Зачем вы до сих пор пишите плагины к браузерам? Возможно это было единственным решением 10 лет назад. Но сейчас гораздо проще и дешевле написать единственный HTTP-сервис, чем поддерживать множество постепенно отсыревающих плагинов.

Основные положения по HTTP-сервису:
1. Висит исключительно на одном из портов localhost (например, на порту 3999), т.е. НЕдоступен из сети.
2. Предоставляет доступ к КриптоПро ЭЦП SDK посредством HTTP-запросов. Например, отправив POST с файлом на http://localhost:3999/api/csp/sign?key=myKeyId, сервис подпишет его ключом myKeyId и вернет подпись в бинарном виде (application\octet-stream).
3. Хостит внутри себя сайт для настройки КриптоПро (http://localhost:3999/index.html). С его помощью, например, можно настроить CORS, т.е. список сайтов, которым доступен HTTP-сервис.

Стоит заметить, что такой HTTP-сервис не требует прав администратора, и настроек файервола.
Распространять сервис можно в виде локальной службы Windows.
От браузеров требуется лишь возможность выполнять AJAX-запросы из JavaScript. А это могут делать все, даже мертвый IE8. И никаких посторонних объектов в JS API, все чисто, надежно, красиво.

lab,
а Вы какую организацию предоставляете?



Мы выбрали путь - локальный http-сервис для криптографии и https-обмена с серверами.
(но даже не в виде службы, а простого клиентского приложения, с настройкой из области уведомлений).

Андрей *
Мы эксплуатируем решения на базе криптопровайдера Validata CSP


ну, с вашей компанией мы точно контактировали )

Валидата держится на ките, который называется сертифицированное решение (программно-аппаратный комплекс), возможно поэтому считает, что разработкой полноценного плагина должен заниматься разработчик прикладных решений.. Наверняка есть и другие причины.
Кстати, Криптопрошный плагин вполне замечательно работает с Validata CSP.

Изначально плагин был привлекателен тем, что это единственное легальное решение для браузера. Собственный браузер, который дружит с плагином и т.д. - это как раз то, от чего хотелось уйти; то есть уйти от, так или иначе, толстого клиента. Сколько крови попили эти плагины (все) в борьбе за их работоспособность, и в борьбе с офисными админами, которые с борются со всеми плагинами. :)

я был бы сторонником простого HTTP сервиса (сервера), не требующего сложной установки и необходимости административных прав для его установки.
Про безопасность плагина против локальный http-сервис .. пока нет мыслей, готов послушать.

Интересно, спасибо. Это более глобальное решение с другим сценарием использования, всё таки. Мы же говорим об очень простом локальном сервисе, установленном на компьютере конечного пользователя и заменяющим собой плагин(ы) к браузеру.

Идея:
КриптоПро DSS работает по SOAP, который невозможно использовать непосредственно из браузера. Но DSS с JSON API запросто сможет стать полноценной заменой плагинов.

Отредактировано пользователем 30 октября 2015 г. 12:57:46(UTC)  | Причина: Не указана

Придумалась проблема и с безопасностью. Плагин к браузеру живёт в модели "Доверять ли данному сайту подписывать что угодно?". Локальное приложение должно работать в модели "Пришёл запрос на подписание. Возможно, от злоумышленника." Плагин может доверенным образом узнать адрес сайта, который к нему обращается. Локальное приложение не может. Поэтому плагину достаточно задать пользователю вопрос "Такой-то сайт пытается что-то подписать. Разрешить?" и продолжить в зависимости от ответа. Локальное приложение же должно показать пользователю документ и получить подтверждение на подписание именно этого документа именно этим сертификатом.