Как работает идентификация пользователей через «Госуслуги»

В последний год польза от портала ГосУслуги ощущается как никогда раньше. Помимо получения знаменитого QR-кода, можно без очередей отправить заявление на документы или справки, оплатить штрафы, получить выписку из электронной трудовой и многое др.

Мало кто знает, что аккаунт на ГосУслугах используется для упрощенной регистрации и авторизации на сайтах гос. структур и некоторых коммерческих организаций, о пользе этой возможности мы хотим рассказать подробнее.

Почему ЕСИА безопасна

Безопасность ЕСИА обеспечивается государственными органами, что гарантирует сохранность ваших персональных данных при любых попытках их получить извне. Чаще всего злоумышленники получают доступ из-за невнимательности самого пользователя.

Чтобы обезопасить ваш аккаунт, воспользуйтесь чек-листом от Манимо:

• Настройте двухфакторную аутентификация на ГосУслугах и привязанной к порталу почте.
• Не используйте пароль как на других сайтах.
• Настройте оповещение о каждом входе в аккаунт на сайт ГосУслуг.
• Установить пин код на сим-карту, на случай потери телефона.

Это минимальный набор действий, который защитит ваши персональные данные.

Единая система идентификации и авторизации (ЕСИА) – это единственный способ верифицировать личность пользователя. Если продукт работает с деньгами, решает юридические задачи или работает с медицинскими данными, без интеграции с ЕСИА не обойтись. Рассказываем, что нужно знать, чтобы работать с этой инфраструктурой.

ЕСИА появилась в 2010 году и изначально использовалась для авторизации на Портале госуслуг. За прошедшее время возможности системы постоянно развивались, и сегодня коммерческие организации используют её, чтобы связывать учётные записи пользователя с их оффлайн-личностью.

То есть если компании нужно удостовериться, что по ту сторону экрана действительно тот человек, которым представился пользователь, ЕСИА предоставляет такую возможность. И самое главное – эта идентификация имеет юридическую значимость.

Cetera выполняет интеграцию с ЕСИА только в составе комплексных проектов по созданию, поддержке и развитию личных кабинетов.

Что дает регистрация

ЕСИА – это информационный портал, работающий на территории Российской Федерации. Главным руководством, которое отслеживает функционирование системы, является Минкомсвязи, обеспечивающий доступ россиянам к информации из государственных реестров.

Система похожа на электронный паспорт каждого гражданина, где содержится полная информация о документах. С помощью ЕСИА можно пройти быструю регистрацию в нужном ведомстве (ФНС, портале Госуслуг, ПФР и так далее). Но предварительно придется пройти регистрацию.

Основное предназначение портала

За счет современной структуры АРМ ЕСИА предоставляет информационный доступ к порталу Госуслуг и другим сервисам государственных учреждений. В результате каждый пользователь может значительно облегчить контакты с государственными ведомствами, подавать заявления, не выходя из дома. Используя сервис, гражданин может воспользоваться следующими функциями:

• сделать замену российского или загранпаспорта;

• получить информацию о начисленных штрафах, налоговых и судебных задолженностях;

• проверить состояние пенсионного счета;

• оформить первый загранпаспорт.

Ежегодно ЕСИА расширяет список доступных функций, поэтому регистрация на портале актуальна для частных пользователей и юридических лиц.

Небольшая справка о развитии сервиса

Расшифровка сервиса позволяет ознакомиться с основным предназначением – Единая система идентификации и аутентификации.

Формирование электронного сервиса происходило в несколько этапов:

• в 2010-ом году появился сервис, помогающий оперативно авторизоваться на портале Госуслуг;

• в 2011-ом году произошло расширение функциональных возможностей за счет подключения дополнительных государственных ресурсов. Теперь создать учетную запись могут не только частные лица, но и ИП и юридические лица;

• согласно Правительственному распоряжению от 2014-ого года была одобрена интеграция системы в другие государственные сервисы муниципального и регионального значения, что позволило создать единую информационную сеть по всей территории страны.

В будущем планируется дальнейшее развитие доступного функционала.

Какие функции исполняет

ЕСИА – это функциональная система, позволяющая выполнять следующие действия:

• прохождение участниками идентификации и аутентификации;

• оформление и создание цифровой подписи для участников;

• своевременное информирование граждан о состоянии счета в Пенсионном фонде Российской Федерации;

• возможность оформлять записи в государственные инстанции, вставать в очередь в детский сад;

• формирование запросов заявлений на предоставление российского гражданства;

• прохождение авторизации через информационный канал ЕСИА исполнительными и ответственными государственными органами.

В личном кабинете пользователь может корректировать указанную информацию, использованную для идентификации.

Какие задачи решает

Информационная система была создана для решения следующих задач:

• создание для пользователей единой учетной записи, которую возможно использовать в большинстве государственных ведомств и информационных системах, разработанных для госучреждений;

• идентификация и аутентификация должностных граждан и представителей исполнительной власти, а также контактов межведомственных организаций;

• предоставление различным группам населения (частным лицам, ИП, юридическим лицам) возможности использовать информационные порталы, государственные, региональные и муниципальные базы;

• предоставление выделенного доступа государственным служащим к информационным базам.

Кроме того, систему ЕСИА используют различные информационные сервисы за счет применения единого порядка идентификации и аутентификации.

Контакты информационных систем и ЕСИА осуществляются посредством сообщений в электронном формате. Техническая разработка проходит посредством стандартов SAML 2.0 и OpenID Connect 1.0.

В каком порядке осуществляется регистрация

После полного определения, что такое ЕСИА, важно рассмотреть вопрос о прохождении регистрации. Чтобы получить учетную запись, потребуется:

• открыть официальный сайт информационного сервиса идентификации и аутентификации;

• заполнить стандартную информацию: ФИО, контактные данные (номер телефона, адрес электронной почты);

• при указании мобильного номера телефона, приходит смс сообщение с кодом для подтверждения введенной информации. Остается нажать кнопку для подтверждения действий;

• при указании электронного адреса, на ящик отправляется автоматическое письмо с ссылкой для подтверждения. Кликнуть на гиперссылку для перехода по адресу;

• остается придумать надежный пароль для входа в личный кабинет. Минимальная длина – 8 символов. Также необходимо использовать знаки из списка разрешенных, прописные и заглавные буквы, цифры.

При получении упрощенного аккаунта пользователь имеет доступ к ограниченному количеству услуг. Поэтому рекомендуется первоначально завести стандартную учетную запись. В таком случае потребуется выполнить следующий порядок действий:

• авторизоваться в личном кабинете;

• перейти в информационный раздел с персональными данными;

• кликнуть по кнопке заполнения профиля;

• указать персональную информацию и кликнуть «сохранить»;

• подождать, пока произойдет автоматическая проверка указанных данных в базе ПФ. Проверяются паспортные данные, СНИЛС, указанный возраст и пол. ФМС подтверждает правильность заполненных реквизитов.

Если пользователь указал все данные верно, то автоматически открывается доступ к расширенным функциям. Чтобы иметь полное представление о том, что предполагает учетная запись ЕСИА на Госуслугах, нужно обзавестись подтвержденным аккаунтом.

Подтверждение аккаунта возможно выполнить следующими способами:

• при личном посещении любого отделения МФЦ;

• через комбинацию, полученную по почте. Данный способ определяется в качестве идентификационного кода ЕСИА. Не считается рекомендуемым, так как существует высокая вероятность заполучить доступ злоумышленникам;

• применение ЭЦП.

Чтобы узнать учетную запись, для начала потребуется пройти авторизацию в личном кабинете, открыть раздел персональных данных и кликнуть на кнопку подтверждения. Далее выбрать соответствующий способ подтверждения и нажать на кнопку Готово.

Прохождение аутентификации

Прохождение процедуры происходит следующим образом:

• пользователь направляет запрос на сервис государственного ведомства;

• отправляется запрос на ESIA аутентификацию;

• инициатора обращения проверяют на достоверность указанных данных и на наличие открытой сессии. В случае ее отсутствия, процедура осуществляется посредством автоматического перехода на соответствующую страницу;

• если предыдущий шаг прошел успешно, то ЕСИА автоматически начинает определять идентификационные значения участника.

На основании полученной информации, пользователю предоставляется доступ к защищенным данным.

Какую информацию хранит информационный сервис

Не менее важным является то, какая информация хранится на информационном портале:

• данные российского паспорта;

Как защищены персональные данные

Информация, которая передается в процессе регистрации аккаунта, отправляется на хранение в государственные сервисы. Приоритетом является обеспечение безопасности персональных данных. Поэтому важно продумать высокий уровень надежности пароля. Информация передается только по защищенным каналам связи со встроенными стандартами K1. Доступ к личным данным имеет только владелец личного кабинета.

Какие возможности открывает такая идентификация

1. Клиент может подписывать юридически значимые электронные документы, получать защищённый доступ к конфиденциальной информации, медицинским данным и т.д.

2. Появляется возможность автоматически заполнять в анкетах и заявках персональные данные клиента: ФИО, данные паспорта, ИНН, информация о детях и др. При этом компания может быть уверена, что эти данные абсолютно верны и правдивы.

3. Страховые компании и банки могут продавать через приложение свои продукты. И никаких расходов, которые связаны с традиционными, оффлайновыми каналами продаж – не нужно собирать документы, приглашать человека в офис, достаточно разработать скрипт для колл-центра.

4. Для пользователя верификация с ЕСИА повышает доверие к сервису и делает саму процедуру удобнее – не нужно помнить дополнительные пароли, просто нажимаешь знакомую кнопку и всё.

В наших проектах интеграция ЕСИА активно используется в продуктах страховых компаний. Это позволяет клиентам покупать полисы ОСАГО, отправлять извещения о ДТП при оформлении заявок на урегулирование убытков. Это критически важная функция для сценариев заявления о страховых случаях по ОСАГО, когда пользователь не является клиентом данной страховой компании.

Хотя сейчас к ЕСИА могут подключиться не все организации, можно ожидать, что такая авторизация скоро станет де-факто стандартом для пользовательских сервисов. Просто потому, что это надёжно и удобно для клиентов – вместо отдельной учётной записи для каждого ресурса можно использовать единый аккаунт «Госуслуг» и бесшовно пользоваться любыми нужными услугами. Поэтому задумываться об интеграции стоит всем компаниям.

Преимущества ЕСИА

Авторизация на сайтах через ЕСИА

Причём здесь ЕСИА?

На коммерческих сайтах, авторизацию через ГосУслуги можно встретить только у страховых компании, кредитных организаций (банков), профессиональных участников рынка ценных бумаг, негосударственных пенсионных фондов, микрофинансовых и микрокредитных организациях, а также операторов связи.

Как информационная система работает с ЕСИА

ЕСИА является прослойкой между стандартным содержанием приложения и его защищёнными данными. Если пользователю не требуются услуги, которые требуют верификации личности, он может не проходить дополнительную авторизацию. Когда же он захочет попасть в этот раздел, приложение переадресует его на Портал госуслуг, а после успешной авторизации – вернёт обратно.

Технически процесс выглядит так:

1. Пользователь обращается к защищённому ресурсу информационной системы (например, при онлайн-покупке полиса ОСАГО).

2. Информационная система направляет в ЕСИА запрос на аутентификацию.

4. После успешной аутентификации ЕСИА передаёт в информационную систему пакет с идентификационными данными пользователя, информацию об уровне его учётной записи и контексте аутентификации.

5. На основании этой информации система открывает пользователю доступ.

Как организации подключиться к ЕСИА

Процедура подключения занимает около месяца. Это время включает регистрацию необходимых аккаунтов, получение данных от Минцифры, работы по интеграции ИС.

1. Зарегистрируйте руководителя организации на Портале госуслуг. Регистрировать компании в ЕСИА могут только те их представители, которые вправе действовать без доверенности. Им понадобится подтверждённая учётная запись физического лица – т.е. нужно будет не только указать свои данные, но и обратиться в банк или МФЦ для верификации. В последнее время многие банки позволяют сделать это онлайн, через их приложения.

2. Зарегистрируйте вашу организацию.

a. Получите квалифицированную электронную подпись (КЭП) на руководителя организации.

b. Зарегистрируйте юридическое лицо в профиле ЕСИА.

c. Оформите КЭП для юридического лица.

Оформлением КЭП занимаются аккредитованные удостоверяющие центры. Подробная инструкция по этому процессу здесь.

3. Зарегистрируйте информационную систему в ЕСИА.

Регистрация системы происходит через технологический портал. Доступ к нему может получить один из сотрудников компании – действовать через аккаунт представителя уже не обязательно. Этот процесс подробно расписан в Руководстве пользователя технологического портала ЕСИА. В результате регистрации информационная система заносится в реестр ИС и получает мнемонический буквенно-цифровой код.

4. Доработайте систему для обмена данными с ЕСИА.

Аутентификация пользователей в ЕСИА происходит по OAuth 2.0 и OpenID Connect 1.0. Компании необходимо сгенерировать закрытый ключ и сертификат открытого ключа, зарегистрировать его на технологическом портале. Стоит отметить, что ЕСИА поддерживает только российские алгоритмы шифрования ГОСТ Р 34.10-2012 и ГОСТ Р 34.11-2012.

Стоит отдельно отметить, что если в компании уже используются средства верификации пользователей посредством Single Sign-On, то особых технических трудностей при подключении к ЕСИА не будет.

5. Подключитесь к тестовой среде ЕСИА

6. Подключитесь к промышленной среде ЕСИА