Проброс токена ЭЦП по сети без драйверов: как подписывать с токеном, который вставлен в другой компьютер

Токен с электронной подписью один, а рабочих мест несколько: компьютер в офисе, ноутбук дома, второй офис. Хочется, чтобы токен работал по сети — как будто он вставлен в каждый из этих компьютеров. Это и называют пробросом токена. Разберём, как эту задачу обычно решают, чем приходится платить за каждый способ и как подписывать с другого компьютера, не пробрасывая токен как устройство.

Почему токен не работает по сети сам по себе

Токен — это USB-устройство, на котором хранится закрытый ключ. Сайты и программы обращаются к нему через КриптоПро CSP того компьютера, куда он вставлен, — другие компьютеры его не видят.

Скопировать ключ на каждое рабочее место получается не всегда: многие ключи на токенах неизвлекаемые. Да и каждая копия ключа — ещё одно место, откуда его могут украсть. Поэтому обычно либо подключаются к компьютеру с токеном удалённо, либо «перевозят» токен по сети на нужный компьютер.

Удалённый доступ: RDP, AnyDesk и похожие программы

Самый быстрый вариант — подключиться к компьютеру с токеном и подписать прямо на нём. Программы удалённого доступа свою работу делают хорошо, но для подписи дают слишком много.

• Доступ ко всему компьютеру. Тот, кто подключился, видит почту, файлы и банк-клиент и может сделать что угодно, а не только подписать документ.
• Компьютер с токеном занят. Удалённый рабочий стол на обычной Windows ещё и блокирует сеанс того, кто за ним сидит.
• Через RDP токен часто не виден. В сеансе удалённого рабочего стола Windows подставляет смарт-карты того компьютера, с которого вы подключились, а не того, к которому. Поэтому для подписи чаще берут программы вроде AnyDesk, которые показывают экран целиком.
• Через интернет нужен VPN: открывать удалённый рабочий стол в интернет напрямую опасно. А в компаниях такие программы нередко запрещает служба безопасности.
• Нет учёта подписей. По журналу подключений видно, кто и когда заходил, но не что именно он подписал.

Подходит, чтобы срочно подписать один документ. Для ежедневной работы с нескольких мест — неудобно и рискованно.

Проброс USB по сети: программы и сетевые хабы

Второй путь — сделать так, чтобы токен «появился» на другом компьютере. Программа или сетевой USB-хаб передаёт устройство по сети, а драйвер на рабочем месте изображает, будто токен вставлен прямо в него. Дальше с токеном работает местный КриптоПро.

Плюс у этого способа настоящий: токен виден любой программе на рабочем месте, а не только браузеру. Минусы — сложность и контроль:

• Драйверы на обоих концах. На рабочее место ставят драйвер виртуального USB, КриптоПро CSP и драйвер токена.
• PIN-код вводят на рабочем месте. Значит, его знает каждый, кто подписывает, или он сохранён на каждом компьютере.
• Токен достаётся кому-то одному. Пока он подключён к одному компьютеру, на остальных, включая тот, куда он вставлен, им не воспользоваться.
• Сеть и задержки. Через интернет нужны VPN или открытый порт, а подпись складывается из множества обменов с токеном: на слабой связи это заметно, при обрыве подпись приходится повторять.
• Стоимость. Программы для проброса USB обычно платные, сетевые хабы — отдельное оборудование.

Подходит, когда токен нужен программам на компьютере, а не только сайтам, рабочие места в одной сети и рядом есть администратор.

Подход «Ключ Онлайн»: по сети идёт не токен, а запрос на подпись

Многие сайты, где нужна электронная подпись, не работают с токеном напрямую. Они обращаются к браузерному плагину КриптоПро: «покажи сертификаты», «подпиши эти данные». Значит, пробрасывать само устройство не обязательно — достаточно доставить запрос до компьютера с токеном и вернуть ответ. Так устроен «Ключ Онлайн»:

1. На компьютере с токеном работает программа «Ключ Онлайн». Она живёт в трее, запускается вместе с Windows и сама подключается к серверу — белый IP, VPN и открытые порты не нужны.
2. На рабочем месте в Google Chrome или Яндекс Браузер ставится расширение. На сайтах из его настроек оно отвечает вместо плагина КриптоПро.
3. Сайт просит подпись — запрос через сервер уходит программе, она подписывает через КриптоПро на компьютере с токеном, и готовая подпись возвращается на сайт. Обычно это занимает несколько секунд.

Для сайта это обычная подпись через плагин КриптоПро. На рабочем месте не нужны ни токен, ни КриптоПро, ни драйверы — только браузер с расширением. Токены на разных компьютерах можно подключить к одному аккаунту: подпись уйдёт туда, где лежит выбранный сертификат.

Что остаётся под контролем владельца токена

• Ключ остаётся на токене. Он никуда не копируется — ни на сервер, ни на рабочее место. По сети передаются запрос и готовая подпись, но не ключ.
• PIN-код не уходит с компьютера с токеном. Его вводят в окне КриптоПро на этом компьютере, обычно один раз — при подключении. В браузере на рабочем месте PIN не нужен.
• Вы выбираете сертификаты. В программе вы отмечаете, какими сертификатами можно подписывать удалённо, — остальных для сервиса как будто нет.
• Каждая подпись — в журнале. В кабинете видно, когда, с какого компьютера и браузера, на каком сайте и каким сертификатом подписали и чем всё закончилось, включая неудачные попытки. Журнал только пополняется: исправить запись задним числом нельзя.
• Лишний доступ закрывается одной кнопкой. Браузер или компьютер можно отвязать в кабинете — подписывать через него больше не получится.

Подтверждать каждую подпись у компьютера с токеном не нужно: когда PIN сохранён, программа подписывает по запросу сайта сама. Поэтому подключайте только свои браузеры и заглядывайте в журнал.

Где работает, а где нет

«Ключ Онлайн» работает на сайтах, которые входят и подписывают документы через браузерный плагин «КриптоПро ЭЦП Browser plug-in». Так устроены многие государственные информационные системы, торговые площадки и операторы ЭДО.

Простой признак: если для входа по электронной подписи сайт просит установить плагин КриптоПро — скорее всего, заработает. Если явных признаков из списка ниже нет, тоже считаем, что заработает: проверьте свои сайты за 3 бесплатных дня.

Не работает:

• где войти можно только через Госуслуги — у них свой плагин;
• где нужен специальный браузер с ГОСТ-шифрованием: там подпись нужна самому браузеру для защищённого соединения, и подставить её с другого компьютера нельзя;
• где у сайта собственная программа или плагин для подписи вместо плагина КриптоПро;
• в программах на компьютере, которые работают с токеном без браузера, — здесь честнее выбрать проброс USB.

Сравнение способов

Другие способы — скопировать ключ или возить токен с собой — сравнили в статье «Как пользоваться ЭЦП на другом компьютере, не перенося ключ».

Как подключить: 3 шага

1. Компьютер с токеном. Зарегистрируйтесь, установите программу из кабинета на компьютер с токеном и введите в ней код из кабинета. Отметьте сертификаты, которыми можно подписывать удалённо: программа сделает пробную подпись, и если КриптоПро спросит PIN, введите его с галочкой «Сохранить пароль в системе». Затем отметьте эти сертификаты в кабинете.
2. Браузер на рабочем месте. Установите расширение «Ключ Онлайн» из магазина Chrome (подходит и для Яндекс Браузера) и введите в нём второй код из кабинета. В настройках расширения добавьте адрес сайта, где подписываете. Если в браузере стоит плагин КриптоПро, включите «подменять даже при наличии настоящего плагина».
3. Подпись. Откройте сайт и войдите по электронной подписи, как обычно: в списке будут сертификаты с ваших компьютеров. Выберите нужный — подпись придёт с компьютера, где вставлен токен.

Обычно подключение занимает около 10 минут. Подробная инструкция по расширению — на отдельной странице.

Сколько стоит

490 ₽ в месяц за одну организацию — это все сертификаты с одним ИНН. Каждая следующая организация — ещё 190 ₽ в месяц. В тариф входят до 5 компьютеров с токенами и до 10 браузеров. Первые 3 дня бесплатно для одной организации, без привязки карты. Оплата картой или через СБП, чек с НДС 5% приходит на почту. Подробнее — на странице «Тарифы и реквизиты».

Передать ЭЦП сотруднику: что можно, а что нет

Отдавать свою подпись другому человеку не стоит: документ с квалифицированной подписью равнозначен бумажному с собственноручной, и подписавшим считается владелец сертификата. «Ключ Онлайн» нужен, чтобы владелец подписывал со своих рабочих мест — из офиса, из дома, с ноутбука в поездке.

Если документы подписывает сотрудник, правильный путь — его собственная подпись и машиночитаемая доверенность (МЧД). А его токен тоже может оставаться в офисе: подписывать им из дома можно через «Ключ Онлайн».

Частые вопросы