Перспективы развития и использования систем электронной цифровой подписи Текст научной статьи по специальности «Право»

№2(8) 2007

П.А. Тимошин

Перспективы развития и использования систем

W I V

электронной цифровом подписи

Последние несколько лет происходит постепенное вытеснение бумажного документооборота электронным, все больше компаний начинают заниматься электронной торговлей и вести документацию в электронном виде. Но использование Internet для ведения электронного бизнеса значительно повышает риск несанкционированных воздействий на финансовые документы и другую важную информацию. Защитных атрибутов бумажных документов — подписей, печатей, штампов, водяных знаков, специальной фактуры бумажной поверхности и т. п. — у электронных документов нет. Необходимость их защиты очевидна. Поэтому следует использовать такой механизм электронной защиты, который заменит подпись и печать на бумажных документах. То есть надо использовать электронную цифровую подпись.

Предпосылки к созданию электронного документооборота

Последние несколько лет происходит замена бумажной технологии обработки информации ее электронным аналогом. Вскоре можно ожидать полного вытеснения бумажного документооборота электронным. Однако использование Internet для электронного ведения бизнеса значительно повышает риск несанкционированных воздействий на финансовые документы и иную важную информацию. Защитных атрибутов бумажных документов — подписей, печатей и штампов, водяных знаков, специальной фактуры бумажной поверхности и т.п. — у электронных документов нет. Но электронные документы нужно защищать не менее тщательно, чем бумажные. Поэтому возникает задача разработки такого механизма электронной защиты, который смог бы заменить подпись и печать на бумажных документах. То есть необходимо разработать механизм цифровой подписи (digital signature), которая представляет собой дополнительную информацию, прикрепляемую к защищаемым данным. Цифровая подпись зависит от содержания подписываемого документа и некоего секретного элемента

(Закрытого ключа), которым обладает только 12

лицо, участвующее в защищенном обмене документами.

Законы об электронной цифровой подписи (ЭЦП) сегодня имеют уже 62 государства. С 2002 года в этот список вошла и Россия. Закон «Об электронной цифровой подписи» должен оказать стимулирующее воздействие на развитие отечественной электронной коммерции. В то же время Госдума пока не приняла закон «Об электронном документообороте», что в ряде случаев может породить определенные юридические коллизии. Закона нет, но использовать электронные документы нужно, и, как всегда, пути для этого находятся.

Существующие уже нормативные и законодательные акты де-факто признают легитимность электронных документов, скрепленных ЭЦП, а значит, и электронный документооборот.

Приведем некоторые из них:

• Федеральный закон «Об электронной цифровой подписи»;

• Закон «О внесении изменения в статью 80 части первой Налогового кодекса Российской Федерации»;

• в январе 2001 года правление Пенсионного фонда постановлением «О введе-

Нв2(8) 2007

нии в системе Пенсионного фонда РФ криптографической защиты информации и электронной цифровой подписи» регламентировало регистрацию и подключение юридических и физических лиц к системе своего электронного документооборота;

• в 2002 году вышел приказ Министерства по налогам и сборам (МНС) России «Об утверждении порядка представления налоговой декларации в электронном виде по телекоммуникационным каналам связи», благодаря которому сегодня любое физическое или юридическое лицо может связаться с налоговой инспекцией, используя защищенную электронную почту;

• два года назад были утверждены поправки к ст. 13 и 15 Закона «О бухгалтерском учете», согласно которым бухгалтерская отчетность предприятия может вестись, храниться и предоставляться контролирующим органам в электронном виде.

Основные понятия и механизм функционирования ЭЦП

В соответствии с законом «Об электронной цифровой подписи», ЭЦП — это реквизит электронного документа, предназначенный для его защиты от подделки, полученный в результате криптографического преобразования информации с использованием закрытого ключа и позволяющий идентифицировать владельца сертификата ключа, а также установить отсутствие искажений информации в электронном документе.

Механизм ЭЦП работает, используя два криптографических ключа — закрытый и открытый, которые генерирует автор (отправитель) сообщения.

Закрытый (секретный) ключ ЭЦП — это последовательность символов, предназначенная для выработки ЭЦП и известная только правомочному лицу — владельцу. Он использует этот ключ для создания своей подписи под документом.

Открытый (публичный) ключ ЭЦП (Public Key Infrastructure — PKI) — это общедоступная последовательность символов, предназначенная для проверки электрон-

ной подписи отправителя. Открытый ключ Л позволяет только проверять существую- | щую ЭЦП, но не позволяет «расписаться» й вместо отправителя. ^

Процесс хэширования — асимметрич- 15 ные алгоритмы применительно к ЭЦП предполагают вычисление в процессе ее создания так называемой хэш-функции (хэш-кода) — последовательности нулей и единиц всегда одной и той же длины (российский закон «Об электронной цифровой подписи» задает ее равной 256). И хотя длина хэш-кода документа любого размера, на первый взгляд, не представляется большой, идентичные хэш-коды у разных документов могут встретиться с вероятностью меньшей, чем вероятность совпадения отпечатков пальцев у людей. После этого полученный хэш-код «закрывается» секретным ключом лица, подписывающего документ, и ЭЦП документа как результат описанного процесса добавляется к его исходному тексту. Оформленный таким образом документ и есть документ, подписанный ЭЦП (рис. 1). По подписи получатель сообщения может удостовериться, что сообщение отправил именно автор, а не кто-то другой. Кроме того, подписанный таким образом документ уже невозможно изменить.

Проверка ЭЦП под электронным документом для установления его подлинности выполняется с помощью открытого ключа, парного закрытому, который может распространяться свободно и должен быть доступен любому участнику информационного обмена с владельцем закрытого ключа.

Если коды совпали — подпись верна, тогда документ подлинный. И если при создании ЭЦП действительно использовался секретный ключ того человека, который должен был подписать электронный документ, и при его пересылке содержимое документа не менялось преднамеренно или случайно (например, из-за помех в канале связи), то документ считается подлинным и является действительным.

Все рутинные операции по генерации и проверке ЭЦП производятся автоматиче-

Ив2(8) 2007

КАНАЛ СВЯЗИ

Криптографическая > процедура выработки цифровой подписи

ЭЦП

Сообщение (документ)

Открытый ключ

Криптографическая процедура проверки цифровой подписи

ЭЦП КАНАЛ СВЯЗИ

Сообщение (документ)

ЭЦП

Рис. 1. Постановка и проверка ЭЦП под электронным документом

I

I

0 со

1

0 £

&

1

г §

и

I

а

со

о

«

л

! 5

5 §

I £

ски специальными криптографическими средствами — подсистемой ЭЦП, а пользователю остается только нажимать соответствующие экранные клавиши при помощи компьютерной мыши.

Отправитель, кроме подшивки в документ своей ЭЦП, может еще и зашифровать все свое сообщение. Соответственно шифрование всего отсылаемого документа и электронная цифровая подпись под ним могут применяться отправителем сообщения вместе. Сначала можно подписать до-

кумент своим секретным ключом, а потом зашифровать открытым ключом получателя. При этом подпись удостоверяет личность отправителя, а шифрование защищает письмо от чужих глаз (рис. 2).

Сертификат открытого ключа ЭЦП (сертификат ключа подписи) — документ, выданный и заверенный удостоверяющим центром, подтверждающий принадлежность открытого ключа ЭЦП определенному лицу. Открытый ключ указывается в сертификате, и как уже говорилось выше, доступен каждому.

Рис. 2. Постановка и проверка ЭЦП под электронным документом с одновременной ассиметричной шифрацией и расшифровкой документа

14

№2(8) 2007

Сертификат выдается на имя владельца, который может быть как физическим, так и юридическим лицом, владеющим закрытым ключом ЭЦП, соответствующим открытому ключу. Сертификат — это небольшой файл, состоящий из следующих частей:

1. Имя человека/организации выпускающего сертификат.

2. Субъект сертификата.

3. Публичный ключ субъекта.

4. Некоторые временные параметры (срок действия сертификата и т. п.).

5. Идентификаторы поддерживаемых криптографических алгоритмов и другая служебная информация.

Удостоверяющий центр хранит справочник регистрационных записей открытых ключей, к которому вправе обратиться любой участник информационного обмена. Каждый сертификат заверяется подписью центра (рис. 3).

Центры по удостоверению подлинности ЭЦП — юридические лица, обладающие соответствующими правомочиями на удостоверение принадлежности экземпляра открытого ключа ЭЦП конкретному владельцу сертификата.

Нельзя забывать, что несмотря на все преимущества у ЭЦП, как впрочем, и у любого другого средства криптографической защиты, есть одна достаточно неприятная особенность: используемую ключевую пару необходимо периодически менять, пока ее не успели скомпрометировать злоумышленники. То есть, условно говоря, через год (два, три), после того как абонент удостоверяющего центра передаст ему на сертификацию свой открытый ключ, все старые документы могут автоматически оказаться «вне закона» — ведь теперь будет работать новая пара ключей. А что делать, если вдруг после истечения срока действия старых ключей возникнет какой-нибудь юридический спор и для его разрешения потребует-

I

Л

с:

Закрытый ключ

Криптографическая процедура выработки цифровой подписи

ЭЦП

Сообщение (документ) Сообщение (документ) ЭЦП

Криптографическая процедура проверки цифровой подписи

Открытый

ключ отправителя

КАНАЛ СВЯЗИ

Сообщение (документ)

ЭЦП

Рис. 3. Постановка и проверка ЭЦП при участии удостоверяющего центра

15

№2(8) 2007

ся один из документов, подписанных с использованием старого ключа? Кто тогда поручится, что подпись когда-то была действительной?

На этот случай закон «Об электронной цифровой подписи» предлагает принцип перехода к режиму архивного хранения ключей в удостоверяющем центре в соответствии с российским законодательством об архивах и архивном деле.

Инфраструктура распределения открытых ключей

Описанная технология ориентирована на использование так называемой инфраструктуры с распределением открытых ключей. Кроме владельцев и пользователей цифровых сертификатов, эффективный PKI должен включать целый ряд других элементов. Это центры сертификации и регистрации, архив сертификатов, а также системы:

S

s • аннулирования сертификатов; § • создания резервных копий и восста-

'о новления ключей; «

â • автоматической корректировки пар

Л ключей и сертификатов;

• управления историей ключей; Ï! • поддержки взаимной сертификации

I; разных центров;

§ • поддержки механизма невозможности

Ц отказа от цифровых подписей; g • преобразования форматов(необходи-

* ма при обмене документами многих участ-

Л ников, использующих разное программное

® обеспечение) и т.д.

I

! Подобная инфраструктура давно про* шла испытание временем за рубежом и уже | лет 5-6 достаточно активно используется <5 в России организациями, ведущими защи-^ щенный электронный документооборот. § Чтобы проблема совместимости крипто-tg графических приложений на уровне PKI не возникала, все ее участники должны придерживаться единой структуры и форматов

представления данных в составе цифрово--

го сертификата. Этой цели служит международный стандарт Х.509, разработанный Международным комитетом по телекоммуникациям (ITU-T) и авторитетной общественной международной организацией Internet Engineering Task Force (IETF). Опубликованные этими уважаемыми организациями рекомендации, определяющие форматы цифровых сертификатов, широко и успешно используются не только зарубежными, но и многими российскими криптосистемами.

Юридическое обоснование

применения электронной цифровой подписи на территории РФ

Основой для применения электронных документов, подписанных электронной цифровой подписью, являются следующие законодательные и нормативные акты государственных органов РФ (табл. 1):

1. Гражданский Кодекс РФ.

2. Федеральный закон «Об информации, информатизации и защите информации».

3. Федеральный закон «Об электронной цифровой подписи».

4. Материалы Высшего Арбитражного Суда РФ и СССР.

5. Арбитражный процессуальный кодекс.

6. Государственные стандарты РФ и СССР.

Использование ЭЦП на территории РФ

В целях изучения проблем и способов реализации проектов по использованию ЭЦП в различных организациях и государственных структурах рассмотрим некоторые примеры существующих систем. Отметим, что большинство коммерческих структур не полностью использует юридические возможности для совершенствования собственных схем обработки документов с целью снижения объема бумажного документооборота путем вытеснения бумаги, как носителя, электронными документами.

Нв2(8) 2007

Таблица 1

Основы для применения электронных документов, подписанных электронной цифровой подписью

Документ Основы для применения ЭЦП

Гражданский Кодекс Российской Федерации

Ч. I, ст. 160, п. 2 Использование при совершении сделок... электронно-цифровой подписи... допускается в случаях и порядке, предусмотренных законом, иными правовыми актами или соглашением сторон

Ч. I, ст. 434, п. 1 Если стороны договорились заключить договор в определенной форме, он считается заключенным после придания ему условленной формы, хотя бы законом для договоров данного вида такая форма не требовалась

Ч. I, ст. 434, п. 2 Договор в письменной форме может быть заключен... путем обмена документами посредством почтовой, телеграфной, телетайпной, телефонной, электронной или иной связи, позволяющей достоверно установить, что документ исходит от стороны по договору

Федеральный Закон от 20 февраля 1995 года № 24-ФЗ «Об информации, информатизации и защите информации»

Гл. II, ст. 5, п. 3 Юридическая сила документа, хранимого, обрабатываемого и передаваемого с помощью автоматизированных информационных и телекоммуникационных систем, может подтверждаться электронной цифровой подписью. Юридическая сила электронной цифровой подписи признается при наличии в автоматизированной информационной системе программно-технических средств, обеспечивающих идентификацию подписи, и соблюдении установленного режима их использования

Федеральный закон № 1-ФЗ от 10 января 2002 года «Об электронной цифровой подписи»

Ст. 4, п. 1 Электронная цифровая подпись в электронном документе равнозначна собственноручной подписи в документе на бумажном носителе при одновременном соблюдении следующих условий: сертификат ключа подписи, относящийся к электронной цифровой подписи, не утратил силу (действует) на момент проверки или на момент подписания электронного документа при наличии доказательств, определяющих момент подписания; подтверждена подлинность электронной цифровой подписи в электронном документе; электронная цифровая подпись используется в соответствии со сведениями, указанными в сертификате ключа подписи

Ст. 5, п. 1 Создание ключей электронных цифровых подписей осуществляется для использования в информационной системе общего пользования ее участником или по его обращению удостоверяющим центром; корпоративной информационной системе в порядке, установленном в этой системе. Статус удостоверяющего центра, обеспечивающего функционирование корпоративной информационной системы, определяется ее владельцем или соглашением участников этой системы

Ст. 17, п. 2 Порядок использования электронных цифровых подписей в корпоративной информационной системе устанавливается решением владельца корпоративной информационной системы или соглашением участников этой системы

Ст. 17, п. 3 Содержание информации в сертификатах ключей подписи, порядок ведения реестра сертификатов ключей подписей, порядок хранения аннулированных сертификатов ключей подписей, случаи утраты указанными сертификатами юридической силы в корпоративной информационной системе регламентируются решением владельца этой системы или соглашением участников корпоративной информационной системы

17

Нв2(8) 2007

Продолжение табл. 1

Документ Основы для применения ЭЦП

Материалы Высшего Арбитражного Суда РФ и СССР

Инструктивные указания Госарбитража СССР от 29 июня 1979 года № И-1-4

«Об использовании в качестве доказательств по арбитражным делам документов, подготовленных с помощью электронно-вычислительной техники». Стороны по арбитражным делам в обоснование своих требований и возражений вправе представлять арбитражам документы, подготовленные с помощью электронно-вычислительной техники. Эти документы, поскольку они содержат данные об обстоятельствах, имеющих значение для дела, должны приниматься органами арбитража на общих основаниях в качестве письменных доказательств

Письмо от 24 апреля 1992 года № К-3/96

Высший Арбитражный Суд РФ считает возможным принимать по рассматриваемым делам в качестве доказательств документы, заверенные электронной подписью [печатью] типа «ЛАН Крипто»

Письмо от 19 августа 1994 года № С1-7/ оп-578

В том случае, когда стороны изготовили и подписали договор с помощью электронно-вычислительной техники, в которой использована система цифровой (электронной) подписи, они могут представлять в арбитражный суд доказательства по спору, вытекающему из этого договора, также заверенные цифровой (электронной) подписью. Если же между сторонами возник спор о наличии договора и других документов, подписанных цифровой (электронной) подписью, арбитражному суду следует запросить у сторон выписку из договора, в котором указана процедура порядка согласования разногласий, на какой стороне лежит бремя доказывания тех или иных фактов и достоверности подписи. С учетом этой процедуры арбитражный суд проверяет достоверность представленных сторонами доказательств. При необходимости арбитражный суд вправе назначить экспертизу по спорному вопросу, используя при этом предусмотренную договором процедуру. В случае отсутствия в таком договоре процедуры согласования разногласий и порядка доказывания подлинности договора и других документов, а одна из сторон оспаривает наличие подписанного договора и других документов, арбитражный суд вправе не принимать в качестве доказательств документы, подписанные цифровой (электронной) подписью. Арбитражному суду, разрешающему подобный спор, следует оценить заключенный таким образом договор, всесторонне рассмотреть вопрос и о том, добровольно ли и со знанием дела стороны включили в договор процедуру рассмотрения споров и доказывания тех или иных фактов, не была ли она навязана одной стороне другой стороной с целью обеспечения только своих интересов и ущемления интересов другой стороны, и с учетом этой оценки вынести решение по конкретному спору

Письмо от 7 июня 1995 года № С1/03-316

В письме воспроизведены положения ст. 5 федерального закона «Об информации, информатизации и защите информации», а также добавлено: «Следует иметь в виду, что при соблюдении указанных условий, в том числе при подтверждении юридической силы документа электронной цифровой подписью, этот документ может признаваться в качестве доказательства по делу, рассматриваемому арбитражным судом»

-а §

I £

Примечание. В качестве иллюстративных могут быть использованы материалы Арбитражного суда г. Москвы по делу № 40413 от 28 июля 1993 года и материалы Третейского суда при АО «Межбанковский финансовый дом»

Арбитражный процессуальный кодекс РФ от 5 мая 1995 года № 70-Ф3

Ст. 60, п. 1

Письменным доказательством являются содержащие сведения об обстоятельствах, имеющих значение для дела, акты, договоры, справки, деловая корреспонденция, иные документы и материалы, в том числе полученные посредством факсимильной, электронной или иной связи, либо иным способом, позволяющим установить достоверность документа

18

Нв2(8) 2007

Окончание табл. 1 !

Документ Основы для применения ЭЦП

Государственные стандарты РФ и СССР

ГОСТ 6.10.4-84 Придание юридической силы документам на машинном носителе и машинограмме, создаваемым средствами вычислительной техники. Основные положения

Рекомендации РД 50-613-86 Методические указания по внедрению и применению ГОСТ 6.10.4-84 (утверждены Постановлением Госкомитета СССР по стандартам от 24 сентября 1986 года № 2781)

ГОСТ Р 34.10-94 Криптографическая защита информации. Процедуры выработки и проверки электронной цифровой подписи на базе ассиметричного криптографического алгоритма

ГОСТ Р 34.11-94 Криптографическая защита информации. Функция хэширования

ГОСТ Р 34.10-2001 Процессы формирования и проверки электронной цифровой подписи (заменил стандарт ГОСТ Р 34.10-94)

Подача таможенной декларации в электронном виде

В конце 2003 года Государственный таможенный комитет впервые разрешил ввоз в страну товара, оформленного в электронном виде. Груз, перемещаемый через государственную границу шведской компанией Tetra Pak, не сопровождался бумажной таможенной декларацией, она была представлена в электронном виде.

Основные сложности внедрения новой технологии лежат отнюдь не в технической сфере. «Сломать психологию инспектора» оказалось труднее, чем лицензировать программные и технические средства, отладить программное обеспечение и обучить персонал. Отказ от бумаги — болезненный процесс, требующий постепенности и времени, так как сотрудник таможни несет личную ответственность, вплоть до уголовной, за правильность оформления документации.

В качестве средства криптозащиты используется система «Крипто Про». Дискеты-подписи (содержащие ЭЦП) функционально аналогичны служебным удостоверениям. Фальсифицировать их невозможно, так как технология ЭЦП «учитывает индивидуальные особенности носителя».

Выбор первых компаний, которым было-разрешено электронное оформление грузов, обусловлен, в частности, характером

поставляемого ими товара. Так, Tetra Pak ввозит однородный груз, оформление которого по безбумажным правилам представляет меньше сложностей для таможенного инспектора.

С электронной декларацией срок процедуры оформления сокращается до 30-40 минут. Сокращается и количество оформляющих — один инспектор может контролировать до четырех этапов оформления. Электронное оформление может также сократить число нарушений и взяток, потому что «между участником внешнеэкономической деятельности и таможенником не возникает физического контакта».

Использование ЭЦП в МНС России

Для повышения качества работы государственных органов важны совершенствование управления и оптимальная организация управленческих процедур. Во всех странах, в том числе и в России, был сделан вывод о том, что информационные технологии позволяют рационально организовать корпоративное управление, повышая тем самым качество работы с клиентами. При этом переход на новый уровень доступа к информации и обмена ею — в режиме on-line — может способствовать повышению «прозрачности» власти. В свою очередь, это понятие, безоговорочно вписыва-

№2(8) 2007

ется в концепцию «Электронного правительства», которая предложена федеральной целевой программой «Электронная Россия».

Учитывая особое место налоговых органов в государственной иерархии, очевидно, что внедрение новых информационных технологий в «налоговую» область государственного управления представляется не просто желательным, а — необходимым. В качестве иллюстрации подобной потребности можно привести показатели, характеризующие развитие электронного делопроизводства в Государственной налоговой службе Швеции. В марте 2002 года в Стокгольме прошел двухдневный семинар налоговых служб. На нем были озвучены такие цифры: с 1968 по 2002 год количество документов на бумажном носителе в налоговой службе Швеции снизилось со 100 до 20%. Остальные 80% представлены в виде электронных баз данных. Поэтому встал вопрос о внедрении электронного делопроиз-I водства в Министерстве по налогам и сбо-| рам РФ.

'! С июля 2001 года МНС полностью пере-¡^ шло на новую систему электронного доку-Л ментооборота.

Опытная эксплуатация системы позво-| лила сократить время:

• регистрации одного документа (не бо-Ц лее одной минуты); У • передачи документа на исполнение; * • поиска документа по его атрибутам, Л а также документа с неизвестными атрибу-

оо

8 тами;

§ • подготовки и согласования типовых

| документов и отчетов.

<к

| Значительно упростился процесс пере-<5 сылки документов между структурными под-^ разделениями. Сократились затраты на рас-§ ходные материалы (бумага, картриджи для (5 принтеров и копировально-множительные ^ аппараты).

Таким образом, система электронного документооборота МНС представляет со-

20

бой сложную совокупность программно-аппаратных средств.

Она позволяет поддерживать весь цикл управления, включая:

• планирование основной деятельности Министерства;

• контроль за исполнением документов, поручений руководства и договоров Министерства;

• регулирование всех основных функций управления:

□ персоналом,

□ затратами,

□ проектами.

Кроме того, система электронного документооборота МНС обладает уникальной разработкой — генератором отчетов, при помощи которого создаются любые отчеты, необходимые для работы департамента, а также для контроля информации о состоянии исполнительской дисциплины в целом по центральному аппарату Министерства.

Опыт эксплуатации системы в центральном аппарате Министерства показал значительный прирост эффективности работы с документами и улучшение качества контрольной работы за соблюдением исполнительской дисциплины.

Положительная оценка результатов работы системы электронного документооборота МНС России в 2001-2002 годах дала возможность поставить и решить вопрос о разработке и внедрении аналогичной системы в управлениях МНС по субъектам Российской Федерации. Сегодня система электронного документооборота используется в управлениях МНС России одиннадцати субъектов федерации. По решению министра в 2003 году эта система была установлена во всех управлениях. Внедрение системы электронного документооборота в практику работы территориальных налоговых органов при поддержке системы телекоммуникаций создаст достаточные условия организации безбумажной техноло-

Нв2(8) 2007

гии документооборота. Однако необходимым условием перехода к безбумажному документообороту является внедрение технологии электронной цифровой подписи.

В настоящее время основным электронным средством доставки документов в системе МНС России является электронная почта. Для защиты этого канала передачи данных и было принято решение о внедрении в систему МНС России электронной цифровой подписи. Это Министерство, первым из органов государственного управления смогло реализовать на практике работу с применением ЭЦП. Официальное использование ЭЦП стало возможным после принятия Федерального закона от 10 января 2002 года №1-ФЗ «Об электронной цифровой подписи», который приравнивает ее к собственноручной подписи под документом.

В июле 2002 года в полном соответствии с положениями вышеупомянутого закона в центральном аппарате и управлениях МНС России было введено в эксплуатацию автономное средство электронной цифровой подписи DiSign. Работа с использованием ЭЦП невозможна без сертифицированных средств криптозащиты, поэтому была выбрана фирма-разработчик, которая имеет необходимые лицензии ФАПСИ на право производства средств криптозащиты. На сегодня обеспечена совместимость с такими продуктами криптозащиты, как «Крипто Про» и «Дионис».

Для обеспечения 100%-го контроля за процессом формирования электронной цифровой подписи был разработан регламент подписания документов ЭЦП и отправки их по электронной почте. Получив возможность самостоятельно генерировать электронные ключи, МНС установило ЭЦП на персональные компьютеры министра и его заместителей, а также руководителей управлений МНС и межрегиональных инспекций. Таким образом, получена возможность подписывать электронной цифровой подписью любые файлы, передаваемые по электронным каналам связи.

Введение в эксплуатацию системы элек- Л тронного документооборота в центральном | аппарате Министерства и в управлениях по й субъектам РФ одновременно с внедрением ^ электронной цифровой подписи позволяет с МНС России органично вписаться в новое пространство электронного документооборота.

Первый региональный удостоверяющий центр

Правительством Чувашии был создан удостоверяющий центр, позволяющий органам исполнительной власти вести всю переписку по электронной почте с использованием ЭЦП.

Этот региональный удостоверяющий центр, стал первым таким центром, созданным в рамках федеральной целевой программы «Электронная Россия».

В Чувашии на протяжении пяти лет все финансовые документы в системе республиканского казначейства пересылаются «под защитой» электронной подписи. Теперь планируется оснастить средствами ЭЦП все республиканские и муниципальные органы власти, бюджетные учреждения, органы ЗАГС и МВД, крупные предприятия.

С сотрудниками республиканских и муниципальных органов власти уже были проведены занятия по использованию электронной цифровой подписи. В ходе занятий им были вручены ключи электронной подписи, с использованием которых ЭЦП была внедрена в практическую деятельность органов власти.

На очереди — внедрение электронной подписи в бюджетных организациях и на крупных предприятиях.

Применение ЭЦП в Москве

Мэр Москвы Юрий Лужков подписал распоряжение «О создании Московского головного регионального удостоверяющего центра (ГРУЦ-77)». Этот центр будет заниматься обеспечением информационной безопасности органов власти и организа-

№2(8) 2007

ций Москвы при введении в электронный документооборот ЭЦП.

В функции ГРУЦ-77 входит:

1) налаживать связь и обмен информацией с головным федеральным удостоверяющим центром, удостоверяющими центрами федеральных округов и субъектов РФ;

2) отвечать за регистрацию и ведение реестра московских удостоверяющих центров (корпоративных и ведомственных), а также осуществляет методологическое руководство ими.

Учредителями предприятия в равных долях стали департамент имущества Москвы, «Электронная Москва», Московский комитет по науке и технологиям (МКНТ), ФГУП НТЦ «Атлас», «РТКомм.ру», «Московский центр непрерывного математического образования» и «Мосжилрегистрация».

^ Использование ЭЦП

Ё в системе Банк-Клиент

с

[э ЭЦП получила широкое распростране-'! ние и используется наиболее активно в бан-ковско-финансовой сфере, где она примеЛ няется в рамках электронных расчетных систем типа Банк-Клиент и в некоторых дру-| гих системах.

I; Около пяти лет назад многие банки в своих системах Банк-Клиент для упроще-Ц ния процесса инсталляции и эксплуатации У системы предоставляли клиенту ключевую

* пару его ЭЦП в готовом виде. Это ставило Л клиента в крайне уязвимое положение, по® скольку у банковских специалистов име-§ лась потенциальная возможность скопиро-| вать секретный ключ клиента и использо-

* вать его для распоряжения счетом. Предъ-| являть в этом случае претензии в судебном <§ порядке было бы бесполезно. Сейчас прак-^ тически все банки дают возможность кли-§ енту самостоятельно генерировать ключи <5 ЭЦП на своем рабочем месте (с предостав-^ лением для сертификации только открыто-■== го ключа), что является, безусловно, положительным фактом.

22

Система Банк-Клиент обеспечивает более высокую скорость обработки платежных документов по сравнению с традиционным способом проведения платежей, которыми пользуются клиенты, приходя в банк. Эта система экономит время, так как все платежи в рублях, а также покупку, продажу или перевод иностранной валюты можно осуществлять, не покидая офиса, даже если вы находитесь в другом городе.

Используя систему Банк-Клиент можно:

• производить внутрибанковские, внутриобластные и межрегиональные платежи, не выходя из своего офиса;

• сохранять конфиденциальность передаваемых документов;

• в любое время суток выходить на связь с банком для обмена документами;

• оперативно получать выписки с приложениями по рублевым, ссудным, внебалансовым счетам и счетам в иностранных валютах;

• контролировать состояние любого открытого в банке счета (рублевого, валютного, текущего, ссудного и т.д.);

• восстанавливать документооборот с банком за любой период;

• вести архивы отправленных и полученных документов;

• получать курсы валют и другие информационные сообщения;

• использовать любой ранее проведенный документ как шаблон для создания нового и т.д.

ЭЦП в платежной системе Центрального банка России

До 1993 года основная масса платежей в системе Банка России проводилась с помощью почтовых авизо, а самые «быстрые» платежи — с помощью телеграфных авизо, защищенность которых от подделок оставляла желать лучшего. Вполне естественно, что в условиях развития рыночных отношений такая скорость и надежность осуществления расчетов была недостаточной. Поэтому перед специалистами Банка России

Нв2(8) 2007

встала задача найти решение, позволяющее построить современную систему осуществления быстрых и надежных расчетов клиентов. Так появилась идея электронных расчетов, которая предполагала пересылку по каналам связи платежных документов в электронном виде.

Одновременно необходимо было позаботиться о защите системы от вбрасывания в нее поддельных платежных документов. Наиболее удобным средством защиты электронной информации от искажения, позволяющим при этом еще и определить автора электронного сообщения, оказалась электронная цифровая подпись.

Работы по организации применения ЭЦП при проведении платежных операций с использованием электронных документов были начаты экспериментально в нескольких регионах. По мере успешного осуществления эксперимента их число постепенно расширялось и охватило к настоящему времени всю расчетную систему Банка России. Он стал одной из первых организаций, начавших в 1993 году работу с электронной цифровой подписью по собственному стандарту, поскольку ГОСТа тогда еще не было (появился лишь в 1994 году). После выхода ГОСТа на ЭЦП и появления работающих по нему средств криптозащиты информации Банк России перешел на работу с гостиро-ванной ЭЦП.

Вопросы обеспечения информационной безопасности при осуществлении электронных расчетов отражены в документе «Временные требования по обеспечению безопасности технологий электронных платежных документов в системе Центрального банка Российской Федерации» № 60.

Положительный опыт применения ЭЦП при осуществлении расчетов позволил внедрить эту отлаженную технологию обмена электронными документами при получении отчетности от кредитных организаций. В 2002 году вышло Указание Банка России № 812-У «О порядке представления кредитными организациями в Банк России в электронном виде отчетности, заверенной элек-

тронной цифровой подписью». Обмен элек- Л

тронными документами отчетности осущест- |

вляется кредитными организациями с Бан- g

ком России и в рамках Договора об элек- ^

тронном обмене. П

Требования к электронной безопасности при использовании ЭЦП

ЭЦП полностью удовлетворяет требованиям, предъявляемым к ней. В настоящий момент широкого известны цифровые подписи, построенные по алгоритмам RSA, Эль-Гамаля, Шнорра, Рабина и математического аппарата эллиптических кривых.

Хранение ключей

Секретные ключи никогда не должны храниться в явном виде на носителях, которые могут быть скопированы. Во многих существующих разработках этим условием пренебрегают, оставляя защиту секретных ключей на совести пользователя системы ЭЦП. В некоторых случаях, разработчики предлагают варианты хранения на носителях, которые, по их словам, трудно копируются. Например, Touch Memory, смарт-карты или бесконтактные карты Proximity. Однако в последнее время за рубежом участились случаи «удачных» атак на такие носители. Но можно предсказать, что скоро случаи попыток «взлома» аппаратных носителей будут зафиксированы и в России.

Надежность алгоритма

Многие разработчики, несмотря на наличие в России государственных стандартов цифровой подписи и хэш-функций, пытаются разработать свои собственные алгоритмы. Однако из-за низкой квалификации авторов, данные алгоритмы не обладают свойствами, присущими качественным алгоритмам, разработанными математиками-криптографами. К ошибкам, которые существуют в алгоритмах криптографов-самоучек, можно отнести:

• периодическое повторение одних и тех же значений алгоритмами генерации слу-

№2(8) 2007

чайных чисел, которые получили широкое распространение в криптографии;

• возможность генерации одинаковой хэш-функции для двух различных документов. Такое событие называется «коллизией» и надежный алгоритм хэш-функции должен противостоять такого рода «неприятностям».

Существуют оптимизированные стандарты (например, ГОСТ 28147-89 или DES), которые по мнению разработчиков не снижают надежности самих стандартов, а скорость работы при этом возрастает на 1-2 порядка. К подобным сообщениям надо относиться с определенной долей скептицизма. Выгоды от применения этих оптимизированных алгоритмов сомнительны, а вот вероятность фальсификации документов, подписанных с их помощью, увеличивается.

Надежность криптосистемы

Под криптосистемой понимается не

g только используемый алгоритм выработки

1 и проверки цифровой подписи, но также

§ механизм генерации и распределения клю-

'! чей и ряд других важных элементов, влияю-

â щих на надежность криптосистемы. Она

Л складывается из надежности отдельных элементов, составляющих эту криптосисте-

! му. Поэтому в некоторых случаях нет необ-

I; ходимости атаковать алгоритм. Достаточно

§ попытаться атаковать один из компонентов

Ц криптосистемы. Например, механизм гене-

g рации ключей. Если датчик случайных чи-

* сел, реализованный в криптосистеме для Л генерации ключей, недостаточно надежен, ® то говорить об эффективности такой систе-§ мы не приходится. Даже при наличии хоро-! шего алгоритма ЭЦП.

* Для алгоритмов, основанных на открытых | ключах, например, RSA или Эль-Гамаля, су-<5 ществует ряд математических проблем, кото-^ рые не всегда учитываются при построении

•Q

§ криптосистемы. К ним можно отнести вы-tg бор начальных значений, на основе которых создаются ключи. Есть определенные зна-с= чения, позволяющие очень быстро вычислить секретный ключ ЭЦП. В то же время

24

правильный выбор начальных значений гарантирует невозможность «лобовой» атаки в течение нескольких сотен лет при современном развитии вычислительной техники.

Программная реализация

Атаки на вариант программной реализации наиболее часто используют злоумышленники. Связано это с тем, что для такого рода атак нет необходимости обладать обширными познаниями в области математики. Достаточно быть квалифицированным программистом. Примеров неправильной реализации, приводящей к атаке на нее, можно назвать множество, например:

• секретный ключ ЭЦП хранится на жестком диске;

• после завершения работы системы ЭЦП, ключ, хранящийся в оперативной памяти, не стирается;

• обеспечивается безопасность открытых ключей и недостаточное внимание уделяется защите секретных ключей;

• отсутствует контроль целостности программы генерации или проверки ЭЦП, что позволяет злоумышленнику подделать подпись или результаты ее проверки.

Использование ЭЦП пользователем

Не стоит забывать, что конечный пользователь также является элементом криптосистемы и также подвержен атакам, наравне со всеми остальными элементами. Пользователь может передать дискету с секретным ключом ЭЦП своему коллеге для подписи документов в свое отсутствие. Он может потерять такую дискету или другой носитель секретных ключей и не сообщать об утере до того момента, пока эта дискета не понадобится вновь.

Во многих системах пользователь может сам создавать себе ключи для выработки подписи. Генерация ключа основывается на паролях, выбираемых самим пользователем. Как известно фантазия в выборе таких паролей у пользователя не богата. Поэтому выбираются быстро запоминаемые слова

Нв2(8) 2007

или фразы, которые легко угадывают злоумышленники.

Требования пользователей к системам ЭЦП

Скорость — это один из основных параметров, на которые следует обращать внимание при выборе системы цифровой подписи. Особенно в системах связи, в которых осуществляется очень интенсивный обмен данными и передаваемая информация должна защищаться от подделки. Данный параметр складывается из двух составляющих: скорости генерации подписи и скорости ее проверки, и существенно зависит от скорости выработки хэш-функции, а также типа компьютера, на котором осуществляется генерация или проверка ЭЦП.

Интеграция приобретаемой системы в принятую технологию обработки информации. Этот вопрос важен, потому что на момент приобретения системы цифровой подписи, как правило, у заказчика уже сложилась информационная инфраструктура. Например, если в качестве средства отправки электронной почты используется Microsoft Outlook, то необходимо, чтобы система ЭЦП могла быть встроена в эту почтовую программу. Такую возможность предлагают многие зарубежные и некоторые российские системы ЭЦП, например, PGP (Pretty Good Privacy), которая также может быть встроена в почтовую программу Eudora, наравне с Microsoft Outlook, широко распространенную в России. Если система ЭЦП не поддерживает используемое у заказчика программное обеспечение, например, потому что оно разработано самим заказчиком, то поставщик должен обеспечивать интерфейс (API) для встраивания возможностей работы с цифровой подписью в систему заказчика. Такую возможность предлагают многие российские производители, например, МО ПНИЭИ, ЛАН КРИПТО, НИП «Информзащита». Причем желательно, чтобы данный интерфейс существовал для различных операционных систем и платформ (Windows2000, Windows XP, UNIX, MS DOS, AIX и т.д.).

Необходимо обратить внимание на пред- g лагаемые механизмы или меры защиты от | несанкционированного доступа к системе g ЭЦП. Должны быть предусмотрены дейст- ^ вия, выполняемые в случае компрометации с ключей одного из пользователей (например, занесение их в «черные списки» и рассылка всем пользователям системы). Кроме того, должна контролироваться целостность как системы ЭЦП в целом, так и ее компонентов (например, журналов регистрации действий).

В документации на некоторые российские системы ЭЦП есть рекомендации по применению систем защиты информации от несанкционированного доступа. Данные системы, в частности, позволяют ограничить круг лиц, имеющих право запуска системы цифровой подписи. Одной из таких систем является сертифицированная в Гостехкомиссии России система Secret Net, разработанная Научно-инженерным предприятием «Информзащита».

Немаловажным аспектом является юридическая поддержка предлагаемого решения. Если предложение системы ЭЦП исходит от компании-разработчика программного обеспечения, то она должна предоставить проект договора об обмене электронными документами с использованием ЭЦП. Если же компания предлагает обслуживание с применением систем ЭЦП, то следует внимательно ознакомиться с текстом заключаемого договора. В нем или его проекте должно быть предусмотрено:

• наличие процедуры урегулирования конфликтных ситуаций;

• описание состава комиссии, расследующей возникающие конфликты;

• ответственность сторон, в том числе и фирмы-разработчика.

Для реализации процедуры расследования конфликтных ситуаций система, в которой выработана цифровая подпись, должна поддерживать возможность хранения всех используемых ключей.

№2(8) 2007

Окончательный выбор системы ЭЦП может быть определен наличием или отсутствием следующих дополнительных возможностей:

• постановка нескольких подписей под одним документом и их выборочная проверка;

• хранение цифровой подписи не только в подписываемом документе, но и в отдельном файле;

• использование командной строки для работы с системой ЭЦП;

• подпись и проверка группы файлов;

• постановка и проверка подписи под заданными фрагментами (полями) документа;

• выработка и проверка групповой подписи;

• совместное использование функций шифрования и цифровой подписи;

• постановка подписи и ее проверка для участка оперативной памяти;

ss • архивация использованных ключей 1 и т.д.

I

>§ Перспективы развития рынка

<§ систем ЭЦП

Л Крупные российские компании начинают присматриваться к рынку систем ЭЦП,

| а все системные интеграторы создают под-

I; разделения по системам безопасности (ес-

§ ли их раньше не было), заключают дист-

Ц рибьюторские соглашения с ведущими по-

g ставщиками систем ЭЦП.

* Однако история показывает, что когда Л Microsoft выходит на некий рынок, он делает ® это не спеша, но в конечном счете серьезно § на нем закрепляется. Это наблюдалось | с операционными системами, офисными

* приложениями, браузерами и e-mail-клиен-| тами, и SQL-серверами (сейчас MS SQL ус-<5 пешно конкурирует даже с Oracle в его ис-^ конной нише — больших системах).

| Microsoft Certificate Authority (MS CA), <g система ЭЦП производимая Microsoft, не поставляется как отдельный продукт, а про-■== сто входит в состав Windows Server 2002.

Конечно, как и все первые версии продук-

тов компании Microsoft, MS CA сейчас — отнюдь не лучший продукт на рынке, но он — бесплатен.

Поставщики «больших» систем ЭЦП указывали на то, что в нем нет кросс-сертификации, он плохо масштабируем (до тысячи сертификатов), не поддерживает автоматическую плановую замену сертификатов и др.

Но продукт развивается — CA в составе операционных систем семейства Windows Server поддерживает кросс-сертификацию и до 10 000 ключей. С высокой вероятностью к моменту формирования массового спроса, MS CA будет его закрывать где-то на 90%.

Перспективы использования ЭЦП

Использование ЭЦП позволяет:

• минимизировать риск финансовых потерь за счет повышения конфиденциальности информационного обмена электронными документами;

• придать документам юридическую значимость;

• значительно сократить время движения документов в процессе оформления отчетов и обмена документацией;

• усовершенствовать и удешевить процедуру подготовки, доставки, учета и хранения документов;

• гарантировать достоверность документации;

• заключать соглашение с основными зарубежными системами удостоверения о кросс-сертификации;

• обеспечить использование российской ЭЦП для международного документооборота;

• заменить при безбумажном документообороте традиционные печать и подпись;

• построить корпоративную систему обмена документами.

Электронная цифровая подпись — эффективное решение для всех, кто хочет идти в ногу со временем. Преимущества ЭЦП очевидны —документы, подписанные электронной цифровой подписью, могут быть

Нв2(8) 2007

переданы к месту назначения в течение нескольких секунд. Все участники электронного обмена документами получают равные возможности независимо от их удаленности друг от друга. Границы, благодаря новым технологиям, стираются в XXI веке.

Подделать ЭЦП практически невозможно — для этого требуется огромное количество вычислений, которые не могут быть реализованы при современном уровне вычислительной техники и математики за приемлемое время (т.е. пока информация, содержащаяся в подписанном документе, сохраняет актуальность).

Дополнительная защита от подделки обеспечивается сертификацией удостоверяющим центром открытого ключа подписи. Кроме того, по желанию клиента удостоверяющий центр может застраховать его ЭЦП.

Рост информации показывает, что без ЭЦП в новом тысячелетии не обойтись. Применение ее необходимо, а со временем она может вытеснить из документооборота подпись при помощи шариковой ручки, посредством почтовой, телеграфной, телефонной и (или) телетайпной связи. Будущее за ЭЦП либо за «иной», доселе неизвестной нам формой передачи подписи на огромные и малые расстояния.

Нескончаемый поток информации, стремление совершить сделку либо заключить то или иное правительственное соглашение в наиболее сжатые сроки заставит правоприменителя воспользоваться средствами ЭЦП.

Список литературы

1. Гражданский кодекс РФ.

2. Федеральный закон № 24-ФЗ от 20 февраля 1995 г. «Об информации, информатизации и защите информации».

3. Федеральный закон № 1-ФЗ от 10 января 2002 г. «Об электронной цифровой подписи».

4. Материалы Высшего Арбитражного Суда РФ и СССР.

5. Арбитражный процессуальный кодекс РФ от 5 мая 1995 г. № 70-Ф3.

6. Государственные стандарты РФ и СССР. g

7. Schneier B. Applied Cryptography, Second | Edition. John Wiley & Sons, 1996. |

8. Мельников Ю. Электронная цифровая под- < пись: всегда ли она подлинная? // Банковские с технологии. 1995. № 5.

9. Никонова Е., Смирнов В., Копылов Д. Некоторые технологические аспекты реализации закона об ЭЦП; zdnet.ru.

10. Волчинская Е.К. О перспективах законодательного регулирования электронного документооборота; Cryptography.ru.

11. Пономарев В. Ситуация с использованием ЭЦП в российских коммерческих и государственных структурах: проблемы, риски, перспективы; Cryptography.ru.

12. ШерстюкВ.П. Проблемы информационной безопасности в современном мире; Cryptography.ru.

13. Кононов А.А. Лаборатории системного анализа процессов информатизации Института системного анализа Российской академии наук. Ключевые задачи управления безопасностью национальной информационно-телекоммуникационной инфраструктуры; Cryptography.ru.

14. Программный продукт ЭЦП: Entrust; http:// www.entrust.com/.

15. Программный продукт ЭЦП: Baltimor; http:// www.baltimore.com/.

16. Программный продукт ЭЦП: Keyon; http:// www.rsasecurity.com/.

17. Программный продукт ЭЦП:ЛанКрипто; http:// www.lancrypto.com/index.php?div=products&id=12.

18. Программный продукт ЭЦП: КриптоПро; http://www.cryptopro.ru/CryptoPro/product5.html.

19. Семьянов П. Почему криптосистемы ненадежны? algolist.manual.ru.

20. Шифр Эль-Гамаля; algolist.manual.ru.

21. Тест простоты Рабина; algolist.manual.ru.

22. Криптоанализ туннельного протокола типа точка-точка (PPTP) от Microsoft; algolist.manual.ru.

23. Введение в криптографию; algolist.manual.ru.

24. Нетоскоп/Новости/30.01.2002 ФАПСИ приняло ГОСТ на электронную подпись; http://www. netoscope.ru/news/2002/01/30/4675.html.

25. Public Key Infrastructure (PKI) FAQs; http:// www.articsoft.com/wp_pki_faq.htm.

26. Solving problems in PKI; http://www.articsoft. com/wp_pki_solvingproblems.htm.