Организационное обеспечение ЭЦП

Для функционирования системы оборота электронных документов необходима соответствующая организационная инфраструктура, которая позволит разрешить 2 проблемы.

Проблема 1. Надежность ЭЦП определяется длиной ключа шифрования (это тот параметр, который может определяться пользователем) и применяемыми программно-техническими средствами, обеспечивающими выработку и проверку ЭЦП.    Разные средства могут использовать отличающиеся алгоритмы криптографических преобразований, поэтому стойкость шифра при одинаковой длине ключа может быть разной. Пользователь данный параметр в большинстве случаев оценить не может, т.к. надежный и ненадежный шифр внешне выглядят одинаково. Кроме того, алгоритмы, применяемы в различных средствах ЭЦП не являются совместимыми. Поэтому в РБ введена система государственной сертификации средств ЭЦП.

Проблема 2. Необходимо однозначно связать открытый ключ проверки подписи с владельцем личного ключа, поскольку возможны 2 угрозы:1)   Отказ подписавшегося личным ключом от своей подписи.2) Перехват и фальсификация сообщений 3-им лицом.

Злоумышленник В перехватывает предназначающийся пользователю Б открытый ключ пользователя А. Вместо него он от имени А направляет свой открытый ключ, который Б принимает за открытый ключ пользователя А. Таким образом, В получает возможность читать сообщения от А к Б и вносить изменения в документы, следующие от Б к А.     Вывод: принадлежность открытого ключ проверки подписи владельцу личного ключа должна быть удостоверена.

NB: удостоверяется именно принадлежность ключа владельцу!!!! Принадлежность открытого ключа владельцу может быть удостоверена при передаче при личной встрече пользователей А и Б путем составления специального документа. Этот подход экономически невыгоден. Второй подход - удостоверение принадлежности открытого ключа владельцу закрытого ключа специально назначенной третьей стороной. В мировой практике сложилось две модели сертификации открытых ключей:

*   Централизованная - в основе ее 1 уполномоченный орган сертификации открытых ключей (корневой центр сертификации) и доверенные центры сертификации.

*   Децентрализованная (сетевая) - взаимная сертификация пользователей друг друга.

В РБ Законом об ЭД предусматривается следующий механизм удостоверения принадлежности открытого ключа проверки подписи.    Создается документ - карточка открытого ключа проверки подписи, который удостоверяется самим владельцем личного ключа путем постановки подписи (подписи и печати). Форма карточки устанавливается собственником информационных систем и сетей. Эта карточка передается владельцем пользователю открытого ключа путем:

1. Вручения карточки открытого ключа проверки подписи лично пользователю;

2. Рассылки по почте в виде документа на бумажном носителе

3. Рассылки в виде электронного документа

Основными функциональными компонентами, реализующими сервисы ГосСУОК, должны являться:

1. корневой удостоверяющий центр;

2. подчиненные удостоверяющие центры;

3. регистрационные центры;

4. реестры сертификатов открытых ключей и списков отозванных сертификатов открытых ключей;

5. архивы сертификатов открытых ключей и списков отозванных сертификатов открытых ключей.

Статья 23. Назначение и применение электронной цифровой подписи

Электронная цифровая подпись предназначена для:

удостоверения информации, составляющей общую часть электронного документа;

подтверждения целостности и подлинности электронного документа.

Удостоверение информации, составляющей общую часть электронного документа, осуществляется путем применения сертифицированных средств электронной цифровой подписи с использованием личных ключей лиц,подписывающих электронный документ.

Подтверждение целостности и подлинности электронного документа осуществляется путем применения сертифицированных средств электронной цифровой подписи с использованием открытых ключей лиц, подписавших электронный документ.

Электронная цифровая подпись является аналогом собственноручной подписи. Электронная цифровая подпись может применяться как аналог оттиска печати или штампа.

Статья 24. Технология электронной цифровой подписи

Совокупность процедур, методов, программных, программно-технических и технических средств, относящихся к практическому применению электронной цифровой подписи, образует технологию электронной цифровой подписи. Требования к технологии электронной цифровой подписи устанавливаются техническими нормативными правовыми актами.

Статья 25. Владелец личного ключа

Владельцем личного ключа являются организация или физическое лицо, осуществившие выработку личного ключа с использованием сертифицированного средства электронной цифровой подписи.

Владелец личного ключа обязан:

хранить в тайне личный ключ;

обеспечивать защиту личного ключа от случайного уничтожения или модификации (изменения);

не использовать личный ключ, если соответствующий ему открытый ключ отозван или срок действия этого открытого ключа истек;

отозвать открытый ключ в случае, если тайна соответствующего ему личного ключа нарушена.

В случае неисполнения владельцем личного ключа обязанностей, указанных в части второй настоящей статьи, на него возлагается возмещение причиненного вследствие этого вреда.

Статья 26. Открытый ключ. Карточка открытого ключа и сертификат открытого ключа

Открытый ключ вырабатывается на базе личного ключа с использованием сертифицированного средства электронной цифровой подписи.

Владельцем открытого ключа являются организация или физическое лицо, являющиеся владельцем личного ключа, на базе которого выработан этот открытый ключ.

Принадлежность открытого ключа владельцу личного ключа удостоверяется путем постановки на карточке открытого ключа собственноручной подписи представителя и оттиска печати владельца личного ключа, являющегося организацией, или собственноручной подписи владельца личного ключа,являющегося физическим лицом.

Сертификат открытого ключа подписывается электронной цифровой подписью поставщика услуг, издавшего этот сертификат открытого ключа.

Карточка открытого ключа и сертификат открытого ключа должны содержать:

значение открытого ключа;

информацию, однозначно идентифицирующую организацию или физическое лицо, являющиеся владельцем открытого ключа;

информацию о сроке действия открытого ключа.

В карточке открытого ключа и сертификате открытого ключа может содержаться и иная информация.

Форматы карточки открытого ключа и сертификата открытого ключа устанавливаются техническими нормативными правовыми актами.

Пользователем открытого ключа являются организация или физическое лицо, которым владельцем открытого ключа или уполномоченным им лицом предоставляется открытый ключ для проверки электронной цифровой подписи.

Статья 27. Распространение открытого ключа и его отзыв

Распространение открытого ключа осуществляется в целях обеспечения получения всеми заинтересованными организациями и физическими лицами открытого ключа, который требуется для проверки электронной цифровой подписи.