Электронная цифровая подпись

Размещено на http://www.allbest.ru/

Размещено на http://www.allbest.ru/

ЭЛЕКТРОННАЯ ЦИФРОВАЯ ПОДПИСЬ

1. Основные понятия электронно-цифровой подписи

Электронная цифровая подпись - это программно - криптографическое средство, которое обеспечивает проверку целостности документов, конфиденциальность документов, установление лица, отправившего документ.

Электронная цифровая подпись - это реквизит электронного документа, защищенный от подделки, полученный в результате криптографического преобразования информации с использованием закрытого ключа ЭЦП, позволяющий установить отсутствие утраты, искажения или подделки содержащейся в электронном документе информации, а также обладателя электронной цифровой подписи.

Криптографическое преобразование - это преобразование информации, основанное на некотором алгоритме, зависящем от изменяемого параметра (обычно называемого секретным ключом), и обладающее свойством невозможности восстановления исходной информации по преобразованной, без знания действующего ключа, с трудоемкостью меньше заранее заданной.

Электронная цифровая подпись -- это наиболее удобный современный инструмент для обмена юридически значимой документацией и совершения сделок в удаленном режиме.

Целью применения электронной цифровой подписи является аутентификация информации, то есть защита передаваемых участниками информационного обмена сведений для получения гарантий их подлинности.

Использование электронной цифровой подписи позволяет:

· минимизировать риск финансовых потерь за счет обеспечения конфиденциальности информационного обмена документами и придания документам юридической значимости;

· значительно сократить время движения документов в процессе оформления отчетов и обмена документацией как внутри компании, так и с контрагентами;

· позволяет использовать одну ЭЦП в электронных торгах для сдачи отчетностей в ФНС и ПФ и работы с финансовыми документами;

· построить корпоративную систему обмена документами.

Применение электронной цифровой подписи (декларирование, торги, документооборот между организациями) регулируется Федеральным законом «Об электронной цифровой подписи» от 06.04.2011 г. № 63 - ФЗ.

Кроме того, законопроект регулирует выдачу и использование сертификатов ключа подписи, проверку электронных подписей, оказание услуг удостоверяющих центров, а также аккредитацию удостоверяющих центров.

На данный момент выделяются три вида электронной подписи - простая, усиленная неквалифицированная и усиленная квалифицированная ЭЦП.

Простая электронная подпись - это электронная подпись, которая посредством использования кодов, паролей или иных средств подтверждает факт формирования электронной подписи определенным лицом.

Неквалифицированная электронная подпись - это электронная подпись, которая получена в результате криптографического преобразования информации с использованием ключа электронной подписи.

Неквалифицированная ЭП позволяет определить лицо, подписавшее электронный документ, а так же обнаружить факт внесения изменений в электронный документ после момента его подписания.

Квалифицированная электронная подпись - это электронная подпись, которая соответствует всем признакам неквалифицированной электронной подписи и следующим дополнительным признакам:

· ключ проверки электронной подписи указан в квалифицированном сертификате;

· для создания и проверки электронной подписи используются средства электронной подписи, получившие подтверждение соответствия требованиям, установленным в соответствии с настоящим Федеральным законом.

Электронный документ считается подписанным простой электронной подписью в том случае если простая электронная подпись содержится в самом электронном документе и ключ простой ЭП применяется в соответствии с правилами, установленными оператором информационной системы.

Информация в электронной форме, подписанная простой электронной подписью или неквалифицированной электронной подписью, признается электронным документом, равнозначным документу на бумажном носителе, подписанному собственноручной подписью.

Кроме того, одной электронной подписью могут быть подписаны несколько связанных между собой электронных документов - пакет электронных документов. При подписании электронной подписью пакета электронных документов каждый из электронных документов, входящих в этот пакет, считается подписанным электронной подписью того вида, которой подписан пакет электронных документов.

Информация в электронной форме, подписанная квалифицированной электронной подписью, признается электронным документом, равнозначным документу на бумажном носителе, подписанному собственноручной подписью, кроме случая, если федеральными законами или принимаемыми в соответствии с ними нормативными правовыми актами установлено требование о необходимости составления документа исключительно на бумажном носителе.

Участники электронного взаимодействия имеют право использовать электронную подпись любого вида по своему усмотрению, если требование об использовании конкретного вида электронной подписи соответствует целям ее использования предусмотренных федеральными законами или принимаемыми в соответствии с ними нормативными правовыми актами либо соглашением между участниками электронного взаимодействия.

Участниками электронного взаимодействия являются государственные органы, органы местного самоуправления, организации, а также граждане, осуществляющие обмен информацией в электронной форме.

Помимо этого участники электронного взаимодействия могут воспользоваться любой информационной технологии и технических средств, позволяющих выполнить требования Федерального закона и нормативных актов применительно к использованию конкретных видов электронных подписей.

2. Принцип действия электронной цифровой подписи

Использовать электронную цифровую подпись может любой человек, не зависимо от уровня владения персональным компьютером, образования и рода занятий.

Как отмечалось выше ЭЦП - это часть электронного документа, а фактически - обычный файл, полученный в результате криптографического преобразования документа.

При использовании ЭЦП гарантируется следующее. Во-первых, то, что документ не изменился в процессе пересылки. Если после подписания цифровой подписью документ был искажен, это выяснится при проверке открытым ключом. Во-вторых - гарантируется однозначная идентификация отправителя. В случае с обычной подписью это можно сделать, например, сравнив с подписью в паспорте.

Электронная подпись основана на обратимости асимметричных шифров, а также на взаимосвязанности содержимого сообщения, самой подписи и пары ключей. Изменение хотя бы одного из этих элементов сделает невозможным подтверждение подлинности цифровой подписи.

Технология применения системы ЭЦП предполагает наличие сети абонентов, посылающих друг другу подписанные электронные документы. Для каждого абонента генерируется пара ключей: секретный и открытый. Секретный ключ хранится абонентом в тайне и используется им для формирования ЭЦП. Открытый ключ известен всем другим пользователям и предназначен для проверки ЭЦП получателем подписанного электронного документа.

Закрытый (личный, секретный) ключ электронной цифровой подписи - уникальная последовательность символов, известная владельцу сертификата ключа подписи и предназначенная для создания в электронных документах электронной цифровой подписи с использованием средств электронной цифровой подписи.

Личный ключ ЭЦП формируется на основании абсолютно случайных чисел, генерируемых датчиком случайных чисел, а открытый -- вычисляется из личного ключа ЭЦП таким образом, чтобы получить второй из первого было невозможно.

Кроме того, закрытый ключ ЭЦП представляет собой уникальную последовательность символов длиной 264 бита, которая предназначена для создания ЭЦП в электронных документах. Работает личный ключ только в паре с открытым ключом.

Открытый ключ электронной цифровой подписи - уникальная последовательность символов, соответствующая закрытому ключу электронной цифровой подписи, доступная любому пользователю информационной системы и предназначенная для подтверждения с использованием средств электронной цифровой подписи подлинности электронной цифровой подписи в электронном документе.

Открытый ключ содержится в Сертификате открытого ключа, и подтверждает принадлежность открытого ключа ЭЦП определенному лицу.

Сертификат ключа подписи - документ на бумажном носителе или электронный документ с электронной цифровой подписью уполномоченного лица удостоверяющего центра, которые включают в себя открытый ключ электронной цифровой подписи и которые выдаются удостоверяющим центром участнику информационной системы для подтверждения подлинности электронной цифровой подписи и идентификации владельца сертификата ключа подписи.

Помимо самого открытого ключа, Сертификат открытого ключа содержит в себе персональную информацию об его владельце (имя, реквизиты), уникальный регистрационный номер, срок действия Сертификата открытого ключа.

Система ЭЦП включает две процедуры:

· формирования цифровой подписи;

· проверки цифровой подписи.

В процедуре постановки подписи используется секретный ключ отправителя сообщения, в процедуре проверки подписи - открытый ключ отправителя. Рассмотрим более подробно эти процессы.

На первоначальном этапе процедуры формирования ЭЦП отправитель сообщения, (абонент А) генерирует пару ключей: секретный ключ КЗ и открытый ключ КO. Открытый ключ вычисляется из парного ему секретного ключа. Далее открытый ключ рассылается остальным абонентам сети для использования при проверке подписи. Для формирования цифровой подписи отправитель, прежде всего, вычисляет значение хэш-функции подписываемого документа.

Хэш-функция предназначена для сжатия подписываемого документа до нескольких десятков или сотен бит. Хэш-функция принимает в качестве аргумента сообщение (документ) произвольной длины и возвращает хэш-значение фиксированной длины. Обычно хэшированная информация является сжатым двоичным представлением основного сообщения произвольной длины.

На следующем этапе отправитель шифрует хеш-функцию своим секретным ключом КЗ. Получаемая при этом пара чисел представляет собой цифровую подпись для данного документа. На рисунке 2.1 отражена процедура подписания отправленного документа с помощью ЭЦП.

Рисунок 2.1 Процедура подписания документа с помощью ЭЦП

Далее электронный документ вместе с цифровой подписью отправляется на адрес получателя. После того как получатель принял переданный сообщение, начинается процедура проверки ЭЦП на данном документе.

Изначально абоненты сети проверяет цифровую подпись полученного сообщения (документа) с помощью программного обеспечения Сертификата открытого ключа КО отправителя этого сообщения и получает восстановленной значение хеш - функции.

Одновременно с проверкой ЭЦП идет проверка хеш-функции полученного документа. Если хеш-функции совпадают, то цифровая подпись является подлинной. Тем самым ЭЦП подтверждает достоверность и целостность документа. Если в него в процессе пересылки были внесены какие-либо изменения, пусть даже совсем незначительные, то подмена обнаружится. На рисунке 2.2 отражена процедура проверки ЭЦП на полученном документе.

Рисунок 2.2 Процедура проверки ЭЦП на полученном документе

3. Сертификат ключа проверки электронной подписи

Сертификат ключа проверки электронной подписи представляет собой электронный документ или документ на бумажном носителе, выданные удостоверяющим центром либо доверенным лицом удостоверяющего центра и подтверждающие принадлежность ключа проверки электронной подписи владельцу сертификата ключа проверки электронной подписи.

Сертификаты ключа проверки электронной подписи содержат следующие сведения:

· уникальный регистрационный номер сертификата ключа подписи, даты начала и окончания срока действия сертификата ключа подписи, находящегося в реестре удостоверяющего центра;

· фамилия, имя и отчество владельца сертификата ключа подписи или псевдоним владельца. В случае использования псевдонима удостоверяющим центром вносится запись об этом в сертификат ключа подписи;

· открытый ключ электронной цифровой подписи;

· наименование средств электронной цифровой подписи, с которыми используется данный открытый ключ электронной цифровой подписи;

· наименование и место нахождения удостоверяющего центра, выдавшего сертификат ключа подписи;

· сведения об отношениях, при осуществлении которых электронный документ с электронной цифровой подписью будет иметь юридическое значение.

Сертификат ключа проверки электронной подписи действует с момента его выдачи, если иная дата начала действия такого сертификата не указана в самом сертификате ключа проверки электронной подписи. Информация о сертификате ключа проверки электронной подписи должна быть внесена удостоверяющим центром в реестр сертификатов не позднее указанной в нем даты начала действия такого сертификата.

Кроме того, сертификат ключа ЭЦП должен быть внесен удостоверяющим центром в реестр сертификатов ключей подписей не позднее даты начала действия сертификата ключа подписи.

Аннулирование сертификата ключа ЭЦП возможно в том случае если истек срока установленного его действия, а так же при утрате юридической силы сертификатов соответствующих средств ЭЦП, используемых в информационных системах общего пользования.

Помимо этого сертификат электронной подписи не может быть использован в случае, если удостоверяющему центру стало достоверно известно о прекращении действия документа, на основании которого оформлен сертификат ключа подписи. Или по заявлению в письменной форме владельца сертификата ключа подписи;

Информация о прекращении действия сертификата ключа проверки ЭЦП вносится удостоверяющим центром в реестр сертификатов в течение одного рабочего дня со дня наступления обстоятельств, повлекших за собой прекращение действия сертификата ключа проверки электронной подписи. Действие сертификата ключа проверки электронной подписи прекращается с момента внесения записи об этом в реестр сертификатов.

4. Удостоверяющий центр

Удостоверяющим центром, выдающим сертификаты ключей подписей для использования в информационных системах общего пользования, является юридическое лицо, которое должно выполнять следующие функции:

· изготовление сертификатов ключей электронной цифровой подписи

· создание ключей электронных цифровых подписей по обращению участников информационной системы с гарантией сохранения в тайне закрытого ключа электронной цифровой подписи;

· приостановление и возобновление действие сертификатов ключей подписей, а также аннулирует их;

· ведение реестра сертификатов ключей подписей, обеспечивающая его актуальность и возможность свободного доступа к нему участников информационных систем;

· проверку уникальности открытых ключей электронных цифровых подписей в реестре сертификатов ключей подписей и архиве удостоверяющего центра;

· выдачу сертификатов ключей подписей в форме документов на бумажных носителях в форме электронных документов с информацией об их действии;

· осуществление по обращениям пользователей сертификатов ключей подписей подтверждение подлинности электронной цифровой подписи в электронном документе в отношении выданных им сертификатов ключей подписей;

· предоставление участникам информационных систем иные связанные с использованием электронных цифровых подписей услуги.

· осуществляет иную связанную с использованием электронной подписи деятельность.

При этом удостоверяющий центр должен обладать необходимыми материальными и финансовыми возможностями, позволяющими ему нести гражданскую ответственность перед пользователями сертификатов ключей подписей за убытки, которые могут быть понесены ими вследствие недостоверности сведений, содержащихся в сертификатах ключей подписей.

Требования, предъявляемые к материальным и финансовым возможностям удостоверяющих центров, определяются Правительством Российской Федерации по представлению уполномоченного федерального органа исполнительной власти.

Статус удостоверяющего центра, обеспечивающего функционирование корпоративной информационной системы, определяется ее владельцем или соглашением участников этой системы.

Изготовление сертификатов ключей подписей осуществляется на основании заявления участника информационной системы, которое содержит сведения, необходимые для идентификации владельца сертификата ключа подписи и передачи ему сообщений. Заявление подписывается собственноручно владельцем сертификата ключа подписи.

При непосредственном изготовлении сертификатов ключей подписей удостоверяющим центром оформляются в форме документов на бумажных носителях два экземпляра сертификата ключа подписи, которые заверяются собственноручными подписями владельца сертификата ключа подписи и уполномоченного лица удостоверяющего центра, а также печатью удостоверяющего центра. Один экземпляр сертификата ключа подписи выдается владельцу сертификата ключа подписи, второй - остается в удостоверяющем центре.

Удостоверяющий центр при изготовлении сертификата ключа подписи принимает на себя следующие обязательства по отношению к владельцу сертификата ключа подписи:

· вносить сертификат ключа подписи в реестр сертификатов ключе подписей;

· обеспечивать выдачу сертификата ключа подписи обратившимся к нему участникам информационных систем;

· приостанавливать действие сертификата ключа подписи по обращению его владельца;

· уведомлять владельца сертификата ключа подписи о фактах, которые стали известны удостоверяющему центру и которые существенным образом могут сказаться на возможности дальнейшего использования сертификата ключа подписи;

Услуги по выдаче участникам информационных систем сертификатов ключей подписей, зарегистрированных удостоверяющим центром, одновременно с информацией об их действии в форме электронных документов оказываются безвозмездно.

Перед тем как пользователь начнет использовать ЭЦП удостоверяющий центр обязан представить в уполномоченный федеральный орган исполнительной власти сертификат ключа подписи уполномоченного лица удостоверяющего центра в форме электронного документа. Помимо этого должен быть предоставлен сертификат в форме документа на бумажном носителе с собственноручной подписью указанного уполномоченного лица, заверенный подписью руководителя и печатью удостоверяющего центра.

Электронные цифровые подписи уполномоченных лиц удостоверяющих центров могут использоваться только после включения их в единый государственный реестр сертификатов ключей подписей. Использование этих электронных цифровых подписей для целей, не связанных с заверением сертификатов ключей подписей и сведений об их действии, не допускается.

электронный цифровой подпись документ криптографический

5. Использование электронно-цифровой подписи

В последнее время во многих организациях, а также государственных органах появилась новая актуальная задача, связанная с переходом от традиционного согласования проектов документов на бумажном носителе к электронному согласованию с использованием системы электронного документооборота (СЭД).

Система электронного документооборота (СЭД) -- организационно-техническая система, обеспечивающая процесс создания, управления доступом и распространения электронных документов в компьютерных сетях, а также обеспечивающая контроль над потоками документов в организации.

В системах электронного документооборота также реализован санкционированный доступ к документам, отслеживаются произведенные в них изменения, а так же процесс подлинности документ устанавливается используемой ЭЦП.

Деятельность участников электронного документооборота регламентируется законами и положениями об использовании электронно-цифровой подписи (ЭЦП), ГОСТ и инструкциями по делопроизводству, архивному делу, законами и положениями об информационных технологиях. А разработчики и поставщики в той или иной степени ориентируются на следующие нормативные и правовые документы:

· ГОСТ Р 51141-98. Делопроизводство и архивное дело. Термины и определения (утв. постановлением Госстандарта РФ от 27 февраля 1998 г. № 28);

· Федеральный закон от 10 января 2002 г. № 1-ФЗ «Об электронной цифровой подписи» (в ред. от 08.11.2007);

· ГОСТ Р 6.30-2003. Унифицированная система организационно-распорядительной документации. Требования к оформлению документов (утв. постановлением Госстандарта РФ от 3 марта 2003 г. N 65-ст);

· Постановление Правительства РФ от 22 сентября 2009 г. № 754 «Об утверждении Положения о системе межведомственного электронного документооборота»;

Федеральный закон от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации.

Помимо этого на данный момент существует множество современных программных систем c использованием ЭЦП, позволяющих сотрудникам предприятий без труда подписывать документы и отправлять их по электронной почте в филиалы или сторонние организации. Но прежде чем воспользоваться той или иной системой необходимо выяснить основные ее характеристики и условия применения.

Рассмотрим наиболее распространенные системы электронной цифровой подписи, использующиеся для подписания электронных документов: «КАРМА», «ШИПКА», «КриптоАРМ».

«КАРМА», «КриптоАРМ» являются системами криптографического обеспечения и предназначены для реализации в прикладном программном обеспечении функций криптографической защиты информации - применения электронной цифровой подписи документов (ЭЦП) и шифрования.

«КриптоАРМ» и «КАРМА» могут применяться практически в любых системах различного уровня и назначения, нуждающихся в использовании средств ЭЦП и шифрования. В их число входят:

· системы электронного документооборота и юридически значимого электронного документооборота;

· системы транспортного назначения (электронная почта, системы гарантированной доставки электронных сообщений);

· системы обеспечения принятия управленческих решений, интеграционные среды;

· системы автоматизации бизнес-процессов;

· кадровые системы;

· архивные системы и электронные хранилища документов.

Программные системы «КриптоАРМ» и «КАРМА» поддерживают работу со следующими операционные системами: Microsoft Windows Vista , Microsoft Windows 7, Microsoft Windows Server 2008 R2.

«ШИПКА» - это USB-устройство, представляющее собой «специализированный компьютер». Этот компьютер имеет собственный процессор, который реализует криптографические алгоритмы - самостоятельно, без участия процессора того компьютера, в USB-разъем которого «ШИПКА» встроена.

Положительной стороной программной системы «ШИПКА» является то, что она самостоятельно генерирует ключи, имея для этого физический датчик случайных чисел. К числу отрицательных моментов можно отнести то, что в силу тех или иных обстоятельств портативное USB-устройство может потеряться или подвергнуться механическим повреждениям. А так же при проверке отправленного файла получателю так же необходимо иметь в наличии это USB-устройство.

Что же касается программной системы «КАРМА» то тут можно сказать, что она обеспечивает работу и с другими с криптопровайдерами в число, которых входит «КриптоАРМ».

Отличительной особенностью системы криптографической защиты «КриптоАРМ» в том, что она может использоваться и непосредственно пользователем MS Windows для подписи и шифрования файлов в проводнике MS Windows.

Кроме того, в системе предусмотрена настройка электронной цифровой подписи в зависимости от ее типа и вид алгоритма шифрования, что дает возможность пользователям не прибегать к многократной процедуре назначения и установки параметров подписи.

Следовательно, исходя из исследования основных аспектов и условий применения электронной цифровой подписи, а также ее использование системе электронного документа, требуется разработать мероприятия по внедрению программных систем криптографической защиты информации с применением электронной цифровой подписи документов.

Размещено на Allbest.ru