"ДБО BS-Client. Частный Клиент" v.2.2
eToken
версия от 01.01.2001
1. Аннотация
Данный документ предназначен для администраторов системы.
Документ содержит информацию о принципах работы с аналогом собственноручной подписи клиента – eToken.
СОДЕРЖАНИЕ:
1. Аннотация. 2
2. Принципы работы с eToken PASS. 4
3. Импорт в систему ключей eToken. 4
4. Работа клиента с eToken. 5
5. Подтверждение авторизации клиента с помощью eToken. 6
6. Порядок разрешения споров по операциям, осуществленным с помощью «eToken». 7
2. Принципы работы с eToken PASS
В eToken PASS реализован алгоритм генерации одноразовых паролей с использованием алгоритма HMAC и хэш-функции SHA-1. Для клиента eToken PASS выглядит как брелок (Рис. 1), на экране которого отображаются сгенерированный пароль. Этот пароль используется для подтверждения проведения финансовых операций клиентом в системе «Частный Клиент».
Такое использование eToken основывается на статье 160 ГК РФ, в которой говорится, что при согласии сторон допускается использование аналогов собственноручной подписи клиента. При этом он не является ЭЦП и поэтому не подпадает под действие закона «Об электронной цифровой подписи».
Рис. 1 eToken PASS
3. Импорт в систему ключей eToken
Каждый брелок eToken имеет свой серийный номер и секретное значение. Эти данные предоставляет компания Alladin.
Средствами системы «Частный Клиент» генерация этих данных невозможна. Информацию о ключах eToken PASS система «Частный Клиент» получает с помощью импорта информации из файлов, получаемых банком вместе с брелками eToken. На сервере эти данные хранятся в зашифрованном виде.
F Для импорта в систему ЧК ключей eToken необходимо:
· Выбрать пункт меню «Безопасность -> Безопасность -> Список ключей eToken».
ð При этом откроется диалоговое окно «Список ключей eToken» (Рис. 2).
Рис. 2 Диалоговое окно «Список ключей eToken»
· Для загрузки новых ключей необходимо нажать на кнопку «Загрузить», расположенную в панели инструментов диалогового окна.
ð При этом откроется диалоговое окно «Импорт ключей eToken» (Рис. 3).
Рис. 3 Диалоговое окно «Импорт ключей eToken»
· В открывшемся окне необходимо указать путь к файлу формата xml содержащему ключи.
4. Работа клиента с eToken
Для привязки нового ключа клиент должен приехать в банк и получить новый брелок. Привязка нового ключа к клиенту осуществляется уполномоченным лицом банка стандартными средствами ЧК.
При подписи документа, на экране системы интернет-банкинга появляется поле для ввода кода. Клиент нажимает кнопку брелка для генерации нового значения пароля, и вводит полученный код в поле. При генерации пароля счетчик паролей увеличивается на единицу.
Информация о текущем счетчике хранится в самом брелке и синхронизирована с системой ЧК. При получении подписанного документа происходит проверка корректности введенного кода с помощью комплекта драйверов eToken PKI Client.
Внимание! Для корректной работы комплект драйверов eToken PKI Client должен быть установлен на одном сервере с RTS.
Количество попыток ввода неправильного пароля ограничено. Если клиент израсходовал все попытки, то ключ блокируется в системе ЧК. Разблокировать ключ самостоятельно клиент не может. Количество попыток ввода неправильного ключа задается в параметре «InvalideTokenAttempt» (Настройки -> Параметры системы -> Параметры авторизации -> InvalideTokenAttempt).
Разблокировать ключ можно в приложении Построитель. Для этого в таблице «eTokenKeys» (Структуры таблиц -> eTokenKeys) для записи соответствующей заблокированному брелку eToken (нужная запись определяется по ID) необходимо задать для параметров следующие значения:
CountAttempt = 0
eTokenBlockDate = « » (пусто)
eTokenStatusID = 1
При использовании брелка есть вероятность, что клиент случайно нажал лишний раз на кнопку и счетчик паролей на брелке клиента увеличился больше, чем на единицу. В этом случае счетчик нужно синхронизировать с данными в системе ЧК. При этом проверка выполняется не только для текущего значения счетчика, а пробегать вперед на установленное количество значений. Это позволит клиенту успешно подписать документ даже в том случае, если он случайно нажал кнопку генерации следующего пароля. Для задания количества допустимых «случайных» нажатий кнопки на брелке служит настройка «TokenCounterForCheck» (Настройки -> Параметры системы -> Параметры авторизации -> TokenCounterForCheck).
Рис. 4Схема подписи документа с использованием eToken
5. Подтверждение авторизации клиента с помощью eToken
Если необходимо использовать ключи eToken для дополнительной авторизации при входе в «Интернет клиент», то следует активизировать настройку «eTokenAutorization» (Настройки -> Параметры системы -> Параметры авторизации -> eTokenAutorization). Тогда, после ввода клиентом, у которого в качестве аналога подписи выбраны сеансовые ключи, верного логина и пароля система дополнительно попросит вести сгенерированный с помощью eToken пароль.
Рис. 5 Схема подтверждения авторизации клиента с использованием eToken
6. Порядок разрешения споров по операциям, осуществленным с помощью «eToken»
1. При обнаружении спорной операции (электронного документа) с использованием «eToken» Клиент вправе обратиться в Банк с целью ее опротестования. Опротестование операции возможно не позднее 30 календарных дней с момента ее проведения.
2. Указанное опротестование оформляется письменным заявлением в адрес Банка, составленным в произвольной форме и включающим в себя следующую информацию: ФИО Клиента; дата операции; вид операции; сумма операции; причина опротестования.
3. Банк в течение 10 рабочих дней рассматривает заявление Клиента и удовлетворяет претензию Клиента, либо направляет письменный ответ Клиенту о необоснованности его претензии.
4. В случае несогласия с заключением Банка Клиент направляет в Банк письменное уведомление о своем несогласии и требованием формирования конфликтной комиссии для разрешения споров. Конфликтная комиссия формируется на срок до 10 рабочих дней, в течение которого она должна установить правомерность и обоснованность претензии, а также, если необходимо, подлинность и авторство спорной операции.
5. В состав конфликтной комиссии входит равное количество представителей от каждой из Сторон, определяемых Сторонами самостоятельно. Право представлять соответствующую Сторону в комиссии должно подтверждаться доверенностью, выданной каждому представителю на срок работы комиссии.
6. Комиссия определяет, включая, но, не ограничиваясь, следующее:
· предмет разногласий на основании претензии Клиента и разъяснений Сторон;
· правомерность предъявления претензии на основании текста заключенного Договора и Приложений к нему;
· банковскую операцию, относящиеся к предмету разногласий;
· факт входа Клиента в Систему перед отправкой спорной операции;
· соответствие серийного номера брелка eToken PASS, использованного Клиентом, серийному номеру брелка привязанному к клиенту в Банке, и правомерность его использования;
· дату и время поступления операции.
7. Стороны договариваются, что для разбора конфликтных ситуаций комиссия принимает на рассмотрение электронный документ и обязана использовать следующие, признаваемые Сторонами, эталонные данные:
· данные электронного архива принятых, отправленных документов;
· данные базы с информацией об eToken PASS;
· хранимую у Банка программу.
8. Комиссия должна удостовериться, что действия Сторон соответствовали Договору, действующему на момент создания спорной операции.
9. Подтверждением правильности исполнения Банком спорного документа является одновременное выполнение следующих условий:
· информация, содержащаяся в спорном документе, полностью соответствует действиям Банка по его исполнению;
· установлен факт входа Клиента в Систему, предшествующего отправке спорного документа в Банк;
· установлен факт проверки системой одноразового ключа, введенного клиентом;
· значение счетчика паролей на брелке eToken клиента больше значения счетчика использованного при подписи документа;
· на момент отправки документа используемый eToken PASS был привязан к клиенту;
· на момент отправки документа используемый eToken PASS был активен.
В этом случае претензии Клиента к Банку, связанные с последствиями исполнения указанного документа, признаются необоснованными. Невыполнение любого из перечисленных условий означает, что корректность использования одноразового ключа, сгенерированного с помощью брелка eToken PASS и правильность исполнения документа не подтверждена, т. е. проверяемый документ подтвержден некорректным одноразовым ключом, либо документ не был правильно исполнен Банком. В этом случае претензии Клиента к Банку, связанные с последствиями исполнения указанного документа, признаются обоснованными.
10. Результаты экспертизы оформляются в виде письменного заключения - Акта конфликтной комиссии, подписываемого всеми членами комиссии. Акт составляется немедленно после завершения экспертизы. В Акте результаты проведенной экспертизы, а также все существенные реквизиты спорного электронного документа. Акт составляется в двух экземплярах - по одному для представителей Банка и Клиента. Акт комиссии является окончательным и пересмотру не подлежит.
11. Результат работы комиссии Стороны вправе оспорить в порядке, установленном действующим законодательством Российской Федерации. Акт, составленный конфликтной комиссией, является доказательством при дальнейшем разбирательстве спора в судебных органах.
