Компания «Актив» представила Рутокен БИО 14 сентября 2026 года. Для операции с защищённым ключом нужны токен, PIN-код и отпечаток владельца. Устройство запрашивает отпечаток при каждой такой операции, а не только при входе.
Для контура 1С этого пока мало. Администратору нужно проверить весь путь подписи: от команды в конфигурации до токена и сканера.
Вердикт такой: Рутокен БИО стоит брать в пилот, если сотрудник не должен передавать право подписи коллеге. Массовую закупку лучше отложить до проверки рабочей конфигурации 1С, операционной системы и оборудования.
Три фактора защищают ключ, но не рабочее место
Рутокен БИО проверяет три независимых признака. Пользователь должен подключить устройство, знать PIN-код и предъявить зарегистрированный палец.
По описанию компании «Актив», эталонный шаблон хранится внутри защищённого чипа. Там же устройство сравнивает новый отпечаток с эталоном. Извлечь сохранённый шаблон после регистрации нельзя.
Биометрия привязывается не ко всему токену, а к выбранной ключевой паре. Администратор задаёт это условие при создании пары. Позже изменить её параметры аутентификации нельзя.
Если ключ привязан к биометрии, устройство запрашивает отпечаток при каждой операции с ним. Это мешает передать коллеге токен вместе с PIN-кодом.
| Фактор | От какого сценария защищает | Чего не закрывает |
|---|---|---|
| Физический токен | Злоумышленник не подпишет документ без самого устройства | Кражу токена, заражение компьютера, лишние права в 1С |
| PIN-код | Найденный или украденный токен нельзя сразу использовать | Добровольную передачу токена вместе с PIN-кодом |
| Отпечаток пальца | Другой сотрудник не применит привязанный ключ вместо владельца | Подмену документа до подписи, вредоносную программу, ошибки разграничения доступа |
Три фактора ограничивают использование ключа, но не защищают весь контур. Проверять рабочее место, права в 1С и сетевые границы всё равно придётся.
Например, заражённая программа может подменить документ до вызова подписи. Пользователь приложит палец сам, но подпишет не то содержимое. От такого сценария биометрия внутри токена не спасает.
По той же причине новый токен не заменяет защиту компьютеров бухгалтерии. Порядок проверки этих границ описан в материале о том, как перекрыть вредоносной программе путь к серверу 1С.
Модели 3250 БИО и 7250 БИО требуют разных рабочих мест
Под общим названием Рутокен БИО скрываются два разных варианта. Их нельзя смешивать при расчёте пилота.
Доступная модель Рутокен ЭЦП 3.0 3250 БИО работает с отдельным сканером. В комплект программной части входят программа администратора и BioSDK для разработчиков.
Сканер подключается к компьютеру через USB. По спецификации производителя он должен выдавать изображение от 500 dpi размером не меньше 260 × 300 пикселей.
Компания «Актив» перечисляет совместимые модели. Среди них ZKTeco ZK9500, Futronic FS-80H и Папилон ДС-21С. Список может расширяться после обновления компонентов.
Модель Рутокен ЭЦП 3.0 7250 БИО получила встроенный ёмкостный сканер. Производитель ожидает её выход в первом квартале 2027 года. Закладывать эту модель в текущую закупку рано.
| Вариант | Где считывается отпечаток | Что потребуется на рабочем месте | Статус |
|---|---|---|---|
| Рутокен ЭЦП 3.0 3250 БИО | На отдельном USB-сканере | Токен, совместимый сканер, его драйвер, компоненты Рутокен БИО | Доступная модель серии |
| Рутокен ЭЦП 3.0 7250 БИО | На сканере внутри токена | Токен и программные компоненты для выбранной ОС | Выход ожидается в первом квартале 2027 года |
| 3250 БИО с другим сканером | На внешнем устройстве | Проверка параметров, драйвера и плагина поддержки | Работоспособность нужно подтвердить до закупки |
Для внедрения сейчас считайте комплект, а не цену одного токена. В рабочее место входят сканер, драйвер и программные компоненты.
Если нужного сканера нет в перечне, производитель предлагает запросить обновление. Другой путь — разработать плагин по инструкции BioSDK. Оба варианта добавляют отдельную работу до пилота.
Название драйвера тоже имеет значение. Установка компонентов добавляет адаптеры для сканеров, но не заменяет драйвер самого устройства. Его нужно поставить отдельно.
Поддерживаемая ОС не подтверждает подпись из 1С
Документация программы администратора перечисляет Windows 10 и 11, Astra Linux SE, Альт и РЕД ОС. Перечень зависит от редакции и версии системы.
Компоненты Рутокен БИО поддерживают более широкий набор Linux-систем. В инструкции названы AlterOS 7+, ROSA 12+, Ubuntu 20+ и Debian 11+.
Эти сведения подтверждают установку компонентов на операционную систему. Они не подтверждают штатную подпись из вашей конфигурации 1С.
Между кнопкой в 1С и токеном остаются модуль подписи, криптопровайдер и библиотеки устройства. Для модели 3250 БИО к ним добавляются сканер и его драйвер.
BioSDK предназначен для встраивания биометрической проверки в приложения. Само наличие SDK не означает, что используемый модуль 1С уже вызывает эту проверку.
Тот же принцип действует при миграции на российскую ОС. Сертификат одной пары продуктов не закрывает остальные компоненты. Полезный порядок проверки есть в материале о том, как подтвердить всю программную связку 1С на РЕД ОС 8.
| Слой | Что подтверждает документация Рутокен | Что проверить в пилоте |
|---|---|---|
| Операционная система | Компоненты и программа администратора поддерживают перечисленные версии | Совпадает ли редакция и разрядность пилотного рабочего места |
| Компоненты Рутокен БИО | В Windows устанавливаются BioLib, FSSM и FAPI | Загружаются ли библиотеки после обновления ОС и криптопровайдера |
| Сканер | Производитель перечисляет поддерживаемые модели и требования к изображению | Определяется ли конкретная ревизия устройства через установленный драйвер |
| Программа администратора | Регистрирует отпечатки, показывает устройства и снимает блокировку | Видит ли она токен и сканер под учётной записью администратора |
| Модуль электронной подписи | Прямого подтверждения для произвольного модуля 1С нет | Запрашивает ли модуль биометрию при обращении к защищённому ключу |
| Операция из 1С | Общая совместимость с каждой конфигурацией не заявлена | Проходит ли штатная подпись документа от начала до конца |
Закупку стоит согласовывать после успешной операции из рабочей конфигурации. Запуск программы администратора доказывает только работу программы администратора.
Пилот нужно строить вокруг штатной операции
Для пилота возьмите ту операцию, ради которой меняете токены. Это может быть подпись документа, отправка отчётности или работа с внешней системой из 1С.
Не заменяйте её тестом из комплекта разработчика. Тест покажет, что BioSDK обращается к токену. Он ничего не скажет о модуле, которым пользуется бухгалтер.
Выберите модель 3250 БИО и сканер из списка производителя. Так вы уберёте из проверки разработку собственного плагина.
Подготовьте отдельное рабочее место с той же ОС, криптопровайдером и версиями компонентов. Конфигурация 1С и модуль подписи тоже должны совпадать с рабочими.
Такой пилот проверяет не новинку отдельно, а всю цепочку. Сходный подход нужен при инфраструктурных обновлениях: сначала изменение проводят на отдельном контуре 1С, затем переносят в рабочий.
| Этап | Действие | Признак успеха |
|---|---|---|
| Подготовка сканера | Установить его штатный драйвер и подключить через USB | Сканер виден в программе администратора |
| Установка компонентов | Поставить пакет Рутокен БИО для выбранной ОС | Программа администратора видит токен и сканер |
| Регистрация | Сохранить отпечаток через учётную запись администратора | Отпечаток отображается среди зарегистрированных |
| Создание ключа | Создать отдельную ключевую пару с требованием биометрии | Операция с этой парой запрашивает палец |
| Проверка из 1С | Выполнить штатную операцию подписи | Документ подписан из рабочей конфигурации |
| Повторная операция | Подписать второй документ тем же ключом | Система снова запрашивает отпечаток |
| Проверка отказа | Предъявить незарегистрированный палец в контролируемом тесте | Операция не выполняется, число попыток уменьшается |
Успешный тест должен закончиться подписанным документом внутри нужного процесса. Ответ из тестового приложения BioSDK не закрывает эту проверку.
Не проводите проверку блокировки на токене руководителя или главного бухгалтера. Используйте отдельное пилотное устройство и заранее проверьте PIN-код администратора.
Выдача токена потребует участия администратора
Отпечатки регистрирует администратор через специальную программу. Пользователь не сможет сам подготовить новый токен перед первой подписью.
На одном устройстве можно зарегистрировать до трёх отпечатков. Это предел из руководства программы администратора, а не рекомендация по числу сотрудников.
Регистрировать пальцы нескольких владельцев ради подмены друг друга не стоит. Такой порядок вернёт проблему, ради которой компания выбрала биометрию.
По умолчанию устройство даёт десять попыток проверки отпечатка. После их исчерпания биометрическая аутентификация блокируется. Для разблокировки нужен PIN-код администратора.
Заранее назначьте сотрудника, который регистрирует отпечатки и снимает блокировку. PIN-код администратора нельзя хранить рядом с пользовательским токеном.
Документация программы упоминает замену зарегистрированных отпечатков. Одновременно описание продукта запрещает менять шаблон внутри привязанной ключевой пары.
Из этого нельзя делать вывод, что смена отпечатка сохранит прежний ключ. До закупки запросите у производителя порядок замены для модели 3250 БИО. Отдельно уточните, потребуется ли перевыпуск ключевой пары.
| Событие | Кто действует | Что нужно определить до выдачи |
|---|---|---|
| Первичная регистрация | Администратор Рутокен БИО | Где проходит регистрация и как проверяют личность владельца |
| Блокировка биометрии | Администратор, который знает свой PIN-код | Как сотрудник сообщит о блокировке и кто восстановит доступ |
| Замена отпечатка | Администратор и владелец токена | Сохраняется ли ключевая пара или требуется перевыпуск |
| Замена компьютера | Администратор рабочего места | Кто устанавливает компоненты, драйвер сканера и криптопровайдер |
| Увольнение владельца | Ответственный за ключи и сертификаты | Как отзывают сертификат и учитывают физическое устройство |
Сама покупка токенов не закрывает эти процессы. Без назначенного администратора первая блокировка остановит подпись до ручного вмешательства.
Когда переходить от пилота к внедрению
Рутокен БИО подходит для пилота при трёх условиях. Операция в 1С использует ключ на токене, передачу подписи нужно исключить, а рабочее место входит в списки производителя.
Проведите проверку в таком порядке:
- Возьмите доступный Рутокен ЭЦП 3.0 3250 БИО.
- Подключите сканер из перечня компании «Актив» и установите его драйвер.
- Установите компоненты Рутокен БИО для вашей ОС.
- Зарегистрируйте отпечаток через программу администратора.
- Создайте отдельную ключевую пару с биометрической аутентификацией.
- Подпишите из 1С документ штатным модулем.
- Повторите операцию и проверьте новый запрос отпечатка.
- На пилотном токене проверьте отказ и снятие блокировки.
Если весь путь работает, посчитайте число оснащаемых рабочих мест. В расчёт включите токены, внешние сканеры, установку драйверов и администрирование.
Если биометрия работает только в программе администратора или BioSDK, закупку остановите. Сначала выясните, какой компонент должен связать токен с модулем подписи 1С.