Цифровая подпись
Электро́нная цифрова́я по́дпись (ЭЦП )- реквизит электронного документа , предназначенный для защиты данного электронного документа от подделки, полученный в результате криптографического преобразования информации с использованием закрытого ключа электронной цифровой подписи и позволяющий идентифицировать владельца сертификата ключа подписи, а также установить отсутствие искажения информации в электронном документе, а также обеспечивает неотказуемость подписавшегося.
Общая схема
Схема электронной подписи обычно включает в себя:
- алгоритм генерации ключевых пар пользователя;
- функцию вычисления подписи;
- функцию проверки подписи.
Функция вычисления подписи на основе документа и секретного ключа пользователя вычисляет собственно подпись. В зависимости от алгоритма функция вычисления подписи может быть детерминированной или вероятностной. Детерминированные функции всегда вычисляют одинаковую подпись по одинаковым входным данным. Вероятностные функции вносят в подпись элемент случайности, что усиливает криптостойкость алгоритмов ЭЦП. Однако, для вероятностных схем необходим надёжный источник случайности (либо аппаратный генератор шума, либо криптографически надёжный генератор псевдослучайных бит), что усложняет реализацию.
В настоящее время детерминированные схемы практически не используются. Даже в изначально детерминированные алгоритмы сейчас внесены модификации, превращающие их в вероятностные (так, в алгоритм подписи PKCS#1 добавила предварительное преобразование данных (OAEP), включающее в себя, среди прочего, зашумление).
Функция проверки подписи проверяет, соответствует ли данная подпись данному документу и открытому ключу пользователя. Открытый ключ пользователя доступен всем, так что любой может проверить подпись под данным документом.
Поскольку подписываемые документы - переменной (и достаточно большой) длины, в схемах ЭЦП зачастую подпись ставится не на сам документ, а на его хэш . Для вычисления хэша используются криптографические хэш-функции, что гарантирует выявление изменений документа при проверке подписи. Хэш-функции не являются частью алгоритма ЭЦП, поэтому в схеме может быть использована любая надёжная хэш-функция.
Алгоритмы ЭЦП делятся на два больших класса: обычные цифровые подписи и цифровые подписи с восстановлением документа. Обычные цифровые подписи необходимо пристыковывать к подписываемому документу. К этому классу относятся, например, алгоритмы, основанные на эллиптических кривых (ГОСТ Р 34.10-2001, ДСТУ 4145-2002). Цифровые подписи с восстановлением документа содержат в себе подписываемый документ: в процессе проверки подписи автоматически вычисляется и тело документа. К этому классу относится один из самых популярных алгоритмов - код аутентичности сообщения, несмотря на схожесть решаемых задач (обеспечение целостности документа и неотказуемости авторства). Алгоритмы ЭЦП относятся к классу асимметричных алгоритмов, в то время как коды аутентичности вычисляются по симметричным схемам.
Защищённость
Цифровая подпись обеспечивает:
- Удостоверение источника документа. В зависимости от деталей определения документа могут быть подписаны такие поля, как «автор», «внесённые изменения», «метка времени» и т. д.
- Защиту от изменений документа. При любом случайном или преднамеренном изменении документа (или подписи) изменится хэш, следовательно, подпись станет недействительной.
- Невозможность отказа от авторства. Так как создать корректную подпись можно, лишь зная закрытый ключ, а он известен только владельцу, то владелец не может отказаться от своей подписи под документом.
- Предприятиям и коммерческим организациям сдачу финансовой отчетности в государственные учреждения в электронном виде;
- Организацию юридически значимого электронного документооборота.
Возможные атаки на ЭЦП таковы…
Подделка подписи
Получение фальшивой подписи, не имея секретного ключа - задача практически нерешаемая даже для очень слабых шифров и хэшей.
Подделка документа (коллизия первого рода)
Злоумышленник может попытаться подобрать документ к данной подписи, чтобы подпись к нему подходила. Однако в подавляющем большинстве случаев такой документ может быть только один. Причина в следующем:
- Документ представляет из себя осмысленный текст.
- Текст документа оформлен по установленной форме.
- Документы редко оформляют в виде Plain Text - файла, чаще всего в формате DOC или HTML.
Если у фальшивого набора байт и произойдет коллизия с хешем исходного документа, то должны выполниться 3 следующих условия:
- Случайный набор байт должен подойти под сложно структурированный формат файла.
- То, что текстовый редактор прочитает в случайном наборе байт, должно образовывать текст, оформленный по установленной форме.
- Текст должен быть осмысленным, грамотным и соответствующий теме документа.
Впрочем, во многих структурированных наборах данных можно вставить произвольные данные в некоторые служебные поля, не изменив вид документа для пользователя. Именно этим пользуются злоумышленники, подделывая документы.
Вероятность подобного происшествия также ничтожно мала. Можно считать, что на практике такого случиться не может даже с ненадёжными хеш-функциями, так как документы обычно большого объёма - килобайты.
Получение двух документов с одинаковой подписью (коллизия второго рода)
Куда более вероятна атака второго рода. В этом случае злоумышленник фабрикует два документа с одинаковой подписью, и в нужный момент подменяет один другим. При использовании надёжной хэш-функции такая атака должна быть также вычислительно сложной. Однако эти угрозы могут реализоваться из-за слабостей конкретных алгоритмов хэширования, подписи, или ошибок в их реализациях. В частности, таким образом можно провести атаку на SSL-сертификаты и алгоритм хеширования
Социальные атаки
Социальные атаки направлены на «слабое звено» криптосистемы - человека.
- Злоумышленник, укравший закрытый ключ, может подписать любой документ от имени владельца ключа.
- Злоумышленник может обманом заставить владельца подписать какой-либо документ, например используя протокол слепой подписи.
- Злоумышленник может подменить открытый ключ владельца (см. управление ключами) на свой собственный, выдавая себя за него.
Алгоритмы ЭЦП
- Американские стандарты электронной цифровой подписи: ECDSA
- Российские стандарты электронной цифровой подписи: ГОСТ Р 34.10-94 (в настоящее время не действует), ГОСТ Р 34.10-2001
- Украинский стандарт электронной цифровой подписи: ДСТУ 4145-2002
- Стандарт RSA
- схема Шнорра
Управление ключами
Юридические аспекты
В России юридически значимый сертификат электронной подписи выдаёт удостоверяющий центр . Правовые условия использования электронной цифровой подписи в электронных документах регламентирует ФЕДЕРАЛЬНЫЙ ЗАКОН ОТ 10.01.2002 N 1-ФЗ «ОБ ЭЛЕКТРОННОЙ ЦИФРОВОЙ ПОДПИСИ»
Использование ЭЦП в России
После становления ЭЦП при использовании в электронном документообороте между кредитными организациями и кредитными бюро в 2005 году активно стала развиваться инфраструктура электронного ДОУ между налоговыми органами и налогоплательщиками. Начал работать приказ Министерства по налогам и сборам Российской Федерации от 2 апреля 2002 г. N БГ-3-32/169 «Порядок представления налоговой декларации в электронном виде по телекоммуникационным каналам связи» . Порядок представления налоговой декларации в электронном виде по телекоммуникационным каналам связи определяет общие принципы организации информационного обмена при представлении налогоплательщиками налоговой декларации в электронном виде по телекоммуникационным каналам связи.
В Законе РФ от 10.01.2002 № 1-ФЗ «ОБ ЭЛЕКТРОННОЙ ЦИФРОВОЙ ПОДПИСИ» прописаны условия использования электронной цифровой подписи, особенности ее использования в сферах государственоого управления и в корпоративной информационной системе. Благодаря электронной цифровой подписи теперь, в частности, многие российские компании осуществляют свою торгово-закупочную деятельность в Интернете, через «Системы электронной торговли» , обмениваясь с контрагентами необходимыми документами в электронном виде, подписанными ЭЦП. Это значительно упрощает и ускоряет проведение конкурсных торговых процедур.
В Москве в рамках реализации ГЦП (Городской целевой программы) "Электронная Москва" был образован Уполномоченный удостоверяющий Центр ОАО "Электронная Москва" (http://www.uc-em.ru) для решения задач координации работ и привлечения инвестиций при выполнении Городской целевой программы.
Использование ЭЦП в других странах
Система электронных подписей широко используется в Эстонской Республике , где введена программа ID-карт, которыми снабжены 3/4 населения страны. При помощи электронной подписи в марте 2007 года были проведены выборы в местный парламент - Рийгикогу. При голосовании электронную подпись использовали 400 000 человек. Кроме того, при помощи электронной подписи можно отправить налоговую декларацию, таможенную декларацию, различные анкеты как в местные самоуправления, так и в государственные органы. В крупных городах при помощи ID-карты возможна покупка месячных автобусных билетов. Все это осуществляется через центральный гражданский портал Eesti.ee . Эстонская ID-карта является обязательной для всех жителей с 15 лет, проживающих временно или постоянно на территории Эстонии.
Примечания
Федеральный закон №149 - ФЗ от 27 июля 2006г. "Об информации, информационных технологиях и о защите информации" - http://uc-em.ru/download/02.doc
Федеральный закон № 126 - ФЗ от 07 июля 2003г. "О связи" - http://uc-em.ru/download/03.doc
Постановление Правительства РФ №319 от 30 июня 2004г. "Об утверждении Положения о Федеральном агентстве по информационным технологиям" - http://uc-em.ru/download/05.doc
Постановление Правительства Москвы №495 - ПП от 19 июня 2007г. "Об утверждении Положения о Головном удостоверяющем центре города Москвы" - http://uc-em.ru/download/06.doc
Постановление Правительства Москвы №249 - ПП от 10 апреля 2007г. "Об утверждении порядка работы органов исполнительной власти города Москвы, государственных учреждений и государственных унитарных предприятий города Москвы с электронными документами, подписанными электронной цифровой подписью" - http://uc-em.ru/download/07.doc
Постановление Правительства Москвы №997 - ПП от 19 декабря 2006г. "Об утверждении порядка использования электронной цифровой подписи органами исполнительной власти города Москвы и государственными заказчиками при размещении государственного заказа города Москвы" - http://uc-em.ru/download/08.doc
Постановление Правительства Москвы №544 - ПП "Об утверждении Положения о Системе уполномоченных удостоверяющих центров органов исполнительной власти города Москвы" - http://uc-em.ru/download/09.doc
Постановление Правительства Москвы №450 - ПП от 6 июля 2004г. "О дополнительных мерах по обеспечению эффективного использования бюджетных средств при формировании, размещении и исполнении городского государственного заказа и создании Единого реестра контрактов и торгов города Москвы" - http://uc-em.ru/download/10.doc
Постановление Правительства Москвы №299-ПП от 11 мая 2004г. "Об утверждении Положения о порядке организации выдачи и отзыва сертификатов ключей электронных цифровых подписей уполномоченных лиц органов исполнительной власти города Москвы" - http://uc-em.ru/download/11.doc
Постановление Правительства Москвы №1079-ПП от 30 декабря 2003г. "Об уполномоченном органе в области использования электронной цифровой подписи в информационных системах органов исполнительной власти города Москвы" - http://uc-em.ru/download/12.doc
Об определении уполномоченных удостоверяющих центров - http://uc-em.ru/download/14.doc
Ссылки
- www.ECM-Journal.ru - Блоги и статьи. Просто об электронном документообороте
См. также
- Обычная подпись
- Быстрая цифровая подпись
Wikimedia Foundation . 2010 .
Смотреть что такое "Цифровая подпись" в других словарях:
- Директор информационной службы №07/2017 , Открытые системы. «Директор информационной службы» (CIO.ru) – журнал для менеджеров, отвечающих за идеологию, стратегию и реализацию информационной поддержки бизнеса, руководителей ИТ-подразделений предприятий… электронная книга
цифровая подпись - ЦПД Данные, добавленные к блоку данных, или криптографическое преобразование блока данных, которое позволяет получателю данных удостовериться в происхождении и целостности блока данных и обеспечить защиту от мошенничества, например, получателем.… … Справочник технического переводчика
цифровая подпись - 3.25 цифровая подпись (digital signature): Криптографическое преобразование, которое, будучи связано с элементом данных, обеспечивает услуги по аутентификации источника, целостности данных и неотказуемости подписавшей стороны. … … Словарь-справочник терминов нормативно-технической документации - числовое значение, вычисляемое по тексту сообщения с помощью секретного ключа отправителя, а проверяемое открытым ключом, соответствующим секретному ключу отправителя. Удостоверяет, что документ исходит от того лица, чья цифровая подпись… … Толковый словарь по информационному обществу и новой экономике
Стиль этой статьи неэнциклопедичен или нарушает нормы русского языка. Статью следует исправить согласно стилистическим правилам Википедии. Электронная подпись (ЭП) информация в электронной форме, присоединенная к другой информации в электронной… … Википедия
- (ЭЦП, цифровая подпись, электронная подпись, англ. digital signature), криптографическое средство, аналог подписи, позволяющий подтвердить подлинность электронного документа, созданного с помощью компьютера (см. КОМПЬЮТЕР). ЭЦП представляет… … Энциклопедический словарь, О. Н. Герман, Ю. В. Нестеренко. Учебник создан в соответствии с Федеральным государственным образовательным стандартом по направлениям подготовки `Информационная безопасность` и `Математика` (квалификация `бакалавр`). В…
Тема «Электронная цифровая подпись»
1. Понятие электронной цифровой подписи и ее техническое обеспечение
2. Организационное и правовое обеспечение электронной цифровой подписи.
1.Понятие электронной цифровой подписи и ее техническое
обеспечение
В мире электронных документов подписание файла с помощью графических символов теряет смысл, так как подделать и скопировать графический символ можно бесконечное количество раз. Электронная Цифровая Подпись (ЭЦП) является полным электронным аналогом обычной подписи на бумаге, но реализуется не с помощью графических изображений, а с помощью математических преобразований над содержимым документа.
Особенности математического алгоритма создания и проверки ЭЦП гарантируют невозможность подделки такой подписи посторонними лицами,
ЭЦП – реквизит электронного документа, предназначенный для защиты данного документа от подделки, полученный в результате криптографического преобразования информации с использованием закрытого ключа ЭЦП и позволяющий идентифицировать владельца ключа, а
также установить отсутствие искажения информации в электронном документе.
ЭЦП представляет собой определенную последовательность символов,
которая формируется в результате преобразования исходного документа (или любой другой информации) при помощи специального программного обеспечения. ЭЦП добавляется к исходному документу при пересылке. ЭЦП является уникальной для каждого документа и не может быть перенесена на другой документ. Невозможность подделки ЭЦП обеспечивается значительным количеством математических вычислений, необходимых для
её подбора. Таким образом, при получении документа, подписанного ЭЦП,
Применение ЭЦП обеспечивает: простое разрешение спорных ситуаций (регистрация всех действий участника системы во времени),
невозможность изменения заявки участника до даты окончания закупки.
Кроме того, ЭЦП способствует: снижению затрат на пересылку документов, быстрому доступу к торгам, проходящим в любой точке России.
Пользоваться электронной подписью достаточно просто. Никаких специальных знаний, навыков и умений для этого не потребуется. Каждому пользователю ЭЦП, участвующему в обмене электронными документами,
генерируются уникальные открытый и закрытый (секретный)
криптографические ключи.
Закрытый ключ – это закрытый уникальный набор информации объемом 256 бит, хранится в недоступном другим лицам месте на дискете,
смарт-карте, ru-token. Работает закрытый ключ только в паре с открытым
Открытый ключ - используется для проверки ЭЦП получаемых документов/файлов. Технически это набор информации объемом 1024 бита.
Открытый ключ передается вместе с Вашим письмом, подписанным ЭЦП.
Дубликат открытого ключа направляется в Удостоверяющий Центр, где создана библиотека открытых ключей ЭЦП. В библиотеке Удостоверяющего Центра обеспечивается регистрация и надежное хранение открытых ключей во избежание попыток подделки или внесения искажений.
Вы устанавливает под электронным документом свою электронную цифровую подпись. При этом на основе секретного закрытого ключа ЭЦП и содержимого документа путем криптографического преобразования вырабатывается некоторое большое число, которое и является электронно-
цифровой подписью данного пользователя под данным конкретным документом. Это число добавляется в конец электронного документа или сохраняется в отдельном файле.
В подпись, в том числе, записывается следующая информация: имя
файла открытого ключа подписи, информация о лице, сформировавшем подпись, дата формирования подписи.
Пользователь, получивший подписанный документ и имеющий открытый ключ ЭЦП отправителя на основании текста документа и открытого ключа отправителя выполняет обратное криптографическое преобразование, обеспечивающее проверку электронной цифровой подписи отправителя. Если ЭЦП под документом верна, то это значит, что документ действительно подписан отправителем и в текст документа не внесено никаких изменений. В противном случае будет выдаваться сообщение, что сертификат отправителя не является действительным.
Термины и Определения: Электронный документ - документ, в
котором информация представлена в электронно-цифровой форме.
Владелец сертификата ключа подписи - физическое лицо, на имя которого удостоверяющим центром выдан сертификат ключа подписи и которое владеет соответствующим закрытым ключом электронной цифровой подписи, позволяющим с помощью средств электронной цифровой подписи создавать свою электронную цифровую подпись в электронных документах
(подписывать электронные документы).
Средства электронной цифровой подписи - аппаратные и (или)
программные средства, обеспечивающие реализацию хотя бы одной из следующих функций - создание электронной цифровой подписи в электронном документе с использованием закрытого ключа электронной цифровой подписи, подтверждение с использованием открытого ключа электронной цифровой подписи подлинности электронной цифровой подписи в электронном документе, создание закрытых и открытых ключей электронных цифровых подписей.
Сертификат средств электронной цифровой подписи - документ на бумажном носителе, выданный в соответствии с правилами системы сертификации для подтверждения соответствия средств электронной цифровой подписи установленным требованиям.
Сертификат ключа подписи - документ на бумажном носителе или электронный документ с электронной цифровой подписью уполномоченного лица удостоверяющего центра, которые включают в себя открытый ключ электронной цифровой подписи и которые выдаются удостоверяющим центром участнику информационной системы для подтверждения подлинности электронной цифровой подписи и идентификации владельца сертификата ключа подписи.
Пользователь сертификата ключа подписи - физическое лицо,
использующее полученные в удостоверяющем центре сведения о сертификате ключа подписи для проверки принадлежности электронной цифровой подписи владельцу сертификата ключа подписи.
Информационная система общего пользования - информационная система, которая открыта для использования всеми физическими и юридическими лицами и в услугах которой этим лицам не может быть отказано.
Корпоративная информационная система - информационная система, участниками которой может быть ограниченный круг лиц,
определенный ее владельцем или соглашением участников этой
информационной системы.
Удостоверяющий центр - юридическое лицо, выполняющее функции по: изготовлению сертификатов ключей подписей, созданию ключей электронных цифровых подписей по обращению участников информационной системы с гарантией сохранения в тайне закрытого ключа электронной цифровой подписи, приостановлению и возобновлению действие сертификатов ключей подписей, а также аннулированию их,
ведению реестра сертификатов ключей подписей, обеспечению его актуальности и возможности свободного доступа к нему участников информационных систем, проверке уникальности открытых ключей электронных цифровых подписей в реестре сертификатов ключей подписей и архиве удостоверяющего центра, выдаче сертификатов ключей подписей в форме документов на бумажных носителях и (или) в форме электронных
документов с информацией об их действии, осуществлению по обращениям пользователей сертификатов ключей подписей подтверждения подлинности электронной цифровой подписи в электронном документе в отношении выданных им сертификатов ключей подписей, предоставлению участникам информационных систем иных связанных с использованием электронных цифровых подписей услуг.
При этом удостоверяющий центр должен обладать необходимыми материальными и финансовыми возможностями, позволяющими ему нести гражданскую ответственность перед пользователями сертификатов ключей подписей за убытки, которые могут быть понесены ими вследствие недостоверности сведений, содержащихся в сертификатах ключей подписей.
2. Организационное и правовое обеспечение электронной
цифровой подписи.
Правовое обеспечение электронной цифровой подписи следует понимать не только как совокупность нормативно-правовых актов,
обеспечивающих правовой режим ЭЦП и средств ЭЦП. Это гораздо более широкое понятие. Оно лишь начинается с государственного закона об электронной цифровой подписи, но развивается далее и впоследствии охватывает все теоретические и практические вопросы, связанные с электронной коммерцией вообще.
Первый в мире закон об электронной цифровой подписи был принят в марте 1995 г. Законодательным собранием штата Юта (США) и утвержден Губернатором штата.
Закон получил название Utah Digital Signature Act. Ближайшими последователями штата Юта стали штаты Калифорния, Флорида, Вашингтон,
где вскоре тоже были приняты соответствующие законодательные акты.
В качестве основных целей первого закона об электронной подписи были провозглашены:
Минимизация ущерба от событий незаконного использования и подделки электронной цифровой подписи;
обеспечение правовой базы для деятельности систем и органов сертификации и верификации документов, имеющих электронную природу;
правовая поддержка электронной коммерции (коммерческих операций, совершаемых с использованием средств вычислительной техники);
придание правового характера некоторым техническим стандартам,
ранее введенным Международным союзом связи (ITU - International Telecommunication Union) и Национальным институтом стандартизации США (ANSI - American National Standards Institute), а также рекомендациям Наблюдательного совета Интернета (IAB - Internet Activity Board),
выраженным в документах RFC 1421 - RFC 1424.
Закон состоит из пяти частей:
В первой части вводятся основные понятия и определения, связанные с использованием ЭЦП и функционированием средств ЭЦП. Здесь же рассматриваются формальные требования к содержательной части электронного сертификата, удостоверяющего принадлежность открытого ключа юридическому или физическому лицу.
Вторая часть закона посвящена лицензированию и правовому регулированию деятельности центров сертификации.
Прежде всего, здесь оговорены условия, которым должны удовлетворять физические и юридические лица для получения соответствующей лицензии, порядок ее получения, ограничения лицензии и условия ее отзыва. Важным моментом данного раздела являются условия признания действительности сертификатов, выданных нелицензированными удостоверителями, если участники электронной сделки выразили им совместное доверие и отразили его в своем договоре. Фактически здесь закрепляется правовой режим сетевой модели сертификации, рассмотренной нами выше.
В третьей части закона сформулированы обязанности центров сертификации и владельцев ключей. В частности, здесь рассмотрены:
порядок выдачи сертификата;
порядок предъявления сертификата и открытого ключа;
условия хранения закрытого ключа;
действия владельца сертификата при компрометации закрытого
порядок отзыва сертификата;
срок действия сертификата;
условия освобождения центра сертификации от ответственности за неправомерное использование сертификата и средств ЭЦП;
порядок создания и использования страховых фондов,
предназначенных для компенсации ущерба третьим лицам, возникшего в результате неправомочного применения ЭЦП.
Четвертая часть закона посвящена непосредственно цифровой подписи.
Ее основное положение заключается в том, что документ, подписанный цифровой подписью, имеет ту же силу, что и обычный документ,
подписанный рукописной подписью.
В пятой части закона рассмотрены вопросы взаимодействия центров сертификации с административными органами власти, а также порядок функционирования так называемых репозитариев - электронных баз данных, в которых хранятся сведения об изданных и отозванных сертификатах.
В целом закон об ЭЦП штата Юта отличается от других аналогичных правовых актов высокой подробностью.
Германский закон об электронной подписи (Signaturgesetz) был введен в действие в 1997 г. и стал первым европейским законодательным актом такого рода. Целью закона объявлено создание общих условий для такого применения электронной подписи, при котором ее подделка или фальсификация подписанных данных могут быть надежно установлены.
В Законе прослеживаются следующие основные направления:
установление четких понятий и определений;
подробное регулирование процедуры лицензирования органов сертификации и процедуры сертификации открытых ключей пользователей средств ЭЦП (правовой статус, порядок функционирования центров
сертификации, их взаимодействие с государственными органами и другими центрами сертификации, требования к сертификату открытого ключа электронной подписи);
Рассмотрение вопросов защищенности цифровой подписи и данных,
подписанных с ее помощью, от фальсификации;
Порядок признания действительности сертификатов открытых ключей.
По своему духу германский Закон об электронной подписи является регулирующим.
В отличие от аналогичного закона Германии, Федеральный Закон об электронной подписи США является координирующим правовым актом. Это связано с тем, что ко времени его принятия соответствующее регулирующее законодательство уже сложилось в большинстве отдельных штатов.
Как видно из названия Закона (Electronic Signatures in Global and National Commerce Act), его основное назначение состоит в обеспечении правового режима цифровой электронной подписи в электронной коммерции. Подписание Закона Президентом США состоялось в день национального праздника - 4 июля 2000 г. (День независимости), что должно придать этому законодательному акту особое значение. По мнению обозревателей принятие данного закона символизирует вступление человечества в новую эру - эру электронной коммерции.
ответственных за функционирование ее инфраструктуры. Не сосредоточиваясь на конкретных правах и обязанностях центров сертификации, которым уделяется особое внимание в законодательствах других стран, Федеральный Закон США относит их к понятию инфраструктура ЭЦП и в самых общих чертах оговаривает взаимодействие элементов этой структуры с правительственными органами.
В России с основными положениями Федерального Закона об
электронной подписи можно познакомиться на примере проекта. Согласно проекту, Закон состоит из пяти глав и содержит более двадцати статей.
В первой главе рассмотрены общие положения, относящиеся к Закону.
Как и аналогичные законы других государств, российский законопроект опирается на несимметричную криптографию. Основной целью Закона провозглашается обеспечение правовых условий для применения ЭЦП в электронном документообороте и реализации услуг по удостоверению ЭЦП участников договорных отношений.
Во второй главе рассмотрены принципы и условия использования электронной подписи. Здесь, во-первых, выражена возможность, а во-вторых,
приведены условия равнозначности рукописной и электронной подписи.
Кроме того, особо акцентировано внимание на характерных преимуществах ЭЦП:
лицо может иметь неограниченное количество закрытых ключей ЭЦП, то есть, создать себе разные электронные подписи и использовать их в разных условиях;
все экземпляры документа, подписанные ЭЦП, имеют силу оригинала.
Проект российского Закона предусматривает возможность ограничения сферы применения ЭЦП. Эти ограничения могут накладываться федеральными законами, а также вводиться самими участниками электронных сделок и отражаться в договорах между ними.
Интересно положение статьи о средствах ЭЦП, в которой закрепляется утверждение о том, что «средства ЭЦП не относятся к средствам,
обеспечивающим конфиденциальность информации». На самом деле это не совсем так. По своей природе средства ЭЦП, основанные на механизмах несимметричной криптографии, конечно же, могут использоваться для защиты информации. Возможно, это положение включено для того, чтобы избежать коллизий с другими нормативными актами, ограничивающими применение средств криптографии в обществе.
Важным отличием от аналогичных законов других государств является
положение российского законопроекта о том, что владелец закрытого ключа несет ответственность перед пользователем соответствующего открытого ключа за убытки, возникающие в случае ненадлежащим образом организованной охраны закрытого ключа.
Еще одной отличительной чертой российского законопроекта является список требований к формату электронного сертификата. Наряду с общепринятыми полями, рассмотренными нами выше, российский законодатель требует обязательного включения в состав сертификата наименования средств ЭЦП, с которыми можно использовать данный открытый ключ, номер сертификата на это средство и срок его действия,
наименование и юридический адрес центра сертификации, выдавшего данный сертификат, номер лицензии этого центра и дату ее выдачи. В
зарубежном законодательстве и в международных стандартах мы не находим требований столь подробного описания программного средства ЭЦП, с
помощью которого генерировался открытый ключ. По-видимому, это требование российского законопроекта продиктовано интересами безопасности страны.
Массовое применение программного обеспечения, исходный код которого не опубликован и потому не может быть исследован специалистами, представляет общественную угрозу. Это относится не только к программным средствам ЭЦП, но и вообще к любому программному обеспечению, начиная с операционных систем и заканчивая прикладными программами.
В третьей главе рассмотрен правовой статус центров сертификации (в
терминологии законопроекта - удостоверяющих центров открытых ключей электротой подписи). В России оказание услуг по сертификации электронной подписи является лицензируемым видом деятельности, которым могут заниматься только юридические лица. Удостоверение электронной подписи государственных учреждений могут осуществлять только государственные удостоверяющие центры.
По своему характеру структура органов сертификации -
Лекция 7.
Электронная подпись
Введение
Учебные вопросы:
4. Электронный обмен данными.
Заключение
Введение
Электронная цифровая подпись
электронная подпись » (аббревиатура - «ЭП »).
История возникновения
Россия
И «цифровая подпись » являются синонимами.
электронная подпись,
ключ электронной подписи
Хранение закрытого ключа
Закрытый ключ является наиболее уязвимым компонентом всей криптосистемы цифровой подписи. Злоумышленник, укравший закрытый ключ пользователя, может создать действительную цифровую подпись любого электронного документа от лица этого пользователя. Поэтому особое внимание нужно уделять способу хранения закрытого ключа. Пользователь может хранить закрытый ключ на своем персональном компьютере, защитив его с помощью пароля. Однако такой способ хранения имеет ряд недостатков, в частности, защищенность ключа полностью зависит от защищенности компьютера, и пользователь может подписывать документы только на этом компьютере.
В настоящее время существуют следующие устройства хранения закрытого ключа:
· Дискеты.
· Смарт-карты.
· USB-брелоки.
· Таблетки Touch-Memory.
Кража или потеря одного из таких устройств хранения может быть легко замечена пользователем, после чего соответствующий сертификат может быть немедленно отозван.
Наиболее защищенный способ хранения закрытого ключа - хранение на смарт-карте. Для того, чтобы использовать смарт-карту, пользователю необходимо не только её иметь, но и ввести PIN-код, то есть, получается двухфакторная аутентификация. После этого подписываемый документ или его хэш передается в карту, её процессор осуществляет подписывание хеша и передает подпись обратно. В процессе формирования подписи таким способом не происходит копирования закрытого ключа, поэтому все время существует только единственная копия ключа. Кроме того, произвести копирование информации со смарт-карты сложнее, чем с других устройств хранения.
В соответствии с законом «Об электронной подписи», ответственность за хранение закрытого ключа владелец несет сам.
Технология формирования ЭП
С древних времен известен криптографический метод , позднее названный шифрованием с помощью симметричного ключа , при использовании которого для зашифровки и расшифровки служит один и тот же ключ (шифр, способ).
Главной проблемой симметричного шифрования является конфиденциальность передачи ключа от отправителя к получателю.
Раскрытие ключа в процессе передачи равносильно раскрытию документа и предоставлению злоумышленнику возможности его подделать.
В 70-х гг. был изобретен алгоритм асимметричного шифрования .
Зашифровывается документ одним ключом, а расшифровывается другим, причем по первому из них практически невозможно вычислить второй, и наоборот.
Поэтому если отправитель зашифрует документ секретным ключом , а публичный (открытый) ключ предоставит адресатам, то они смогут расшифровать документ, зашифрованный отправителем, и только им.
Если получатель смог расшифровать значение хеш-функции, используя открытый ключ отправителя, то зашифровал это значение именно отправитель (аутентификация).
Если вычисленное и расшифрованное значения хеш-функции совпадают, то документ не был изменен (идентификация).
Любое искажение (умышленное или неумышленное) документа в процессе передачи даст новое значение вычисляемой получателем хеш-функции, и программа проверки подписи сообщит, что подпись под документом неверна.
Цифровая подпись представляет собой относительно небольшое количество дополнительной цифровой информации, передаваемой вместе с подписываемым текстом.
Система ЭП включает две процедуры: 1) процедуру постановки подписи; 2) процедуру проверки подписи. В процедуре постановки подписи используется секретный ключ отправителя сообщения, в процедуре проверки подписи - открытый ключ отправителя.
При формировании ЭП отправитель прежде всего вычисляет хэш-функцию h(М) подписываемого текста М. Вычисленное значение хэш-функции h(М) представляет собой один короткий блок информации m, характеризующий весь текст М в целом. Затем число m шифруется секретным ключом отправителя. Получаемая при этом пара чисел представляет собой ЭП для данного текста М.
При проверке ЭП получатель сообщения снова вычисляет хэш-функцию m = h(М) принятого по каналу текста М, после чего при помощи открытого ключа отправителя проверяет, соответствует ли полученная подпись вычисленному значению m хэш-функции.
Принципиальным моментом в системе ЭП является невозможность подделки ЭП пользователя без знания его секретного ключа подписывания.
Схематично процедуры постановки подписи и ее проверки можно представить следующим образом:
|
В качестве подписываемого документа может быть использован любой файл. Подписанный файл создается из неподписанного путем добавления в него одной или более электронных подписей.
Каждая подпись содержит следующую информацию:
дату подписи;
срок окончания действия ключа данной подписи;
информацию о лице, подписавшем файл (Ф.И.0., должность, краткое наименование фирмы);
идентификатор подписавшего (имя открытого ключа);
собственно цифровую подпись.
Электронный обмен данными
EDI (Electronic Data Interchange) – это технология автоматизированного обмена электронными сообщениями в стандартизированных форматах между бизнес-партнерами.
При этом документы, имеющие в изначальном («человеческом») виде удобную и специфическую для каждой фирмы форму, прозрачно передаются между различными партнерами в стандартном «электронном» формате (при помощи конвертора (на входе) и деконвертора (на выходе соответственно)). Технология гарантирует как правильность конвертации данных, так и саму доставку сообщений адресатам и последовательность доставки сообщений. При этом обеспечиваются достоверность и конфиденциальность передаваемой информации.
В классическом виде EDI предполагает полностью автоматизированное взаимодействие между информационными системами партнеров, исключая участие человека. Каждая сторона может выступать как отправитель, так и получатель сообщений. Такой вариант интеграции дает максимальный эффект при внедрении данной технологии.
На современном этапе развития технологии EDI позволяют не просто экономить деньги, но и упростить и оптимизировать процессы управления и принятия решений, а в целом оптимизировать и повысить эффективность бизнеса.
Практика электронной коммерции, основанной на системах EDI насчитывает уже более 30 лет и обобщается в стандартах выполнения торговых операций и представлении структурированных деловых документов.
При разработке стандартов электронного документооборота было проанализировано использование данных «бумажных» документов, применяемых в экономической деятельности.
Было предложено выделить наиболее повторяющиеся данные, и в них выделить соответствующие поля данных. В последствии для их заполнения была разработана система таблиц – глобальные справочники данных и технология их синхронизации.
Стандарты EDI
EDI базируется на следующих основных стандартах:
UN/EDIFACT – United Nations Electronic Data Interchange for Administration, Commerce and Transport - "Правила ООН электронного обмена документами для гос. управления, торговли и транспорта" – основополагающий глобальный избыточный стандарт, содержащий наиболее общие справочники международных кодов и форматов сообщений, расширенных для удовлетворения всех возможных запросов пользователей.
(UN/CEFACT) – адаптированный Центром ООН по упрощению процедур международной торговли и электронному бизнесу (CEFACT) стандарт UN/EDIFACT
GS1 EANCOM – подмножество EDIFACT для розничной торговли - разработан международной ассоциацией GS1 и дополнен использованием ключевых идентификаторов системы GS1,
GS1 XML – современный формат сообщений, используемых при обмене данными в цепях поставок в системе GS1.
Система GS1 – это международная глобальная многоотраслевая система стандартов, охватывающая более 100 стран. Система GS1 является самой широко используемой международной системой стандартов в цепях поставок. В настоящее время свыше миллиона компаний в мире используют стандарты GS1. Национальные ассоциации GS1 обеспечивают поддержку системы в своих странах и поддержку национальных языков в системе GS1.
В основе архитектуры системы GS1 лежат ключевые идентификаторы , основными из которых являются:
GTIN (Global Trade Item Number)– глобальный номер торговой единицы (предмета торговли) –уникальный идентификационный номер торговой единицы в системе GS1. Этот идентификатор представлен в виде символа штрихового кода на упаковке товара
GLN (Global Location Number) – глобальный номер места нахождения – уникальный номер в системе GS1 для идентификации участников цепи поставки и их материальных, функциональных или юридических объектов (подразделений) (филиалы/офисы/склады/рампы и т.д.). Используется главным образом в EDI для эффективной идентификации всех объектов, касающихся поставок.
SSCC (Serial Shiping Container Code) – серийный код транспортной упаковки (СКТУ) – уникальный идентификатор логистической (транспортной) единицы. SSCC очень удобен для маркировки грузов, подлежащих танспортировке.
Ключевые идентификаторы системы GS1 являются:
уникальными - способ формирования номеров обеспечивает уникальность каждого номера;
международными - данные номера являются уникальными во всем мире;
многоотраслевыми - не значимый характер номеров позволяет последовательно идентифицировать любой объект, независимо от вида предпринимательской деятельности;
Простая структура номеров позволяет автоматизировать обработку и передачу данных.
Номер GLN – это глобальный уникальный цифровой код, идентифицирующий участника в цепи поставок (контрагента или его структурное подразделение или объект).
Присвоение идентификационных номеров GLN регулируется стандартами системы GS1 для того, чтобы гарантировать уникальность каждого отдельного номера во всем мире. Для получения GLN-номера предприятие должно стать членом национальной ассоциации GS1(в РФ такой организацией является GS1 Russia – ГС1 РУС.).
Идентификационные номера GLN ежедневно широко используются более чем 200.000 компаний, занимающихся различными видами предпринимательской деятельности
Для перехода к использованию технологии EDI необходимо подключение партнеров к специализированной платформе обмена коммерческими сообщениями (платформа электронной коммерции), использование средств преобразования сообщений к стандартному формату и передачи «стандартизированных» сообщений адресату. Такая схема взаимодействия позволяет один раз подключиться к EDI и единообразно обмениваться сообщениями со всеми партнерами, а не создавать и настраивать способ обмена документами с каждым контрагентом.
Интеграцию систем, преобразование и передачу сообщений между партнерами осуществляют специализированные компании – авторизованные провайдеры EDI. Провайдер предоставляет своим клиентам надежный канал передачи сообщений всем контрагентам (доступ к своей платформе обмена коммерческими сообщениями) и поддерживает оговоренный уровень сервиса. Важно участие именно авторизованного провайдера, т.к. это гарантирует как высокий технический уровень предоставляемых услуг и уровень сервиса, так и соответствие услуг стандартам GS1, что в свою очередь дает возможность осуществлять роуминг с другими провайдерами (в том числе и с международными).
Чтобы начать обмениваться документами по EDI необходимо:
· получить номер GLN;
· выбрать вариант подключения (полная интеграция или Web-EDI),
· осуществить подключение,
· начать работать.
Популярные области применения:
· Дистрибуция,
· Ритейл,
· Управление складами,
· Транспорт,
· Банковская сфера и управление денежными потоками
Заключение
В отличие от рукописной подписи электронная цифровая подпись имеет не физическую, а логическую природу - это просто последовательность символов, которая позволяет однозначно связать лицо, подписавшее документ, содержание документа и владельца ЭП. Логический характер электронной подписи делает ее независимой от материальной природы документа. С ее помощью можно подписывать документы, имеющие электронную природу (исполненные на магнитных, оптических, кристаллических и иных носителях, распределенные в компьютерных сетях и т.п.).
Согласно Закону ЭП должна решать следующие задачи: защиту электронного документа от подделки, установление отсутствия искажений информации в электронном документе, идентификацию владельца сертификата ключа подписи (ст. 3).
Таким образом, ЭП должна обеспечить идентификацию (документ подписан определенным лицом) и аутентификацию (содержание не претерпело изменений с момента его подписания) электронного документа.
В настоящей лекции рассмотрены лишь основные понятия, принципы формирования, придания юридической правомочности электронной подписи. Более подробно об электронной подписи курсанты узнают в рамках изучения дисциплины «Основы информационной безопасности в ОВД».
Контрольные вопросы
1. Понятие электронной подписи (ЭП).
2. История возникновения понятия ЭП.
3. Нормативные документы, регламентирующие ЭП.
4. Виды ЭП.
5. Функции Удостоверяющего центра.
6. Сертификат ключа проверки ЭП.
7. Технология формирования ЭП.
8. Понятие хэш-функции.
9. Электронный обмен данными
Литература:
а) основная литература:
1. А. С. Давыдов, Т. В. Маслова. Информационные технологии в деятельности органов внутренних дел: учебное пособие. – М.: ЦОКР МВД России, 2009.
2. Информатика и математика для юристов: учебник для студентов вузов, обучающихся по юридическим специальностям / под редакцией С. Я. Казанцева, Н. М. Дубининой. – 2-е изд., перераб. и доп. – М.: ЮНИТИ-ДАНА, 2009.
3. Информационные технологии в юридической деятельности: учебник для бакалавров / под общей редакцией П. У. Кузнецова. – М.: Издательство Юрайт, 2012.
4. Симонович С. В. Информатика. Базовый курс. – СПб., Питер, 2011.
б) дополнительная литература:
1. Горнец Н. Н., Рощин А. Г., Соломенцев В. В. Организация ЭВМ и систем. Учебное пособие. – М., Академия, 2008.
2. Орлов С. А., Цилькер Б. Я. Организация ЭВМ и систем. Учебник для вузов. – СПб., Питер, 2011.
3. Бройдо В. Л., Ильина О. П. Вычислительные системы, сети и телекоммуникации. Учебник для вузов. – СПб., Питер, 2011.
Лекция 7.
Электронная подпись
Введение
Учебные вопросы:
1. Назначение и применение электронной подписи.
2. Виды электронной подписи, ее юридическая правомочность.
3. Технология формирования электронной подписи.
4. Электронный обмен данными.
Заключение
Введение
При обмене электронными документами по сети связи существенно снижаются затраты на обработку и хранение документов, убыстряется их поиск. Но при этом возникает проблема аутентификации автора документа и самого документа, т.е. установления подлинности автора и отсутствия изменений в полученном документе. В обычной (бумажной) информатике эти проблемы решаются за счет того, что информация в документе и рукописная подпись автора жестко связаны с физическим носителем (бумагой). В электронных документах на машинных носителях такой связи нет.
При обработке документов в электронной форме совершенно непригодны традиционные способы установления подлинности по рукописной подписи и оттиску печати на бумажном документе. Принципиально новым решением является электронная цифровая подпись (ЭЦП).
Назначение и применение электронной подписи.
Электронная цифровая подпись - реквизит электронного документа, позволяющий установить отсутствие искажения информации в электронном документе с момента формирования ЭП и проверить принадлежность подписи владельцу сертификата ключа ЭП. Значение реквизита получается в результате криптографического преобразования информации с использованием закрытого ключа ЭП.
В России федеральным законом № 63-ФЗ от 6 апреля 2011 г. наименование «электронная цифровая подпись» заменено словами «электронная подпись » (аббревиатура - «ЭП »).
Электронная подпись предназначена для идентификации лица, подписавшего электронный документ. Кроме этого, использование электронной подписи позволяет осуществить:
Контроль целостности передаваемого документа: при любом случайном или преднамеренном изменении документа подпись станет недействительной, потому что вычислена она на основании исходного состояния документа и соответствует лишь ему;
Защиту от изменений (подделки) документа: гарантия выявления подделки при контроле целостности делает подделывание нецелесообразным в большинстве случаев;
Доказательное подтверждение авторства документа: Так как создать корректную подпись можно, лишь зная закрытый ключ, а он должен быть известен только владельцу, то владелец пары ключей может доказать своё авторство подписи под документом. В зависимости от деталей определения документа могут быть подписаны такие поля, как «автор», «внесённые изменения», «метка времени» и т. д.
Все эти свойства ЭП позволяют использовать её для следующих целей:
· Декларирование товаров и услуг (таможенные декларации).
· Регистрация сделок по объектам недвижимости.
· Использование в банковских системах.
· Электронная торговля и госзаказы.
· Контроль исполнения государственного бюджета.
· В системах обращения к органам власти.
· Для обязательной отчетности перед государственными учреждениями.
· Организация юридически значимого электронного документооборота.
· В расчетных и трейдинговых системах.
История возникновения
В 1976 году Уитфилдом Диффи и Мартином Хеллманом было впервые предложено понятие «электронная цифровая подпись», хотя они всего лишь предполагали, что схемы ЭЦП могут существовать.
В 1977 году, Рональд Ривест, Ади Шамир и Леонард Адлеман разработали криптографический алгоритм RSA, который без дополнительных модификаций можно использовать для создания примитивных цифровых подписей.
Вскоре после RSA были разработаны другие ЭЦП, такие как алгоритмы цифровой подписи Рабина, Меркле.
В 1984 году Шафи Гольдвассер, Сильвио Микали и Рональд Ривест первыми строго определили требования безопасности к алгоритмам цифровой подписи. Ими были описаны модели атак на алгоритмы ЭЦП, а также предложена схема GMR, отвечающая описанным требованиям.
Россия
В 1994 году Главным управлением безопасности связи Федерального агентства правительственной связи и информации при Президенте Российской Федерации был разработан первый российский стандарт ЭЦП - ГОСТ Р 34.10-94 «Информационная технология. Криптографическая защита информации. Процедуры выработки и проверки электронной цифровой подписи на базе асимметричного криптографического алгоритма» .
В 2002 году для обеспечения большей криптостойкости алгоритма взамен ГОСТ Р 34.10-94 был введен стандарт одноименный стандарт ГОСТ Р 34.10-2001, основанный на вычислениях в группе точек эллиптической кривой. В соответствии с этим стандартом, термины «электронная цифровая подпись» и «цифровая подпись » являются синонимами.
1 января 2013 года одноименный ГОСТ Р 34.10-2001 заменён на ГОСТ Р 34.10-2012 «Информационная технология. Криптографическая защита информации. Процессы формирования и проверки электронной цифровой подписи».
Федеральным законом «Об электронной подписи» № 63-ФЗ от 06.04.2011 регулируются отношения в области:
использования электронных подписей при совершении гражданско-правовых сделок;
оказании государственных и муниципальных услуг;
исполнении государственных и муниципальных функций;
при совершении иных юридически значимых действий.
Федеральным законом определяется понятие электронной подписи:
1. Устанавливаются её виды, требования к средствам электронной подписи, с помощью которых создаются и проверяются:
электронная подпись,
ключ электронной подписи
и ключ проверки электронной подписи
2. Требования к удостоверяющим центрам, осуществляющим функции по созданию и выдаче сертификатов ключей проверки электронных подписей
В пояснительной записке к проекту закона об электронной подписи была приведена неутешительная статистика, свидетельствующая о слабой распространенности ЭЦП в российском деловом обороте.
По состоянию на февраль 2007 г. в России было выдано около 200 000 сертификатов ключа ЭЦП, что составляет лишь 0,2 % от населения страны.
При этом отмечается, что в Европе за аналогичный период времени от введения в действие Директивы ЕС от 13.12.1999 N 1999/93/ЕС «Об общих принципах электронных подписей» усиленные электронные подписи использовало около 70 % населения.
Новый Федеральный закон «Об электронной подписи» (ЭП) призван смягчить слишком серьезные требования к ЭЦП, регламентированные Федеральным законом от 10 января 2002 года «Об электронно-цифровой подписи» (ЭЦП).
В частности, допускалось применение только одной технологии идентификации (асимметричных электронных ключей подписи), которая к тому же требовала обязательного наличия сертификата от удостоверяющего центра.
Согласно положениям нового закона от удостоверяющих центров не требуется лицензирования - они могут пройти аккредитацию и то лишь на добровольной основе. Аккредитацией будет заниматься назначенный правительством уполномоченный орган, он же организует работу корневого центра
Для аккредитации российское или иностранное юридическое лицо обязано обладать чистыми активами на сумму не менее 1 млн. руб. и финансовыми гарантиями для выплат компенсаций пострадавшим клиентам в размере 1,5 млн. руб., иметь не менее двух IT-специалистов с высшим профессиональным образованием и пройти процедуру подтверждения в ФСБ.
Электронная подпись – это атрибут электронного документа, который позволяет установить авторство и неизменность после подписания. В зависимости от своего вида электронная подпись может быть полностью равнозначна рукописной и обеспечивает подписанным файлам юридическую силу.
Функции электронной подписи
Подписывать любые файлы электронной подписью могут и юридические, и физические лица. Электронная подпись:
- идентифицирует автора,
- позволяет определить, вносились ли изменения в документ после его подписания,
- защищает документ от подделки и несанкционированного просмотра.
В России используется три вида подписи.
Простая электронная подпись, или ПЭП
Простая подпись — это знакомая многим пара логин-пароль в Личных кабинетах, СМС-код, коды на скретч-картах. Такая подпись подтверждает авторство, но не гарантирует неизменность документа после подпиcания, следовательно, не гарантирует его юридическую значимость. Простая электронная подпись чаще всего применяется для получения Госуслуг, при банковских транзакциях, аутентификации на сайтах.
Неквалифицированная электронная подпись, или НЭП
За счет криптографических алгоритмов НЭП не только позволяет определить автора подписанного документа, но и доказать неизменность содержащейся в нем информации. Неквалифицированную подпись нужно получать в удостоверяющих центрах на специальном ключевом носителе — токене.
НЭП подойдет для электронного документооборота внутри компании и с внешними контрагентами. Только в этом случае сторонам потребуется заключить между собой соглашение о взаимном признании юридической силы электронных подписей.
Квалифицированная электронная подпись, или КЭП
Так же, как НЭП, квалифицированная подпись создается с помощью криптографических алгоритмов, но отличается в следующем:
- выдавать КЭП может только аккредитованный Минкомсвязи России удостоверяющий центр,
- должно быть сертифицировано Федеральной службой безопасности.
Квалифицированная электронная подпись наделяет документы юридической силой и соответствует всем требованиям о защите конфиденциальной информацию.
Имеет самое широкое применение и используется:
- для сдачи отчетности в контролирующие органы,
- для участия в электронных торгах по 44-ФЗ компаний с госучастием в качестве поставщика,
- для электронного документооборота, имеющего юридическую силу без дополнительных соглашений между участниками,
- для организации и участия в закупках по 223-ФЗ,
- для работы с государственными информационными системами (например, на порталах Росреестра, ФСТ, ФТС, в системах СМЭВ, ГИС ГМП, ГИС ЖКХ, АС АКОТ, подачи сведений на портал ЕРФСБ, ЕФРСФДЮЛ, для взаимодействия с ФГИС Росаккредитация и др.)..
Некоторые торговые площадки требуют, чтобы квалифицированный сертификат содержал объектный идентификатор (OID). Чтобы работать на ЭТП B2B-Center, Газпромбанк, Фабрикант, u-Tender, Центр реализации или в секции Роснефти на ТЭК-Торг, придется докупить отдельный OID для каждой площадки.
Электронная подпись - это математическая схема, предназначенная для отображения подлинности электронных сообщений либо документов. Действительная цифровая подпись предоставляет все основания для получателя полагать, что сообщение было создано с помощью известного отправителя, что оно действительно отправлено (аутентификация и безотказность), а также то, что письмо не изменили в процессе передачи (целостность).
Отвечая на вопрос: «ЭЦП - что это такое?» - стоит отметить, что являются стандартным элементом большинства криптографических наборов протоколов и обычно используются для распространения ПО, совершения финансовых операций, а также во многих иных случаях, когда это важно для определения подделки или фальсификации.
Цифровые подписи зачастую применяются для реализации электронных подписей. Это более широкий термин, который относится к любым данным электронного типа. Вместе с тем не каждая электронная подпись является цифровой.
Цифровые подписи используют асимметричную криптографию. Во многих случаях они обеспечивают определенный уровень проверки и безопасности для сообщений, которые были отправлены по незащищенному каналу. Будучи правильно реализованной, цифровая подпись позволяет полагать, что сообщение было отправлено с помощью заявленного отправителя. Цифровые печати и подписи эквивалентны собственноручным подписям и реальным печатям.
ЭЦП - что это такое?
Цифровые подписи подобны традиционным собственноручным подписям во многих отношениях, при этом их труднее подделать, чем рукописные. Цифровые схемы подписи имеют криптографические основы и должны быть выполнены должным образом, чтобы не потерять эффективность. Как подписать документ ЭЦП? Нужно использовать 2 парных криптоключа.
ЭЦП могут также реализовать принцип безотказности. Это означает, что подписчик не может успешно утверждать, что он не подписывал сообщение. Кроме того, некоторые схемы предлагают временную метку для цифровой подписи и даже если закрытый ключ подвергается воздействию, подпись остается действительной. ЭЦП могут быть представлены в виде битовой строки и могут быть применены в электронной почте, контрактах или сообщении, отправленном с помощью какого-либо криптографического протокола.
Криптография с открытым ключом или структура ЭЦП
Что это такое? Цифровая схема подписи включает в себя одновременно три алгоритма.
Алгоритм генерации ключа, выбирающий секретный ключ равномерным и случайным образом из множества возможных частных. Он выдает ключ секретный и идущий с ним в паре открытый.
Алгоритм подписи, который, учитывая сообщение и закрытый ключ, собственно и производит подпись.
Проверочный алгоритм подписи, который учитывает сообщение, открытый ключ и подпись и принимает или же отклоняет отправку письма, определяя подлинность.
Как установить ЭЦП?
Для того чтобы использовать цифровую подпись, необходимо наделить ее двумя основными свойствами. Что же нужно учитывать перед тем, как подписать документ ЭЦП?
Во-первых, подлинность подписи, генерируемой из фиксированного сообщения и секретного ключа, может быть проверена с помощью соответствующей открытой информации.
Во-вторых, должно быть вычислительно неосуществимо подобрать правильную подпись не зная секретного ключа. ЭЦП представляет собой механизм аутентификации, который позволяет создателю сообщения прикрепить код, который действует в качестве подписи.
Применение цифровых подписей
Поскольку современные организации постепенно отходят от бумажных документов с подписями, выполненными чернилами, ЭЦП могут обеспечить дополнительное заверение подлинности и доказательство авторства, идентичности и статуса документа. Кроме того, цифровая подпись может быть средством, подтверждающим информированное согласие и одобрение подписавшей стороны. Таким образом, ЭЦП для физических лиц - реальность.
Аутентификация
Несмотря на то что письма могут включать в себя подробную информацию, не всегда можно достоверно определить отправителя. Цифровые подписи могут быть использованы для аутентификации источника сообщений. Когда секретный ключ ЭЦП привязан к конкретному пользователю, это подтверждает, что сообщение было отправлено именно им. Значение уверенности в том, что отправитель подлинный, особенно очевидна в финансовых сферах.
Целостность
Во многих сценариях отправитель и получатель письма нуждаются в точном подтверждении, что оно не было изменено при передаче. Хотя шифрование скрывает содержимое отправленного объекта, возможно лишь изменить зашифрованное сообщение, без понимания его смысла. Некоторые способны предотвратить это, но не во всех случаях. В любом случае проверка ЭЦП при расшифровке обнаружит нарушение целостности письма.
Однако если сообщение подписано цифровой подписью, любое изменение в нем после подписания дезавуирует подпись. Кроме того, не существует эффективного метода изменить сообщение и произвести новое с действительной подписью, потому что это считается вычислительно невозможным.
Неотрекаемость
Неотрекаемость или невозможность отрицания происхождения письма является важным аспектом в развитии ЭЦП. Что это такое? Это означает, что юридическое лицо, отправившее некоторую информацию, не может в дальнейшем отрицать, что подписало ее. Аналогичным образом доступ к открытому ключу не позволяет злоумышленникам подделывать действительную подпись. Такие же последствия несет и применение ЭЦП для физических лиц.
При этом следует акцентировать внимание на том, что все свойства подлинности, безотказности и т.д. зависят от секретного ключа, который не должен быть отозван до его использования. Открытые ключи также должны быть аннулированы в паре с секретными после использования. Проверка ЭЦП на предмет «отзыва» происходит по определенному запросу.
Ввод секретного ключа на смарт-карте
Все криптосистемы, функционирующие на принципах использования открытого/закрытого ключа, полностью зависят от содержания данных в секрете. Секретный ключ ЭЦП может храниться на компьютере пользователя и быть защищен локальным паролем. Однако такой способ имеет два недостатка:
- пользователь может подписывать документы исключительно на данном конкретном компьютере;
- безопасность секретного ключа полностью зависит от безопасности компьютера.
Более надежная альтернатива для хранения секретного ключа - смарт-карта. Многие смарт-карты оснащены защитой от несанкционированного вмешательства.
Как правило, пользователь должен активировать свою смарт-карту, введя персональный идентификационный номер или PIN-код (таким образом обеспечивая Это может быть устроено так, что закрытый ключ никогда не покидает смарт-карту, хотя это не всегда реализуется в криптопро ЭЦП.
Если смарт-карта украдена, злоумышленнику будет по-прежнему нужен PIN-код для создания цифровой подписи. Это несколько снижает безопасность данной схемы. Смягчающим фактором является то, что сгенерированные ключи, если они хранятся на смарт-картах, как правило, трудно скопировать, предполагается, что они существуют только в одном экземпляре. Таким образом, когда потеря смарт-карты будет обнаружена владельцем, соответствующий сертификат может быть немедленно отозван. Закрытые ключи, защищенные только программным обеспечением, проще скопировать, и такие утечки гораздо труднее обнаружить. Поэтому использование ЭЦП без дополнительной защиты небезопасно.
