Защита передаваемой формы электронной подписью - как?

GRIG

Новичок
Дано:
Есть фирма ("провайдер"), которая оказывает другим фирмам ("клиентам") услуги, связанные с некоторой информационной системой (не интернет!). Клиенты время от времени присылают провайдеру заявки на административные действия, связанные с изменениями каких-либо параметров доступа к системе (вроде "я принял на работу человека - разрешите ему доступ к системе" или "я открываю новый офис - опишите его у себя, чтобы мои люди могли пользоваться системой"). На текущий момент эти заявки идут в виде заполненного бумажного бланка, заверенного подписью директора фирмы-клиента и печатью. Для каждого вида работы - свой бланк. Доставка заявки до провайдера - традиционное письмо в конверте или факс, в лучшем случае емейл с приаттаченным сканом бумажной заявки.
С некоторых пор эта технология объявлена "каменным веком", и принято решение создать для клиентов дополнительный служебный интернет-сайт, на котором они будут сами вводить свои заявки в разного рода формы, которые будут заноситься в базу данных. Неприятность, однако, заключается в том, что при таком подходе нет документа с подписью и печатью клиента. А документ очень нужен, поскольку речь идет о выставлении счетов за предоставленные услуги. А это все-таки деньги (не суть важно какого размера - они по-любому счет любят).
В порядке выхода из этого клинча возникла идея: раз уж у нас данные передаются в электронном виде - то пусть и подпись будет тоже электронная. Тем более, что с некоторых пор это стало вполне законным делом.
И, как вы уже догадались, реализовывать все это предстоит мне.

Вопрос:
Где и чего можно почитать на тему того, как организуются подобные процессы? Интересует и сторона провайдера, и сторона клиента.
Эта тема для меня совершенно новая, так что в ответах прошу рассчитывать на уровень программиста с большим общим стажем, который хорошо знает PHP, JavaScript, HTML и прочее, имеет возможность проконсультироваться с админами по настройке ОС, веб-сервера и сервера БД, но по обсуждаемой теме не знает больше ничего.
 

WMix

герр M:)ller
Партнер клуба
очень интересно, и что будем с этой подписью делать?
чем тебе email+pass не подпись?
 
Последнее редактирование:
  • Like
Реакции: AmdY

bbldzr

Новичок
Если вы имеете ввиду настоящую электронную подпись, а не какой-нибудь её аналог, созданный своими силами, то попробуйте обратиться в ближайший Удостоверящий центр. С большой верятностью, вам там помогут или хотя бы подтолкнут в нужном направлении.
 

GRIG

Новичок
очень интересно, и что будем с этой подписью делать?
Убеждаться, что форма заполнена действительно ответственным сотрудником, а не кем-то, кто выдает себя за него
чем тебе email+pass не подпись?
Пока не знаю.
вообще чтоб понимать проблему нужно знать хотябы это webinterface или это webservice
Это веб-интерфейс.
 

WMix

герр M:)ller
Партнер клуба
Убеждаться, что форма заполнена действительно ответственным сотрудником, а не кем-то, кто выдает себя за него
те ты боишься что кто-нибудь украдет пароль, и после потделает форму?
если поглядеть на всякие payPal или webmoney,... , где речь идет действительно о деньгах, то там решается на уровне простого пароля. webmoney пошла на шаг дальше и просит верификацию трансакции через номер указанного телефона SMS. (тут и email подойдет). может этого будет достаточно? можно дополнительно записать IP UserAgent
но вообще все можно сделать проще. форма генерит pdf документ, который должен быть распечатан, подписан, отсканирован, и подгружен как оригинал с подписью и печатью.
в этом случае вам конечно придется перепечатать данные документа, или на крайний случай сравнить
 
Последнее редактирование:
  • Like
Реакции: AmdY

GRIG

Новичок
Вообще-то я пока плохо представляю, что и как надо делать. Я просто изучаю этот вопрос. Так что наверняка мои ответы будут глупыми и сумбурными.

payPal и webmoney в данном случае аналогами могут служить лишь частично - это изначально системы личного пользования. Т.е. за аккаунтом в системе стоит только 1 реальный человек. В моем случае речь идет о том, что аккаунт в системе обработки заявок хоть и выделяется 1 человеку, но этот человек рассматривается как представитель фирмы, а не как частное лицо. В частности, передача логина и пароля между сотрудниками фирмы вполне возможна. При таком раскладе повышается вероятность того, что доступ к аккаунту получит злоумышленник, скрывающийся среди работников фирмы.
Насчет генерации pdf-документа. Т.е. получается примерно такая картина: клиент заполняет форму - сервак в ответ посылает сгенерированный по данным этой формы pdf-документ - клиент распечатывает документ, накладывает на него подпись и печать и снова посылает серверу. Так?
 

AmdY

Пью пиво
Команда форума
GRIG
идеальный вариант:
1. пользователь логинится в системе
2. заполняет форму
3. после отправки получает пароль через sms
4. вводит этот пароль и заказ считается подтверждённым
5. получает ссылку на распечатку заявки, вдруг она нужна для внутренней отчётности.

вобщем, всё как писал WMix
 

AmdY

Пью пиво
Команда форума
WMix
ну, я взял всё что ты говорил и собрал в одну инструкцию, а то размазано было по постам. понятно дело вариации могут быть, можно даже целые пункты вычеркнуть.
ИМХО, подтверждение даже маразматично, я бы остановился на логине-пароле, вебмани меня вечными смсками бесит, но каждый сам в праве выбирать.
 
Сверху