1. Я так понимаю, что используя предложенный NCAlayer и корневые сертификаты вместе с ним, Я не могу быть уверен за безопасность моих данных. Кто-то может более подробно объяснить ужасающие последствия использования, в случае, если на стороне НУЦ РК захотят использовать мои данные, какие доступы они смогут получить?

2. Я так понимаю браузеры отказались от использования JAVA, в связи с не безопасным использованием данного апплета, а нам предлагают использовать прежний JAVA, но через так называемую прослойку... Браузер отключает апплет, мы ставим прослойку, чтобы вновь его включить. Неужели наши разработчики умнее разработчиков гугла?

P.S. Я далёк от программирования в этой сфере, но всё же хочется услышать более рассудительные ответы от знающих. Заранее благодарен.

ildar написал:


Поддерживаю данное предложение.

Всегда ставлю в пример сайт Народного Банка - и JAVA нет, и работает на любых устройствах, и нет геморроя с подключением\регистрацией, нет ключей и с безопасностью все в порядке. Может стоит в эту сторону посмотреть?

Добрый день.

Все не так просто, как кажется.
Мы деятельно изучали проблему с NPAPI.
Да технология Java апплетов морально устарела, но она работает. Это конечно не значит, что мы будем использовать ее все время. Мы продолжаем следить за трендами, изучаем опыт наших коллег.
Хотелось бы приложить здесь нашу аналитику, но к сожалению не могу — корпоративные требования.
Могу сказать только одно, для работы с внешними защищенными носителями в любом случае требуется middleware, поскольку браузер ограничивает «низкоуровневый» доступ к внешним ресурсам операционной системы своей песочницей. По этой причине, пользователю все равно придется дополнительно ставить ПО. Да, и сопровождать придется несколько версий такого программного обеспечения (Windows\Linux\MacOSX), кроме того необходимо учитывать еще и битность системы. А еще необходимо гарантировать работоспособность расширения браузера (апдейты браузера и прочее), которое будет взаимодействовать с middleware. Во общем, не очень светлая перспектива для некоммерческой компании, которая бесплатно выдает сертификаты.

p.s. Мы следим за - WebCrypto, Native Messaging, NaCL/PNaCL, WebExtensions, WebAssembly, Asm.js и иже с ними.

Svetlana_Sh написал:


У них используется ЭЦП или просто SMS аутентификация? Не знаком с их реализацией.

Здравствуйте.

Меня тут давно не было и сейчас читая этот топик я понял что у человека который не наблюдал эволюцию NCAlayer с самого начало может сложиться не правильное впечатление о том чем он был и чем он стал сейчас. Поэтому хочу потратить часть вашего и своего времени чтобы разъяснить ситуацию на текущий момент (05.09.2016).

1) Мня печалит то, что такие разъяснения приходиться давать мне самому. Человеку который не имеет не какого отношения к НУЦ РК. Я лишь пользуюсь СДК разработчика от НУЦа. Почему сам НУЦ не может явно разъяснять зависимым от него разработчикам свой решения для меня загадка. ugotbug написал том что "корпоративные требования" не позволяют. Но как вы, т.е. НУЦ, получите обратную связь от пользователей вашей СДК если не будете говорить нам о своих планах. Если вы будете давать нам свой планы на обсуждение заранее, то вам будет проще их скоректировать до начало их реализаций. Время сэкономите. Теперь вернемся к самим разъяснениям.

2) Первоначально NCAlayer представлял собой пример в составе СДК для разработчиков от НУЦ РК. Он НЕ был готовой программой для пользователей ЭЦП.
В его описаний были такие строки: " Информационные системы, которые планируют распространять данное решение среди своих пользователей, должны сами разработать соответствующие инструкции и инсталляционные пакеты, если это им необходимо.
В директории представлен пример использования данного решения. Используя данный пример, внести соответствующие изменения в код вашего приложения. "
То есть на тот момент, год тому назад НУЦ РК предполагал что каждая информационная система которая пользует ЭЦП должна будет реализовать свою версию NCAlayer . Не знаю как других, но тогда это меня возмутило. Мои доводы против такого решения смотрите в первом посте этого топика. Думаю против их планов выступил не я один.

3) Я не знаю как в НУЦ РК принимали решения, но по-видимому в результате полученной обратной связи на их первоначальные планы, они решили кардинально пересмотреть их. Теперь NCAlayer это непросто так какой-то пример в СДК разработчика который обычный пользователь ЭЦП никогда не увидит. Теперь NCAlayer это основное приложение который устанавливают пользователь ЭЦП. NCAlayer можно установить на все основные операционных системы. Если например раньше на ЕГОВе пользовались апплетом на прямую, то сейчас все идет через NCAlayer. Думаю скоро и моя статистика тоже будет все делать через NCAlayer.
То есть НУЦ РК сам разработал одну для всех прослойку с помощью которой все информационные системы могут работать с ЭЦП на разных носителях. Хочу сказать вам спасибо за это. Вы вняли доводам рассудка.

4) Сравнивать работу с ЭЦП с тем как мы работаем с Народным банком думаю не корректно. Вы хотите что б все было как с Народным банком так? Пусть грубо мы будем считать что ЭЦП это тоже самое что и карточка Банка. Но тогда все равно нужно будет решить несколько проблем.
Все важные операций в банке требуют подтверждения на сотовый телефон. Надо будет как то ЭЦП и номер сотового завязать вместе причем в единой базе данных. А потом рассылать СМСки. Кто за СМСки платить будет мне не понятно?

-----------------------
С наилучшими пожеланиями
Рустем Жунусов
www.lastdaywaiting.com