G-Sign¶

Production · Давхарга 2 — Гарын үсэг · Репо: sso-gerege-mn (gsign.gerege.mn/) · gsign.gerege.mn

Баримт бичигт хууль зүйн хүчинтэй цахим гарын үсэг зуруулах гарц. Go-гоор бичигдсэн, eID Mongolia-ийн гарын үсгийн үйлчилгээ дээр суурилна.

Юу хийдэг вэ?¶

PAdES гарын үсэг — PDF баримтад server талаас гарын үсэг зурна.
Цагийн тэмдэг — RFC 3161 TSA-аар гарын үсэг зурсан цагийг баталгаажуулна.
Sign-relay — 3 дагч талын RP-ууд платформын eID креденшлээр дамжуулан гарын үсэг зуруулах боломж.
Document-Signer гэрчилгээ — байнгын, байгууллагын нэрийн өмнөөс зурах гэрчилгээ.

Хоёр төрлийн гарын үсэг¶

Төрөл	Хэн зурдаг	PIN	Хэрэглээ
Иргэний гарын үсэг	Иргэн өөрөө	PIN2	Гэрээ, өргөдөл, хүсэлт — хувь хүний хүсэл зоригийг илэрхийлнэ
Document-Signer	Байгууллага (систем)	—	Лавлагаа, тодорхойлолт — баримтын гарал үүслийг баталгаажуулна

Хоёрыг хольж болохгүй

Document-Signer гэрчилгээ нь иргэний хүсэл зоригийг илэрхийлэхгүй. Иргэний зөвшөөрөл шаардсан баримтад заавал PIN2-оор иргэний гарын үсэг зурагдана. Систем автоматаар зурсан гарын үсгийг иргэний зөвшөөрөл болгон тайлбарлах нь non-repudiation-ийн зарчмыг зөрчинө.

Гарын үсгийн урсгал¶

sequenceDiagram
    participant RP as RP апп
    participant GS as G-Sign
    participant EID as eID Mongolia
    participant U as Иргэний утас
    participant TSA as TSA

    RP->>GS: PDF + гарын үсэг зурах хүсэлт
    GS->>EID: Гарын үсгийн session эхлүүлэх
    EID->>U: Push / QR — PIN2 асуух
    U-->>EID: PIN2 зөвшөөрөл
    Note over EID,U: 2-of-2 threshold ECDSA —<br/>хоёр тал хамтдаа гарын үсэг үүсгэнэ
    EID-->>GS: Гарын үсгийн утга
    GS->>TSA: Цагийн тэмдэг хүсэх
    TSA-->>GS: RFC 3161 token
    GS-->>RP: Гарын үсэгтэй PDF (PAdES)

Баталгаажуулалт¶

Зурсан гарын үсгийг шалгахад дараах гурвыг бүгдийг нь шалгана:

Гарын үсгийн математик хүчинтэй байдал — баримт өөрчлөгдөөгүй эсэх.
Гэрчилгээний хүчинтэй байдал — OCSP/CRL-ээр, гарын үсэг зурсан тэр үеийн байдлаар.
Цагийн тэмдэг — гарын үсэг хэзээ зурагдсаныг TSA-аар нотлох.

Гуравдахь нь чухал: гэрчилгээ хожим хүчингүй болсон ч, хүчинтэй байхад нь зурсан гарын үсэг хүчинтэй хэвээр байна. Үүнийг цагийн тэмдэггүйгээр нотлох боломжгүй.

Хэн хэрэглэдэг вэ?¶

Gerege Platform, Template Platform — баримт бичгийн урсгалдаа,
3 дагч талын RP-ууд — sign-relay-ээр дамжуулан.

Дэлгэрэнгүй баримт¶

Хэрэгжүүлэлтийн баримт нь sso-gerege-mn репо-гийн gsign.gerege.mn/ хавтаст байрлана.