролировать положение собственных дел. В самом низу страницы есть ещё один полезный пункт – "взаимодействие с Правительством". С его помощью можно прямо на сайте перейти в кабинет налогоплательщика, записаться на приём к министру, оформить обращение граждан или забронировать очередь в "Правительство для граждан".

Читайте также: