Безопасность

Как устроены ключи, подписи и проверка в Ворк.Докс.

Вход

Вход — только через Юниквик ID (OAuth 2.0 / OpenID Connect с PKCE). Ворк.Докс не видит и не хранит ваш пароль. Сессия веб-версии — защищённая cookie HttpOnly, в приложении — токен в Связке ключей iOS или Android Keystore.

Идентификация

Перед созданием ключа вы подтверждаете фамилию, имя, отчество и дату рождения и принимаете соглашение об электронной подписи. Эти данные входят в сертификат ключа и в штамп на документе.

Ключ подписи

Алгоритм — ECDSA на кривой P-256 (NIST, secp256r1) с SHA-256.
Зерно ключа — 32 байта криптостойкого генератора устройства плюс хеш ваших движений по экрану. Движения не заменяют генератор, а добавляют к нему независимую случайность.
Закрытый ключ создаётся и хранится только на устройстве. На телефоне — в защищённом хранилище с доступом по Face ID, Touch ID или коду. В браузере — зашифрованным AES-256-GCM ключом из вашего PIN-кода (PBKDF2, 310 000 итераций).
При регистрации устройство доказывает владение ключом, подписывая служебную строку. На открытый ключ УЦ Ворк.Докс выпускает сертификат X.509 на 3 года.

Подпись

Подписывается SHA-256 исходного файла вместе с идентификатором документа, подписантом, серийным номером сертификата, одноразовым кодом сервера и временем. Сервер проверяет подпись до того, как принять её. Подпись относится к точной копии файла: изменение одного байта делает её недействительной.

Проверка

Проверить подпись может любой на странице /verify — по исходному файлу или по коду со штампа. В архиве документа лежат подписи, тексты подписанных строк, сертификаты подписантов и сертификат УЦ Ворк.Докс — для проверки без нашего сервиса.

Хранение

Файлы хранятся в объектном хранилище в России, базы данных сервисов изолированы друг от друга. Доступ к документу есть у отправителя и участников маршрута. Резервные копии создаются ежедневно.

Правовой статус

Подпись Ворк.Докс — простая электронная подпись в смысле 63-ФЗ: она подтверждает, что документ подписал определённый человек, при наличии соглашения участников. Если закон требует квалифицированную электронную подпись — например, для отчётности в госорганы или сделок с недвижимостью, — используйте КЭП аккредитованного УЦ.

Сообщить об уязвимости

Пишите на info@uni-quick.ru с темой «Безопасность Ворк.Докс». Мы ответим в течение трёх рабочих дней.