Кто подписывает Ваши документы?

Скоро сказка сказывается, да не скоро дело делается. Однако постепенно все большее количество корпоративных информационных систем приводится в соответствие с Федеральным Законом <Об электронной цифровой подписи> от 10 января 2002 года (далее - ФЗ <ЭЦП>).

В плане выбора средств ЭЦП законом регламентируется только то, что эти средства должны быть сертифицированными. Достаточно ли выполнения этого требования для того, чтобы были соблюдены дух и буква Закона?

Итак, целью ФЗ <ЭЦП> <является обеспечение правовых условий использования электронной цифровой подписи в электронных документах, при соблюдении которых электронная цифровая подпись в электронном документе признается равнозначной собственноручной подписи в документе на бумажном носителе> (Глава I. Общие положения). Среди условий признания такой равнозначности названо следующее: <электронная цифровая подпись используется в соответствии со сведениями, указанными в сертификате ключа подписи> (Глава II. Ст. 4).

Попробуем разобраться, что происходит на самом деле при использовании тех или иных средств ЭЦП и как реально добиться выполнения справедливых требований ФЗ.

Приведенное выше условие применения ЭЦП связано с тем, что просто наличия подписи под документом - недостаточно. Подпись должна не просто быть, а должна быть подписью определенного человека. Если я подпишу приказ генерального директора фирмы, в которой я работаю (не генеральным директором), вряд ли наличие моей подписи сделает приказ действительным. Для того чтобы убедиться подлинности подписи, надо ее сравнить с эталоном (желательно, с подписью в паспорте).

Поскольку ЭЦП - это результат криптографического преобразования, в котором участвуют данные самого подписываемого документа, ЭЦП двух разных документов не будет одинаковой, и сравнивать ее с эталоном - бессмысленно.

Для решения этой проблемы существуют сертификаты открытого ключа подписи - своего рода <паспорт>, где сказано - <это открытый ключ именно этого пользователя>. Это пара <имя пользователя + открытый ключ>, подписанная ЭЦП Удостоверяющего Центра.

Имея сертификат, подпись, которой подписан электронный документ, можно проверить.

Смысл проверки ЭЦП заключается в том, чтобы убедиться, что документ был подписан именно этим человеком и что целостность документа не была нарушена.

Рассмотрим подробнее, как происходит выработка ЭЦП с использованием программных СКЗИ, и что именно в этом случае проверяется при проверке подписи.

Программное СКЗИ устанавливается и функционирует в операционной системе (ОС), под управлением которой работает данный ПК. То есть, если не используются дополнительные аппаратные средства, ключи генерируются в ОС (которая не защищена от модификаций), хранятся в ОС на том же ПК, и криптографические преобразования на этих ключах происходят тоже средствами системы.

Теперь давайте проанализируем, что подтверждается, если документ подписывается средствами установленной на компьютере ОС на ключах, сгенерированных этой же системой.

Даже если предполагать неизмененность (злоумышленником) и исправность программных средств, то подтвердить таким образом мы можем только то, что документ подписан: на данном компьютере, на котором загружен профиль данного пользователя.

Ключи и сертификат при таком положении вещей никакого отношения непосредственно к человеку - не имеют, они имеют отношение к ПК.  А в таком случае ничто не гарантирует, что <электронная цифровая подпись используется в соответствии со сведениями, указанными в сертификате ключа подписи>, и значит, признавать такую подпись равнозначной собственноручной подписи - как минимум неосторожно.

Конечно, в ОС ключи хранятся <в защищенном виде>, но имеет ли это значение, если всякий, кто сел в мое отсутствие за мой компьютер может подписать документ моей ЭЦП, и, проверенная с помощью моего сертификата подпись будет признана действительной.

Казалось бы, вопрос решается просто - храните ключи отдельно, и никто ими не воспользуется. Но опыт давно показал, что это иллюзия: если криптографическое преобразование производится процессором ПК, ключи при этом находятся в оперативной памяти в открытом виде, и ничто не мешает злоумышленнику <запасти> их в этот момент на будущее.

Иначе обстоят дела при использовании ПСКЗИ ШИПКА. С помощью ШИПКИ можно генерировать ключи, которые будут не только храниться в устройстве, но и в процессе вычислений не попадут в оперативную память компьютера (ведь криптографические преобразования производятся самой ШИПКОЙ, полностью независимо от процессора ПК). Поэтому никто другой, кроме владельца ШИПКИ, не сможет подписать документ <его> ЭЦП, даже если предпримет для этого серьезные мероприятия по перехвату ключей.

С помощью ПСКЗИ ШИПКА работать можно как с использованием CSP - интерфейса для работы с криптографией Microsoft, так и с использованием интерфейса PKCS#11.

Даже если ПСКЗИ ШИПКА будет оставлена рядом с компьютером без присмотра, любопытствующие не смогут воспользоваться ее возможностями, не зная ПИН-кода.

Очевидно, что именно использование аппаратных СКЗИ, таких как ПСКЗИ ШИПКА, позволит организовать использование ЭЦП в корпоративной информационной системе в соответствии с ФЗ <Об электронной цифровой подписи>.

Подробнее о ПСКЗИ ШИПКА

Автор: Конявская С. В.

Дата публикации: 01.01.2007

Библиографическая ссылка: Конявская С. В. Кто подписывает Ваши документы? // Журнал сетевых решений LAN. 2007. Т. 13. № 10 (135) (октябрь). С. 99.

---