|
|
|ГЛАВНАЯ| |О ЖУРНАЛЕ| |АРХИВ| |ПОДПИСКА| |РЕКЛАМНЫЙ ОТДЕЛ| |КОНТАКТЫ| |СОДЕРЖАНИЕ НОМЕРА| |НОВОСТИ| |ПРОЕЗД| |КАРТА САЙТА| |
|
|
|
Электронная цифровая подпись Валерий СТЕПАНЕНКО
В настоящее время, например, средства электронной почты используются не только для общения между людьми, а и для передачи контрактов и конфиденциальной финансовой информации. Web-серверы используются не только для рекламных целей, но и для распространения программного обеспечения и электронной коммерции. Электронная почта, доступ к Web-серверу, электронная коммерция, VPN требуют применения дополнительных средств для обеспечения конфиденциальности, аутентификации, контроля доступа, целостности и идентификации. В качестве таких средств сегодня повсеместно используются средства криптографической защиты и инфраструктура открытых ключей (Public Key Infrastructure, PKI). Для чего нужна криптография Система криптографической защиты должна обеспечивать:
Что такое криптография с открытыми ключами Криптографическое преобразование (шифрование) — взаимно-однозначное математическое преобразование, зависящее от ключа (секретный параметр преобразования), которое ставит в соответствие блоку открытой информации (представленной в некоторой цифровой кодировке) блок шифрованной информации, также представленной в цифровой кодировке. Термин шифрование объединяет в себе два процесса: шифрование и расшифровывание информации. Криптография делится на два класса: с симметричными и открытыми (асимметричными) ключами. В криптографии с симметричными ключами отправитель и получатель используют один и тот же (общий) ключ, как для шифрования, так и для расшифровывания. Преимущества криптографии с симметричными ключами:
Недостатки криптографии с симметричными ключами:
В криптографии с открытыми ключами используется пара ключей: открытый и секретный (личный), известный только его владельцу. В отличие от секретного ключа, который должен сохраняться в тайне, открытый может свободно распространяться телекоммуникационными каналами, в т.ч. через Интернет. Секретный ключ в криптографии с открытыми ключа-ми используется для формирования электронной подписи и расшифровывания данных. Криптография с открытыми ключами обеспечивает все требования, предъявляемые к криптографическим системам. Но реализация алгоритмов требует больших затрат процессорного времени. Поэтому в чистом виде криптография с открытыми ключами в мировой практике обычно не применяется. Для шифрования данных используются симметричные (сеансовые) ключи, которые, в свою очередь, шифруются с использованием открытых для передачи по сети сеансовых. Начало асимметричным шифрам было положено в 1976 году в работе Уитфилда Диффи и Мартина Хеллмана «Новые направления в современной криптографии». Они предложили систему обмена общим секретным ключом на основе дискретного логарифма. Вообще, в основу известных асимметричных криптосистем положена одна из сложных математических проблем, которая позволяет строить односторонние функции и функции-ловушки. Например, криптосистема Ривеста-Шамира-Адельмана (криптоалгоритм RSA) использует проблему факторизации больших чисел, а криптосистемы Меркля-Хеллмана и Хора-Ривеста опираются на так называемую «задачу об укладке рюкзака». Криптография с открытыми ключами требует наличия PKI — инфраструктуры открытых ключей — неотъемлемого сервиса для управления электронными сертификатами и ключами пользователей, прикладного обеспечения и систем. Электронная цифровая подпись и электронный документооборот Мы все являемся живыми свидетелями глобальной трансформации индустриальных обществ в постиндустриальные или же информационные, что стало возможным благодаря быстрому развитию и внедрению современных ИКТ (информационно-коммуникационных технологий: компьютеры + телекоммуникации). Все большая часть информации хранится и распространяется в мире в электронном виде, т.е., фигурально выражаясь, в виде последовательности всего двух символов двоичной системы исчисления. В юриспруденции для закрепления определенных правовых взаимоотношений между субъектами права используются собственноручные подписи, которые идентифицируют лицо — субъект правоотношений. С наступлением информационной эры встал вопрос электронной идентификации лица, другими словами, электронной цифровой подписи — специального реквизита электронного документа, предназначенного для удостоверения источника данных и защиты электронного документа от подделки. Наложение электронной цифровой подписи (ЭЦП) на электронный документ является динамическим процессом. Как это происходит? Документ сканируется и с помощью криптографической хэш-функции (см. врезку «Математика электронной цифровой подписи») вычисляется относительно короткая строка символов (хэш-код), которую можно использовать для проверки подлинности документа, так как очень трудно создать поддельный документ с таким же хэшем, как у подлинного. Затем эта строка криптуется (шифруется) личным (закрытым, секретным) ключом автора электронного документа и присоединяется к документу (как правило, в конец). Лицо, желающее установить его подлинность, расшифровывает наложенную на документ ЭЦП открытым (не секретным, распространяемым по открытым каналам) ключом. Документ считается подлинным, если вычисленный по нему хэш-код совпадает с расшифрованным. Прочитать подписанные личным ключом электронные документы могут все, кто имеет открытый ключ автора, а подписать — только сам владелец личного ключа (своего рода симбиоза факсимиле и виртуальной гербовой печати). Одновременно генерируется пара асимметричных взаимосвязанных специальным математическим соотношением ключей: личный (private) и открытый (public). Личный ключ — это параметр криптографического алгоритма формирования ЭЦП, который доступен только автору документа. Он не подлежит передаче третьим лицам, защищается паролем и записывается для хранения на внешний электронный носитель информации: дискету, смарт-карту, USB-брелок и т.п. Одним из широко применяемых способов подтверждения подлинности ключа ЭЦП является подписание его (вместе с информацией о его владельце) электронной цифровой подписью какой-либо доверенной организации — центра сертификации, входящего в инфраструктуру открытых ключей PKI. Одной из характеристик ключа ЭЦП, определяющих его криптостойкость, является длина, измеряемая, как правило, в битах. Чем больше длина ключа, тем более длителен процесс наложения ЭЦП и его проверки и, как следствие, тем больше стойкость к «взлому». Для асимметричных алгоритмов (в частности, широко используемого при формировании ЭЦП алгоритма RSA) минимальная надежная длина ключа на настоящее время — 1024 бит. Для современных симметричных алгоритмов (используются для туннелирования — криптографической защиты информации при передаче телекоммуникационными каналами) шифрование с ключами длиной 128 бит и выше считается сильным, так как для расшифровки информации без ключа требуются годы работы мощеных суперкомпьютеров. Отдельно нужно отметить, что ЭЦП позволяет не только аутентифицировать (идентифицировать) автора электронного документа, но и подтвердить целостность (неизменность) последнего. Для юридически значимого использования ЭЦП более чем между двумя субъектами права открытые ключи ЭЦП должны сертифицироваться. На практике это означает, что к ЭЦП добавляется еще электронный сертификат ее открытого ключа, подтверждающий его принадлежность. Главное отличие между ЭЦП и собственноручной «бумажной» подписью состоит в том, что первой подписываются электронные, а не бумажные документы. Наложение на электронный документ (набор электронных данных) ЭЦП (даже вместе с сертификатом открытого ключа) не делает документ конфиденциальным, т.е. не защищает от несанкционированного просмотра в случае перехвата. Как уже писалось выше, ЭЦП гарантирует (при соблюдении определенных процедур ее использования!) лишь принадлежность (авторство) документа и его целостность (неизменность), но не конфиденциальность. Для гарантирования конфиденциальности электронные документы с добавленной ЭЦП и сертификатом открытого ключа при передаче телекоммуникационными каналами могут дополнительно шифроваться симметричным ключом (криптографическая защита канала передачи). Он должен передаваться отправителем получателю закрытыми каналами (в отличие от открытого ключа ЭЦП, который может распространяться открытыми каналами). На один электронный документ может одновременно налагаться несколько ЭЦП, например, на электронное платежное поручение корпоративного клиента банка налагаются ЭЦП его первого руководителя и главного бухгалтера. Можно ли подделать ЭЦП? Теоретически такое возможно, на практике же исключается практически полностью, так как это требует огромного количества вычислений на сверхмощной компьютерной технике, которые не могут быть реализованы даже при современном уровне математики и вычислительной техники за приемлемое время, то есть пока информация, содержащаяся в подписанном документе, сохраняет актуальность.
Законодательное и нормативно-правовое обеспечение электронного документооборота Для внедрения ЭЦП и электронного документооборота необходима инфраструктура PKI и соответствующее правовое поле. В начале 2004 года в Украине вступили в силу рамочные Законы «О цифровой электронной подписи» (« Про електронний цифровий підпис ») и «Об электронных документах и электронном документообороте» ( « Про електронні документи та електронний документообіг » ) , положившие начало созданию в стране PKI -инфраструктуры открытых ключей ЭЦП. Назначение и правовой статус ЭЦП были определены Законом Украины «О цифровой электронной подписи», предоставившим право физическим и юридическим лицам страны использовать ЭЦП для подтверждения материалов и документов, поданных в электронной форме (в некоторых случаях, в частности, для заверения завещаний и документов на усыновление, применение ЭЦП не разрешается). В разработке национальной системы ЭЦП принимали участие Госкомсвязи, ГП «Госинформресурс», Государственный центр информационных ресурсов Украины и институт кибернетики НАНУ. Законами Украины предусмотрены следующие компоненты PKI :
Под аккредитацией подразумевается процедура документального удостоверения компетентности центров сертификации ключей для осуществления деятельности, связанной с обслуживанием усиленных сертификатов ключей, т.е. сертификатов, выдаваемых только аккредитованными центрами сертификации. Только ключи с усиленными сертификатами могут использоваться для обмена электронной информацией в случае, если хотя бы одна из сторон является государственным органом. Центр сертификации ключей (ЦСК) — основной управляющий компонент PKI, предоставляющий услуги ЭЦП. К ним относятся:
Обслуживание физических и юридических лиц осуществляется ЦСК на договорных условиях. Максимальная стоимость сертификата ключа в на-стоящее время не должна превышать 150 грн. ЦСК имеет право:
ЦСК обязан:
Хранение личных ключей и ознакомление с ними в ЦСК запрещаются. Обобщенная функциональная схема ЦСК приводится на рис. 1.
В 2006 году созданный при Министерстве транспорта и связи Центральный удостоверяющий («засвідчувальний») орган уже осуществил аккредитацию нескольких ЦСК, положив начало внедрению в стране юридически значимого электронного документооборота. Прием заявок на проведение аккредитации удостоверяющих центров и центров сертификации ключей ЭЦП Минтранссвязи осуществляет на основании Порядка аккредитации центра сертификации ключей, утвержденного постановлением Кабинета Министров Украины № 903 от 13 июля 2004 года. Первым свидетельство об аккредитации ЦСК получила 17.01.2006 г. днепропетровская производственная фирма «Украинские национальные производственные системы» (УНИС). В Министерстве транспорта и связи вполне резонно считают, что электронный документооборот позволит устранить бюрократию в государственных учреждениях и сэкономить время. А возглавлявший министерство Виктор Бондар на брифинге по поводу аккредитации первого в Украине ЦСК, в котором также принимали участие представители МВД, Министерства охраны окружающей среды, Минэкономики, Минобороны, Минздрава, МОНУ, Минтопэнерго, Минтруда, Минпромполитики, МЧС, Минфина, Минюста, ГНАУ, НБУ, СБУ, ФГИ, Гостаможни, Госкомстата, «Укртелекома», представители интернет-сообщества и потенциальных получателей ключей, утверждал, что в течение 2–3 лет будут полностью ликвидированы все очереди в любых контролирующих органах, а бумажные справки, которые раньше разносили от одного органа к другому, вообще канут в Лету, уступив место электрон-ному документообороту. ЦСК УНИС еще 10 марта 2005 г . получил положительное экспертное заключение ДСТСЗИ СБУ на криптоплатформу «УНИС-Аргумент» и ПО ЦСК на ее основе. Она соответствует стандартам: цифровой подписи — ДСТУ-34310-95 и ДСТУ 4145-2002; функции хэширования — ДСТУ-34.311-95; симметричного шифрования — ГОСТ 28147-89; управления сеансовыми и долго-срочными ключами шифрования — согласно утвержденной ДСТСЗИ методике на базе преобразований Ель-Гаммаля — UNIS 177005. С точки зрения защиты информации ЦСК ЭЦП УНИС поддерживает стандарт ДСТУ 4145-2002. Кроме обычной ЭЦП, юридическим лицам предлагается также ЭЦП, защищенная усиленным сертификатом ключей, что позволяет осуществлять защищенный электронный документооборот между любыми субъектами правовых отношений. Автор все же позволит себе усомниться в столь радужных перспективах внедрения электронного документооборота в нашей стране. По крайней мере, в краткосрочной перспективе. Уже хотя бы потому, что коррумпированному чиновнику-бюрократу электронный документооборот совершенно ни к чему. Ведь такой строго регламентированный и транспарентный электронный документооборот практически лишит его возможности получения взяток, как это имеет место в случае с куда менее формализованной и не столь прозрачной процедурой получения разного рода бумажных справок. Хотя будущее, конечно же, за безбумажными технологиями и электронным юридически значимым документооборотом. Например, во многих странах Запада граждане по желанию могут голосовать через Интернет, подписывая электронные избирательные бюллетени собственной сертифицированной ЭЦП. В частности, это имело место в Финляндии на недавних президентских выборах. Для реального внедрения ЭЦП «в жизнь» нужно как можно скорее «связать» электронное дело-производство государственных органов с Верховной Радой и Кабмином, а бизнес-структур — с налоговой администрацией. Тогда интерес к ЭЦП появится у всех и она станет востребованной. Использование PKI в приложениях PKI используется для управления ключами и электронными сертификатами в программных приложениях (таких как электронная почта, Web-приложения, электронная коммерция), использующих криптографию для установления защищенных сетевых соединений (S/MIME, SSL, IPSEC), или для формирования ЭЦП электронных документов, приложений и т.д. Кроме того, PKI может быть использована для корпоративных приложений. Защищенные электронная почта и документооборот используют криптографию для шифрования сообщений или файлов и формирования ЭЦП. Из наиболее известных и распространенных стандартов стоит отметить протокол S/MIME (Secure Multipurpose Inte rn et Mail Extensions), который является расширением стандарта Ин-тернет-почты MIME (Multipurpose Internet Mail Extensions). Web-браузеры и серверы используют PKI для аутентификации и конфиденциальности сессии, а также для онлайновых банковских приложений и электронных магазинов. Наиболее распространенным протоколом в этой сфере является протокол SSL (Secure Sockets Layer). Протокол SSL применяется не только для защиты HTTP (Hypertext Transfer Protocol), а также может быть использован для FTP (File Transfer Protocol) и Telnet. Использование ЭЦП для подписи приложений и файлов позволяет безопасно распространять их по сети Интернет. При этом пользователь уверен в корректности полученного приложения от фирмы-разработчика. Использование международных стандартов в области PKI позволяет различным программным приложениям взаимодействовать между собой с использованием единой инфраструктуры открытых ключей. В особенности стандартизация важна в области:
Основным центром по выпуску согласованных стандартов в области PKI является рабочая группа PKI (PKI working group) организации IETF (Internet Engineering Task Force), известная как группа PKIX (от сокращения PKI for X.509 certificates). Большинство стандартов, использующих криптографию, разработано с учетом PKI. Протокол SSL (разработанный фирмой Netscape) и соответствующий ему стандарт IETF TLS (RFC 2246) являются наиболее популярными стандартами для обеспечения защищенного доступа к Web. Вместе с тем, SSL и TLS широко применяются для создания клиент-серверных приложений, не использующих Web. Оба эти протокола в своей основе используют PKI. Протокол IPSEC (Internet Protocol Security Protocol) разработан IETF как протокол для шифрования IP и является одним из основных протоколов, используемых для построения VPN (Virtual Private Network — виртуальная частная сеть). PKI в протоколе IPSEC используется для аутентификации и шифрования. В настоящее время протокол еще широко не распространен, но повсеместное развитие PKI приводит к возрастанию количества реализаций IPSEC. Криптография с открытыми ключами и электронные сертификаты позволяют реализовать по-настоящему защищенные системы и приложения, использующие современные технологии и сети передачи данных. Использование ЭЦП в отечественной банковской системе С 01.01.1994 г. Национальным банком Украины (НБУ) внедрена система электронных межбанковских расчетов, где используются ЭЦП. Где-то в 1995 г . появились первые системы «клиент-банк», которые также используют ЭЦП. Это все было реализовано НБУ при отсутствии общегосударственного законодательного обеспечения. НБУ взял все риски на себя. В других отраслях народного хозяйства использование ЭЦП находится в настоящее время практически на нулевой отметке. В соответствии с Законом Украины «Об электронной цифровой подписи» НБУ изучает возможность в 2006—2007 гг. внедрить Удостоверяющий центр для создания инфраструктуры ЦСК для банковской системы Украины. Это даст возможность осуществлять аккредитацию и регистрацию ЦСК банков непосредственно в Удостоверяющем центре НБУ с выполнением всех требований относительно ЭЦП в банковской деятельности. Анализ состояния использования ЭЦП клиентами банков Украины показал, что существуют некоторые проблемные вопросы на этот счет. Так как в Украине клиентам банков разрешено открывать счета в разных банках, то достаточно часто возникает ситуация, когда корпоративный клиент использует несколько систем «клиент-банк» разных разработчиков для управления своими счетами в разных банках. При этом каждый банк самостоятельно предоставляет своим клиентам программные генераторы ключей ЭЦП. Зафиксирован, например, случай, когда корпоративный клиент оперирует 14 разными ключами ЭЦП на разных носителях для управления своими счетами в разных банках. Такое положение вещей вызывает обеспокоенность Ассоциации украинских банков и НБУ, который предлагает создать под эгидой НБУ единственный ЦСК для клиентов отечественных банков, что позволит им управлять своими счетами в разных банках единственным ключом ЭЦП и значительно упростить электронный документооборот. При этом будет возможно использование сертифицированного в этом единственном ЦСК клиентов банков сертификата ключа ЭЦП не только в системах «клиент-банк», но и при предоставлении клиентами информации разным государственным органам, таким как Госфинуслуг, Госфинмониторинг, государственная на-логовая администрация, таможенная служба и др. (при условии согласования такого порядка с этими государственными органами). Особенно актуально создание такого единственного ЦСК для малых и средних банков, которые не смогут позволить себе создания собственных центров сертификации, так как это требует значительных средств. С другой же стороны, воплощение в жизнь предложения НБУ может стать важным фактором ускорения внедрения в Украине юридически значимого электронного документооборота. ЭЦП и международная интеграция Украины Если принимать во внимание будущую интеграцию Украины в европейские структуры, то здесь также есть немало проблем, в частности:
Без адекватного решения выше перечисленных проблем возможна международная изоляция Украины в будущем. Напомним, что в ноябре 2005 г . Генеральная ассамблея ООН приняла Конвенцию об использовании электронных сообщений в международных договорах (Convention on the Use of Electronic Communications in International Contracts), разработанную Комиссией ООН по праву международной торговли (UNCITRAL). Конвенция развила положения, заложенные в разработанных ранее UNCITRAL «Типовом законе об электронной коммерции» (Model Law on Electronic Commerce) и «Типовом законе об электронной подписи» (Model Law on Electronic Signatures), и определила правовой статус электронных сообщений, относящихся к заключению или исполнению договоров международной торговли. В свою очередь Европарламент принял программу внедрения до 2010 года единой информационной системы таможенных органов. Документ предусматривает формирование единой базы таможенных деклараций. Вся система строится на понимании электронной подписи, цифровых сертификатов, которые несовместимы с украинскими. Начиная уже с 2007 года, в случае если все документы, связанные с международными перевозками и поставками, не будут передаваться в электронном виде, подписанные ЭЦП, Украина попадает в положение третьей страны (т.е. документы украинских субъектов хозяйственной деятельности будут рассматриваться по остаточному принципу). Резюмируя, можно предположить, что объем бумажного документооборота на планете Земля будет асимптотически приближаться к нулю, а ее жители XXII века смогут вообще обходиться без ручки. При подготовке статьи автором использованы материалы сайта Валерий СТЕПАНЕНКО, МБА, |
родолжающееся бурное развитие компьютерных технологий и повсеместное внедрение бизнес-процессов с использованием глобальной сети Интернет коренным образом изменяет устоявшиеся способы ведения бизнеса. Системы корпоративной безопасности, обеспечивающие бизнес, тоже не могут оставаться в стороне. 
Лед тронулся, господа!