Для того чтобы признать электронный документ равным с юридической точки зрения бумажному с подписью и печатью, необходима электронная подпись, а безопасная отправка чувствительных данных должна быть обеспечена посредством их шифрования. Но несмотря на то, что государство всячески пропагандирует переход к электронному взаимодействию, нормативно-правовая база, регулирующая направление PKI, развита слабо, в ней отсутствуют строго определенные принципы построения инфраструктуры открытых ключей.
1. Введение
2. Методология тестирования средств электронной подписи и шифрования
3. Результаты тестирования средств электронной подписи и шифрования
4. Приложение 1. Результаты проверок статуса сертификатов ключей проверки электронной подписи
5. Выводы
Содержание
Введение
Один из основных нормативно-правовых «пробелов» в области PKI — отсутствие четкого порядка проверки действительного статуса сертификата ключа проверки электронной подписи. Это дает разработчикам средств, реализующих технологии электронной подписи и шифрования, свободу в реализации данной проверки.
В создавшихся условиях рационально ориентироваться на лучшие отечественные и мировые практики в области PKI — например, тесты, разработанные Национальным институтом по стандартам и технологиям США (National Institute of Standards and Technology, далее — NIST). Они помогают определить корректность реализуемой средством электронной подписи и шифрования данных проверки статуса сертификата ключа проверки электронной подписи. Описание тестов можно получить на сайте Национального института по стандартам и технологиям США http://csrc.nist.gov/groups/ST/crypto_apps_infra/documents/PKITS.pdf. В документе описано 224 проверки, для реализации каждой из которых создается сертификат или набор сертификатов ключей проверки электронной подписи, устанавливаемые в хранилище компьютера. Далее с помощью средства электронной подписи и шифрования выполняется анализ того, насколько корректно отображается статус сертификата в интерфейсе программного средства.
Методология тестирования средств электронной подписи и шифрования документов
Чтобы оценить работу представленных на российском рынке программных средств, реализующих технологии электронной подписи и шифрования документов, на основе тестов NIST было выполнено сравнительное тестирование корректности их работы. Для сравнения были отобраны следующие программные продукты:
- Litoria Desktop (сборка 1.0.44)
- КриптоАРМ (сборка 5.4.1.37)
- Admin-PKI (сборка 5.1.1.1)
- КАРМА (сборка 56.0.80)
- КриптЭК-Д (демоверсия 1.1.3.42)
- File-PRO (сборка 2.4.0.15)
- КриптоНУЦ (сборка 1.12.2)
- VipNet CryptoFile (сборка 4.0.1.43722)
Рисунок 1. Реализация функций формирования электронной подписи и шифрования данных с помощью File-PRO (сборка 2.4.0.15)
Рисунок 2. Отображение сертификатов, установленных в хранилище компьютера в интерфейсе КриптЭК-Д (демоверсия 1.1.3.42)
Рисунок 3. Отображение сертификатов, установленных в хранилище компьютера в интерфейсе VipNet CryptoFile (сборка 4.0.1.43722)
Таким образом, в тестировании выполнена проверка корректности функционирования следующих пяти программных продуктов:
- Litoria Desktop (сборка 1.0.44)
- КриптоАРМ (сборка 5.4.1.37)
- Admin-PKI» (сборка 5.1.1.1)
- КАРМА (сборка 56.0.80)
- КриптоНУЦ (сборка 1.12.2)
Результаты тестирования средств электронной подписи и шифрования документов
Таблица 1. Результаты выполнения тестов NIST
Итоговые результаты выполненных проверок приведены в таблице 2.
Таблица 2. Итоговые результаты прохождения тестов NIST
Приложение 1. Результаты проверок статуса сертификатов ключа проверки электронной подписи
На рисунках 4-9 приведены скриншоты представления в пользовательском интерфейсе результатов проверки статуса сертификатов ключа электронной подписи каждым из сравниваемых решений. При этом для Admin-PKI (сборка 5.1.1.1)тесты выполнялись для каждого сертификата в отдельности, что потребовало больших трудозатрат, результаты приведены для проверок 4.5.3 (цепочка должна быть корректна) и 4.14.32 (цепочка должна быть не корректна) (таблица 1, рисунки 5,6).
Рисунок 4. Отображение статуса сертификатов ключей проверки электронной подписи в интерфейсе Litoria Desktop (сборка 1.0.44)
Рисунок 5. Отображение статуса сертификатов ключей проверки электронной подписи в интерфейсе КриптоАРМ (сборка 5.4.1.37)
Рисунок 6. Результат проверки действительности сертификата ключа проверки электронной подписи для теста 4.5.3 с помощью Admin-PKI (сборка 5.1.1.1)
Рисунок 7. Результат проверки действительности сертификата ключа проверки электронной подписи для теста 4.14.32 с помощью Admin-PKI (сборка 5.1.1.1)
Рисунок 8. Отображение статуса сертификатов ключей проверки электронной подписи в интерфейсе КАРМА (сборка 56.0.80)
Рисунок 9. Отображение статуса сертификатов ключей проверки электронной подписи в интерфейсе КриптоНУЦ (сборка 1.12.2)
Выводы
Таким образом, исследование на основе тестов, предложенных NIST, показало, насколько несовершенны отечественные средства электронной подписи и шифрования документов. Из этого следует, что наряду с проверками корректности интеграции с криптопровайдером, проводимыми для решений, обеспечивающих реализацию технологий электронной подписи и шифрования (что в свою очередь возложено на плечи российских регуляторов), огромное значение имеет и тестирование правильности реализации функций, для которых это решение создавалось. Ведь ошибка в правильности проверки статуса сертификата может повлечь за собой финансовый и репутационный ущерб как для самого разработчика решения, так и для пользователей, эксплуатирующих это решение.
Источник