КриптоАРМ Gate — безопасная авторизация по УКЭП и сертификату без лишних сложностей

Обратный прокси как фундамент безопасности

КриптоАРМ Gate функционирует как reverse proxy — сервис, расположенный между внешними клиентами и внутренними серверами компании. Все входящие запросы из интернета принимаются шлюзом, проходят проверку и только после этого перенаправляются к конечным ресурсам (ERP, CRM, СЭД, порталам). Клиент при этом видит только IP-адрес и адрес шлюза, не получая никакой информации о реальной структуре сети.

Такой подход решает сразу несколько задач:

• Безопасная авторизация по УКЭП всех пользователей — доступ предоставляется исключительно после прохождения криптографической проверки.
• Контроль и предотвращение несанкционированного использования веб-сервисов, утечек конфиденциальных данных.
• Сокрытие реальной инфраструктуры — внешний злоумышленник не знает ни количества серверов, ни их внутренних адресов.
• Возможность балансировки нагрузки между несколькими бэкенд-серверами без усложнения клиентской части.

Проблема ГОСТ-сертификатов в браузерах и мобильных средах

Классическая авторизация по сертификату на сайтах (TLS client authentication) обычно поддерживается браузерами без дополнительного ПО. Но если речь заходит о российских сертификатах с ГОСТ-криптографией, ситуация кардинально меняется. На десктопах ещё можно установить криптопровайдеры и браузерные расширения, однако:

• Мобильные браузеры в большинстве своём не имеют встроенной поддержки ГОСТ.
• Гетерогенные среды (разные ОС, версии браузеров) требуют постоянного администрирования плагинов.
• Установка дополнительного ПО на личные устройства сотрудников или партнёров часто невозможна или нежелательна.

В результате удобная авторизация по УКЭП через браузер становится труднодостижимой, а подчас и вовсе нереализуемой.

Решение: аутентификация через экосистему КриптоАРМ

КриптоАРМ Gate предлагает альтернативный путь — вынести криптографические операции в специализированные приложения, которые уже умеют работать с любыми сертификатами. Экосистема включает:

• КриптоАРМ ГОСТ и КриптоАРМ для десктопов (Windows, Linux, macOS);
• КриптоАРМ Mobile для смартфонов и планшетов (iOS, Android).

Процесс авторизации по сертификату выглядит предельно просто:

• Пользователь заходит на корпоративный портал и видит виджет «Войти через КриптоАРМ».
• При клике автоматически запускается установленное приложение КриптоАРМ (на ПК или смартфоне).
• В приложении пользователь выбирает нужный сертификат УКЭП, подтверждает операцию — и в этот момент происходит подписание специального токена, а также устанавливается защищённое TLS-соединение со шлюзом.
• КриптоАРМ Gate, успешно проверив подлинность токена и сертификата, перенаправляет запрос на внутренний ресурс. Пользователь мгновенно получает доступ без ввода паролей и без установки плагинов.

Таким образом, реализуется полноценная авторизация по УКЭП практически в один клик — с юридически значимой идентификацией и простым пользовательским опытом.

Какие проверки выполняются на периметре

КриптоАРМ Gate не просто «прокидывает» запросы, но и проводит многоступенчатую валидацию на входе:

• Проверка цепочки доверия сертификата до корневого удостоверяющего центра.
• Проверка статуса сертификата по OCSP и спискам отзыва (CRL) в режиме реального времени.

Ключевая особенность — определение, является ли сертификат квалифицированным (УКЭП). Gate дополнительно анализирует расширения и политики сертификата, гарантируя, что доступ предоставляется только по сертификатам, выданным аккредитованными УЦ.

После успешной аутентификации во внутренние системы передаётся обогащённый HTTP-запрос с извлечёнными из сертификата данными (например, СНИЛС, ОГРН, ФИО). Это позволяет полностью отказаться от повторной авторизации на уровне ERP или CRM — пользователь уже надёжно идентифицирован.

Итоги: беспарольная авторизация по сертификату без компромиссов

КриптоАРМ Gate превращает авторизацию по УКЭП из трудоёмкой инженерной задачи в готовый сервис. Организация получает:

• Строгую двухфакторную аутентификацию без паролей, фишинга и перехвата учётных данных.
• Полную поддержку ГОСТ-криптографии на любых устройствах — десктопах, ноутбуках, смартфонах.
• Сокрытие внутренней сети за reverse proxy, отсутствие необходимости открывать прямые порты к бэкендам.
• Юридически значимую идентификацию пользователей и простую передачу атрибутов сертификата в бизнес-системы.
• Быстрое внедрение: установка шлюза, настройка виджета «Войти через КриптоАРМ» — и сотрудники с контрагентами получают защищённый доступ в любую точку мира без браузерной головной боли.