Методы аутентификации в Adobe Acrobat Sign

Аутентификация пользователя

Подтверждение личности получателя — один из важнейших элементов системы Acrobat Sign, который позволяет получить юридически значимую подпись и предотвращает подделку документов.

Однако требования к аутентификации зависят от бизнес-целей. Например, для следующих транзакций требуются различные уровни подтверждения личности:

• Заявление на отгул
• Просмотр школьного дневника с оценками
• Регистрация частного мероприятия
• Получение клубной карты фитнес-центра
• Доступ к медицинским картам
• Документы, соответствующие требованиям CFR 21, часть 11

Acrobat Sign предоставляет набор средств управления, который позволяет выбирать типы аутентификации на уровне учетной записи и группы с заданными значениями по умолчанию. Это упрощает задачи отправителя и помогает лучше контролировать соблюдение корпоративных стандартов подписания.

Более надежные методы аутентификации усложняют процесс подписания, поэтому администраторы должны настраивать параметры учетной записи или группы по умолчанию с учетом наиболее распространенных требований к аутентификации, по возможности выбирать наименее сложный вариант и предоставлять возможность изменения параметров для определенных транзакций.

Основные термины

Внутренние и внешние получатели

Средства управления аутентификацией позволяют настраивать методы аутентификации для двух типов получателей — внутренних и внешних:

• Внутренние получатели включают всех активных пользователей (определяемых по адресам электронной почты) в одной учетной записи Acrobat Sign, из которой отправляется документ.
  
  • Список всех пользователей в вашей учетной записи — это список всех внутренних пользователей.
  • Не имеет значения, в какой группе находится получатель, главное, чтобы этот пользователь находился в структуре той же учетной записи.
• Внешние получатели включают все адреса электронной почты получателей, не привязанные к внутренним пользователям.
  • Каждый адрес электронной почты, не включенный в список пользователей на уровне учетной записи, является внешним пользователем.

Такое определение получателей позволяет использовать высокоуровневую аутентификацию для внешних получателей и более простую аутентификацию для внутренних пользователей.

Методы однофакторной аутентификации получателей

Аутентификация Acrobat Sign

Аутентификация Acrobat Sign позволяет подтвердить личность получателя в системе Acrobat Sign.

Этот упрощенный метод в основном используется для внутренних получателей, если согласно требованиям подписи необходимо регистрировать события аутентификации.

Получатели должны пройти аутентификацию Acrobat Sign, чтобы получить доступ к содержанию документа.

Подробнее об аутентификации Adobe Sign в этой статье >

Одноразовый пароль по электронной почте

Метод аутентификации «Одноразовый пароль по электронной почте» (OTPvEm) — это однофакторная аутентификация, обеспечивающая определенный уровень защиты при минимальных неудобствах для пользователя.

Поскольку одноразовый пароль отправляется на тот же адрес электронной почты, что и исходная ссылка для подписания, аутентификация OTPvEm считается однофакторным методом. Однако метод OTPvEm не требует, чтобы пользователи создавали учетную запись или входили в другое приложение. Необходим только доступ к электронной почте, что позволяет снизить требования.

Использование OTPvEm обеспечивает дополнительную безопасность, чтобы не полагаться только на ссылку по электронной почте. Например:

• Доступ к электронной почте не означает, что почтовый ящик является скомпрометированным. Аутентификация OTPvEm обеспечивает безопасность соглашения, если ссылка на адрес электронной почты становится доступной, но почтовый ящик защищен.
  
• Предположим, что сообщение электронной почты с соглашением отправлено не тому пользователю. В этом случае запрос OTPvEm не позволит получить доступ к соглашению и сохранит целостность отчета об аудите для адреса электронной почты идентифицированного подписанта и фактического подписанта.

Получатель должен ввести пароль в течение 60 секунд после запроса. После успешного ввода пароля получатель может работать с соглашением.

Дополнительные сведения об аутентификации Одноразовый пароль по электронной почте см. здесь >

Двухфакторная аутентификация (2FA)

Acrobat Sign поддерживает несколько методов двухфакторной аутентификации для более важных транзакций, для которых недостаточно однофакторной аутентификации.

Метод аутентификации обычно зависит от типа документа или отрасли задействованных сторон. Администратор должен знать внутренние политики подписания и возможные нормативные требования.

Ниже перечислены доступные методы двухфакторной аутентификации со ссылками на более подробное описание.

Методы аутентификации премиум-класса для подписывающих сторон

Методы аутентификации По телефону, KBA, По удостоверению личности и Цифровые подписи в облаке являются методами аутентификации премиум-класса.

Методы аутентификации премиум-класса — это измеряемый ресурс, который необходимо приобрести перед использованием. Для получения дополнительной информации обратитесь к менеджеру по работе с клиентами или агенту по продажам.

Пороговые значения автоматической отмены

Все методы двухфакторной аутентификации имеют настраиваемые пороговые значения. Документ отменяется, когда количество неуспешных попыток аутентификации, совершенных получателем, превышает максимальное значение.

• Владелец документа (отправитель) получает уведомление об отмене документа.
  • Уведомление получает только отправитель.
  • Отмененные документы невозможно вернуть в активное состояние. Необходимо создать новый документ.

Проверка цифрового удостоверения

При проверке Цифрового удостоверения используется федеративный поставщик удостоверений, который лицензируется для сервиса Acrobat Sign внешней стороной и который должен быть настроен до составления соглашений.

Подробную информацию о решении для цифровых удостоверений см. здесь >

Сведения о взаимодействии с получателем различаются в зависимости от поставщика удостоверений, используемого отправителем. При высокоуровневой аутентификации получатель информируется о то, что подтверждение личности должно осуществляться с помощью федеративного поставщика удостоверений по кнопке Подтвердить личность, запускающей процесс проверки.

Выбор метода аутентификации на стороне отправителя

При настройке параметров документа отправитель может выбрать метод аутентификации из списка, расположенного справа от адреса электронной почты получателя.

Для большинства методов аутентификации можно настроить выбор по умолчанию для упрощения процесса отправки. В качестве значения по умолчанию нельзя настроить только Цифровое удостоверение.

Пользовательский интерфейс получателя

Как правило, получателю сначала отправляется уведомление о документе по электронной почте.

• Если соглашение отправлено без аутентификации (Нет) , при нажатии кнопки Просмотреть и подписать в сообщении электронной почты открывается соглашение для просмотра и выполнения действий.
• Если в соглашении настроен дополнительный метод аутентификации, при нажатии в сообщении электронной почты кнопки Просмотреть и подписать открывается страница запроса на аутентификацию.
  • После выполнения запроса соглашение открывается для просмотра и выполнения действий.
    

События отчета об аудите

Каждый метод двухфакторной аутентификации предусматривает явное сообщение об успешном прохождении аутентификации.

Если аутентификация не выбрана (значение Нет), отчет об аудите указывает только на то, что документ был подписан:

Настраиваемые параметры и значения по умолчанию

Настройки администратора

Для доступа к настройкам уровня учетной записи необходимо выполнить вход в качестве администратора учетных записей Adobe Sign и перейти в раздел Параметры учетной записи > Параметры отправки > Параметры идентификации подписывающего

Все элементы управления можно также настроить на уровне групп. Помните о следующем.

• По умолчанию все группы наследуют настройки на уровне учетной записи.
• Настройки на уровне группы переопределяют настройки на уровне учетной записи.
• Все параметры, доступные на странице Отправка, наследуются из настроек группы, из которой отправляется соглашение.

Элементы управления разделены на две части:

• Параметры идентификации подписывающего — основной набор настроек аутентификации пользователя. Эти значения применяются ко всем получателям любых документов, созданных в группе отправки. Существуют некоторые исключения:
  • Процессы на основе API, которые могут ограничивать параметры отправителя (интеграции, рабочие процессы, пользовательские приложения).
    
  • Установлен флажок Установить другие методы аутентификации для внутренних получателей (см. ниже).
    
• Аутентификация для внутренних получателей — это набор настроек группы, который позволяет задать другие методы аутентификации для внутренних получателей. Это обеспечивает следующие преимущества:
  • Упрощение работы для внутренних подписывающих сторон.
  • Одновременно с упрощением процесса подписания ускоряется процесс для получателей, которым не нужно добавлять скрепляющие подписи ко многим соглашениям.
  • Можно избежать расходов на аутентификацию премиум-класса для внутренних получателей.

Методы подтверждения личности

Основные элементы управления аутентификацией:

• Отправители должны указать один из доступных методов аутентификации получателей. Если параметр включен, необходимо выбрать в качестве метода по умолчанию аутентификацию, отличную от метода Нет. Нет не может быть выбрано.
  
• Разрешить Acrobat Sign автоматически вводить адрес эл. почты подписантов при каждом запросе на аутентификацию. Эта настройка применяется только к методу аутентификации Acrobat Sign. Если эта функция включена, адрес электронной почты получателя автоматически подставляется для аутентификации.
• Не требовать повторной аутентификации подписанта, если он уже вошел в Acrobat Sign — когда включена эта функция, подписывающим сторонам не нужно проходить повторную аутентификацию, если они уже вошли в учетную запись Acrobat Sign.
• Разрешить отправителям загрузку отчетов, подтверждающих личность подписывающего, в случае соглашений, содержащих проверенные подписи. Отчеты о подтверждении личности подписывающего (SIR) доступны для методов аутентификации Удостоверение личности и Цифровое удостоверение. Если эта настройка включена, она позволяет отправителю соглашения загружать отчет SIR со страницы Управление.
  
• Установить следующие методы аутентификации. Отображается список вариантов аутентификации, доступных отправителям.  Выберите один или более параметров в соответствии с нормативными требованиями и требованиями безопасности.
• По умолчанию использовать следующий метод. Эта настройка задает метод по умолчанию, который используется, когда получатель добавляется в новый документ.
• Разрешить отправителям изменять метод аутентификации по умолчанию. Если этот параметр включен, отправитель может выбрать любой включенный метод.
  
  • Если эта функция отключена, можно использовать только метод аутентификации по умолчанию.

Аутентификация внутренних получателей

Настройки внутренних получателей позволяют выбрать параметры для внутренних получателей:

• Установить другие методы аутентификации для внутренних получателей. Если этот параметр включен, внутренние получатели рассматриваются как исключение из основных правил аутентификации, и для них используются параметры аутентификации, настроенные в разделе Аутентификация внутренних получателей.
  
• Установить следующие методы аутентификации. Отображается список доступных методов аутентификации для внутренних получателей.  Выберите один или более параметров в соответствии с нормативными требованиями и требованиями безопасности.
  • Аутентификация Adobe Sign используется в случае, когда не требуется дорогостоящая многоэтапная аутентификация, а отправители являются дополнительными подписывающими.
    
• По умолчанию использовать следующий метод. Эта настройка задает метод по умолчанию, который назначается внутренним получателям при создании нового документа.
  
• Разрешить отправителям изменять метод аутентификации по умолчанию. Отправитель получает право выбирать любой другой метод аутентификации, разрешенный администратором, вместо метода аутентификации по умолчанию.

Исключение: методы аутентификации для веб-форм

Веб-формы используются в различных уникальных сценариях, где не требуется строгая аутентификация получателей.  

Для учетных записей, где не требуется аутентификация при подписании веб-форм, можно отключить аутентификацию по электронной почте:

• Перейдите в раздел Параметры учетной записи > Глобальные настройки > Веб-формы (для настроек на уровне учетной записи).
  
  • Измените параметры в разделе Группа: {Имя группы} > Настройки группы > Веб-формы (для настроек на уровне группы).
• Снимите флажок Требовать подтверждения адреса электронной почты подписанта, чтобы принимать подписанные веб-формы без проверки.
  • Отключение обязательной проверки при подписании веб-форм не отменяет запрос на ввод адреса электронной почты подписанта.

Передовые методы и рекомендации

• Все методы и параметры аутентификации можно настроить на уровне учетной записи и группы.
• Группы наследуют значения настроек по умолчанию, установленные для учетной записи. Для упрощения настройки групп рекомендуется устанавливать параметры на уровне учетной записи таким образом, чтобы большинство свойств автоматически наследовалось на уровне группы.
• Документы наследуют параметры аутентификации от группы, из которой они отправляются. Если нужные параметры не отображаются, проверьте настройки на уровне группы.
  
• Оцените требования к аутентификации для различных типов отправляемых документов, а также соответствие нормативным требованиям. Если требуется аутентификация премиум-класса, необходимо приобрести достаточное количество транзакций.
• Аутентификация по удостоверению личности: 1) не предназначена для регулируемых или важных рабочих процессов и сценариев электронного подписания; 2) не позволяет выявить все мошеннические или фальшивые идентификационные документы; 3) не может заменить необходимость проверки человеком.
• Определите, существуют ли процессы подписания, для которых может потребоваться двухфакторная аутентификация, например:
  • Размещаемые подписи
  • Индивидуальные решения, позволяющие скрывать уведомления по электронной почте (например, Workday)
    
  • Процессы подписания, для которых требуются юридически значимые подписи от двух или более получателей с одним (общим) адресом электронной почты
    
• Важно определить, требуются ли внутренним получателям разные стандарты аутентификации.
• В учетных записях с доступом к настраиваемым рабочим процессам можно точно настроить методы аутентификации для каждого процесса подписания, что упрощает работу и освобождает большее количество транзакций, одновременно обеспечивая соответствие требованиям в важных процессах подписания.
• Обратите внимание: индивидуальные методы аутентификации необходимо включить, чтобы они стали доступны другим службам. При включении метода он становится доступным:
  • Для других средств администрирования, таких как настройки безопасности методов двухфакторной аутентификации
    
  • Для пользователей, которые будут выбраны во время стандартного процесса отправки.
  • Настраиваемые рабочие процессы, созданные в средстве создания рабочих процессов
  • События отправки с помощью API-интерфейса
  • Доступ к интеграции (Dynamics, Salesforce)