Вопреки всем недостаткам «Закона об ЭЦП» и отсутствию работающего корневого Удостоверяющего Центра УФО РФ, весьма затянувшемуся, применение электронно-цифровой подписи (ЭЦП) становится массовым. Особенно активно этот процесс идет в корпоративном сегменте экономики и ведомствах. К, примеру, одной из основных на международной научно-практической конференции «ТелеКомТранс-2005», состоявшейся в апреле 2005 г., была тема применения ЭЦП в информационных системах на транспорте. И все же, несмотря на то, что сегодня эта тема популярна и широко обсуждается, далеко не все потенциальные пользователи понимают, как происходит формирование сертификата подписи, что такое компрометация ключа цифровой подписи и как снизить риски компрометации. Рассмотрению этих вопросов посвящена данная статья.
Рассмотрим, где реально применяется ЭЦП:
Во всех вышеперечисленных системах главным условием интенсивного обмена информацией является наличие доверительных отношений между пользователем (клиентом) и сервером. При обмене информацией должны соблюдаться такие общеизвестные требования, как гарантированное соблюдение конфиденциальности и целостности, а также неотказуемости автора. Даже поверхностный анализ показывает, что использование злоумышленником ЭЦП легального пользователя в любой из перечисленных систем может привести к ощутимым финансовым потерям. Представьте, если вместо вас кто-то отправит якобы подписанный вами финансовый документ и, например, снимет с вашего расчетного счета несколько миллионов долларов. Естественно, вам захочется как можно быстрее найти виновного и вернуть деньги. Вы обратитесь в финансовый институт (например, банк) и попытаетесь найти виновного там. Вам подтвердят документально, что информационная система банка построена в соответствии с существующими нормативно-правовыми актами, сеть аттестована по соответствующему классу, а для формирования и проверки подписи используются только сертифицированные средства ЭЦП. И еще напомнят, что при получении ключевого материала вам были предложены альтернативные носители, из которых вы выбрали самый дешевый. Например, дискету… И еще напомнят, что согласно статье 12 «Закона об ЭЦП» хранение закрытого ключа электронной цифровой подписи — обязанность владельца.
Существенная деталь механизма генерации ЭЦП
Какие угрозы компрометации ключей ЭЦП существуют?
Если у вас каким-либо образом (прямая кража, копирование) украли закрытый ключ цифровой подписи, об этом необходимо как можно быстрее (чтобы обогнать злоумышленника) известить УЦ, который выдал сертификат ключа ЭЦП. На профессиональном языке это называется компрометацией закрытого ключа ЭЦП.
- хранение ключа в открытом (незашифрованном) виде;
- хранение ключей непосредственно на дисках ПК владельца;
- хранение ключей на ненадежных (в техническом плане) носителях (дискетах);
- передача ключевого носителя сторонним пользователям;
- отсутствие контроля за использованием ключевых носителей (например, ключевая дискета, забытая в дисководе и т.д.).
- знание пользователем пароля или PIN-кода,
- предъявление пользователем персонального идентификатора (смарт-карты, USB-ключа класса eToken, таблетки iButton, дискеты, и т.д).
Правила хранения ключа должны зависеть от востребованности ЭЦП. Если ее приходится применять несколько раз в день, то все рабочие процессы должны быть технологичны и удобны. Идеально, если функции носителя ключевой информации и персонального идентификатора для доступа в помещения офиса, к компьютеру, корпоративной сети и защищенным ресурсам совмещены в едином устройстве. Такие устройства существуют и успешно используются.
Источник