Генератор одноразовых паролей OTP: порядок оформления и нотификация ФСБ

Партии генераторов одноразовых паролей OTP закупают под конкретный проект аутентификации, и разрешительная часть привязана к алгоритмическому ядру токена, а не к его форм-фактору. Документ здесь один — нотификация ФСБ, срок 7 рабочих дней через Казахстан или 2 месяца в России, 100 000 ₽ через Казахстан или 35 000 ₽ в России. Описание в уведомлении фиксируют вместе с версией прошивки поставляемой партии.

Разрешительные документы — Генератор одноразовых паролей OTP

OTP-токен относится к изделиям, где криптография видна невооружённым глазом: устройство хранит секретный ключ и на его основе вычисляет одноразовый код по счётчику или по времени. Пока применяются симметричные алгоритмы аутентификации массового применения, действует режим нотификации, и на генератор одноразовых паролей оформляется нотификация ФСБ со сроком 7 рабочих дней через Казахстан или 2 месяца в России.

Граница проходит там, где в токен закладывается российская криптография. Устройство, формирующее электронную подпись по отечественным алгоритмам, перестаёт быть изделием массовой категории: для него нужна лицензия ФСБ со сроком от 2 месяцев, а для разовой поставки — лицензия Минпромторга на основании заключения ФСБ России. Поэтому первым шагом всегда становится разбор криптоядра модели, а не подбор похожей нотификации в реестре.

Уведомление оформляется от имени изготовителя или уполномоченного представителя, действует бессрочно при неизменных криптографических характеристиках и признаётся во всех странах союза.

• нотификация ФСБ — симметричная аутентификация массового применения, 7 рабочих дней через Казахстан или 2 месяца в России;
• декларация ТР ТС 004/2011 и 020/2011 — питание от батареи или USB и электромагнитная совместимость;
• декларация ТР ЕАЭС 037/2016 — ограничение применения опасных веществ, 10 рабочих дней, от 8 000 ₽ по схеме 1д.

Стоимость нотификации — 100 000 ₽ через Казахстан или 35 000 ₽ в России по описанию криптоядра токена.

Особенности этой модификации

Генератор одноразовых паролей — компактное изделие, у которого вся содержательная часть документов сосредоточена в криптоядре. В уведомлении описывают алгоритм вычисления кода, длину секретного ключа, способ его загрузки при персонализации и защиту от извлечения. Радиоинтерфейсов у классического токена нет, поэтому вопросов о разрешении на РЭС и регистрации в Роскомнадзоре не возникает вовсе.

Автономный брелок с дисплеем классифицируют по 8543 70 900 0, USB-исполнение — по 8471 80 000 0. Помехоэмиссия проверяется по ГОСТ 30805.22-2013, устойчивость к помехам и электростатическому разряду — по ГОСТ Р 51318.24-99, безопасность элемента питания и цепей зарядки — по ГОСТ IEC 62368-1-2014. Ключевой развилкой остаётся набор алгоритмов: отечественная криптография переводит модель под лицензию ФСБ.

Алгоритмическая часть у токенов различается сильнее, чем можно предположить по внешнему виду. Одни вычисляют код от текущего времени, другие — от счётчика нажатий, третьи работают по схеме «запрос — ответ», когда пользователь вводит на устройстве число с экрана приложения. От выбранной схемы зависит описание: перечисляют алгоритм, длину секрета, разрядность кода, период его смены и допустимое расхождение с сервером. Указывают также разрядность кода и время его жизни: эти параметры задаются при производстве и в эксплуатации не меняются.

Секрет загружается на этапе персонализации и остаётся в изделии неизвлекаемым. Файл с секретами для сервера аутентификации поставщик передаёт отдельно и, как правило, в зашифрованном виде — товаром он не является, через границу едет только оборудование. В описании фиксируют способ загрузки секрета и то, что пользователь не может заменить алгоритм собственным или дополнить криптофункции. Партию с уже загруженными секретами перевозят как учётный товар с фиксацией серийных номеров.

Форм-факторы на рынке:

• брелок с дисплеем и одной кнопкой — батарея не заменяется, её ресурс и определяет срок службы изделия;
• токен в виде карты с клавиатурой — применяется там, где нужен ввод запроса;
• USB-исполнение, подключаемое к компьютеру;
• модели с бесконтактным интерфейсом — у них появляется радиочасть, и описание расширяется.

Поставки чаще всего срывает версионность: под одним артикулом изготовитель выпускает партии с разной прошивкой и разной разрядностью кода, а в реестровой записи описано исходное исполнение. Проверять нужно не торговое наименование, а совпадение алгоритмического профиля — именно он образует криптографический функционал. Отдельно проверяют, совпадает ли обозначение на корпусе с реестровой записью: у токенов маркировка мелкая и её нередко печатают в сокращённом виде. Перед заказом стоит запросить у изготовителя ведомость соответствия артикулов версиям прошивки — она снимает большую часть вопросов при сверке с реестровой записью.

Как проходит процедура

Нотификация оформляется от имени изготовителя и регистрируется в едином реестре нотификаций Евразийской экономической комиссии. Она действует бессрочно, пока не меняется криптографический функционал модели, и признаётся во всех странах союза. Импортёр вправе ввозить товар по чужой нотификации, если конкретная модель в ней перечислена — проверять это надо до отгрузки, по обозначению модели, а не по торговому названию.

Оценка соответствия по техрегламентам — отдельная ветка работ, которая идёт своим порядком и в своём реестре. Декларация по ТР ТС 004/2011 и 020/2011 оформляется по схеме 1д (серия) или 3д (партия). Декларация по ТР ЕАЭС 037/2016 на содержание опасных веществ идёт одновременно и общий срок не удлиняет.

Отраслевая специфика

Токен не имеет очевидной товарной позиции, и выбор между двумя кодами определяется тем, работает устройство автономно или как периферия компьютера:

• 8543 70 900 0 — прочие электрические машины и аппараты с самостоятельной функцией, применяется к автономным брелокам с дисплеем;
• 8471 80 000 0 — прочие устройства вычислительных машин, подходит для USB-исполнений и смарт-карт-ридеров с генерацией кодов.

Оба кода находятся в зоне внимания при криптографическом контроле, и по обоим инспектор сверяет разрешительный документ с реестром. Формулировка в инвойсе значит не меньше кода: слова «аутентификация», «токен», «электронный ключ» сразу переводят партию в режим проверки.

Что подготовить заявителю

Для старта достаточно минимального комплекта — недостающее поможем подготовить:

• реквизиты заявителя (ИНН, ОГРН) и полные данные изготовителя с адресом производственной площадки;
• перечень моделей и артикулов «Генератор одноразовых паролей OTP» — обозначения должны совпадать с маркировкой на изделии;
• код ТН ВЭД — подберём по описанию, если его ещё нет;
• описание криптографических функций: алгоритмы, длина ключа, назначение шифрования, возможность смены криптомодуля пользователем;
• техническая документация: руководство по эксплуатации, схема, спецификация, фотографии изделия и платы;
• для импорта — контракт, инвойс и письмо на ввоз образцов;

Сколько занимает и сколько стоит

Нотификация ФСБ — 7 рабочих дней через Казахстан или 2 месяца в России, от 100 000 ₽ через Казахстан, 35 000 ₽ в России.

Декларация ТР ТС 004/2011, 020/2011 — 10 рабочих дней, от 8 000 ₽ по схеме 1д, от 19 500 ₽ по схеме 3д.

Декларация ТР ЕАЭС 037/2016 — 10 рабочих дней, от 8 000 ₽ по схеме 1д, от 19 500 ₽ по схеме 3д.

Доплат за срочность в смете нет. Проверить готовый документ можно самостоятельно: по техрегламентам запись видна в ФГИС Росаккредитации, по нотификации — в реестре Евразийской экономической комиссии, по средствам связи — в реестре Роскомнадзора.

REDICO работает с 2010 года: более 14 000 оформленных документов, собственный орган по сертификации и лаборатория с аттестатом 11НК35. Коды ТН ВЭД и обозначения моделей прогоняем через ИИ-проверку — именно на них чаще всего спотыкается выпуск.

Где чаще всего ошибаются

1. Ввоз токена как флеш-накопителя. В инвойсе указывают USB-устройство хранения данных, тогда как модель заявлена изготовителем как средство аутентификации. Расхождение обнаруживается по маркировке и ведёт к отказу в выпуске.
2. Нотификация на модель с российской криптографией. Токен формирует подпись по отечественным алгоритмам, и уведомление для него неприменимо — требуется лицензия ФСБ, срок от 2 месяцев.
3. Партия смешанных исполнений. В коробке едут брелоки, USB-ключи и карты, а перечень моделей в нотификации охватывает только одно исполнение.

Что спрашивают чаще всего

Нужны ли отдельные документы на файл с секретами для сервера?

Нет. Через границу перемещается оборудование, а ключевая информация передаётся по своим каналам и товаром не является. В уведомлении описывают способ загрузки секрета при персонализации и защиту от его извлечения из устройства. Отдельно фиксируют, что пользователь не может изменить алгоритм вычисления кода или добавить собственный.

Что меняется, если токен считает код по схеме «запрос — ответ»?

Разрешительная форма та же — нотификация ФСБ. Меняется описание криптофункций: вместо привязки к времени или счётчику указывают алгоритм обработки введённого запроса, длину секрета и разрядность ответа. Такие модели обычно имеют клавиатуру, и партии под разные схемы вычисления кода нельзя проводить по одной реестровой записи.

Достаточно ли нотификации на OTP-токен?

Да, если устройство вычисляет одноразовые коды на симметричных алгоритмах аутентификации массового применения. Такая криптография относится к категориям, для которых предусмотрено уведомление о характеристиках шифровальных средств. Срок нотификации ФСБ — 7 рабочих дней через Казахстан или 2 месяца в России, действие бессрочное при неизменном криптофункционале.

Когда токену нужна лицензия ФСБ?

Когда в устройстве реализована российская криптография — например, формирование электронной подписи по отечественным алгоритмам. Изделие перестаёт относиться к массовым категориям, и оформляется лицензия ФСБ со сроком от 2 месяцев либо лицензия Минпромторга на основании заключения ФСБ России для разовой поставки.

Что описывают в уведомлении по токену?

Алгоритм вычисления одноразового кода, длину секретного ключа, способ его загрузки при персонализации и место хранения, возможность извлечения ключа, а также наличие функции электронной подписи и её алгоритмы. Именно этот состав определяет, применима ли нотификация или потребуется лицензия.

Нужны ли на токен декларации технических регламентов?

Да. Устройство питается от элемента или USB-порта и является источником помех, поэтому оформляются декларация ТР ТС 004/2011, 020/2011 и декларация ТР ЕАЭС 037/2016. Срок каждой — 10 рабочих дней, от 8 000 ₽ по схеме 1д, с регистрацией в реестре ФГИС Росаккредитации.

База знаний по этой продукции

• Нотификация ФСБ: что это и на что оформляется
• Как получить нотификацию ФСБ
• Инспекционный контроль по сертификату
• Протокол испытаний: что в нём проверяют
• Акт отбора образцов

Обзорные страницы

• Нотификация ФСБ на оборудование с функцией шифрования
• Документы на радиооборудование и шифровальные средства

Похожие направления сертификации

• Умная розетка Wi-Fi — нотификация фсб
• Умный выключатель — нотификация фсб
• Шлюз умного дома Zigbee — нотификация фсб
• Термостат с Wi-Fi — нотификация фсб
• Контроллер полива с Wi-Fi — нотификация фсб
• Умная кормушка для животных — нотификация фсб
• Ноутбук — нотификация фсб
• Ноутбук с аппаратным шифрованием диска — нотификация фсб