- Расшифровка основных понятий
- Конфигурация тестового стенда
- По закону
- Проведение тестирования
- Квалифицированная подпись
- Другие сферы применения
- Матчасть
- Электронная отчетность
- Государственные услуги
- Как сделать, чтобы все было хорошо?
- Получается, что Рутокен ЭЦП и JaCarta ГОСТ не являются токенами с неизвлекаемым ключом?
- Как выбрать сертификат
- Как подписать документ ЭЦП?
- ЭПЦ во внутреннем ЭДО
- Психологический барьер
Расшифровка основных понятий
Каждая электронная подпись должна быть подтверждена специальным сертификатом, который удостоверяет личность владельца. Получить сертификат можно в специальном центре или у доверенного представителя.
Владельцем сертификата является физическое лицо, на которое удостоверяющий центр выдал сертификат электронной подписи. У каждого владельца имеется два ключа к подписи: открытый и закрытый. Закрытый ключ ЭП позволяет подписывать электронные документы, с его помощью можно сгенерировать электронную подпись. Он хранится в тайне, как пин-код от банковской карты.
В функции открытого ключа входит проверка подлинности подписи на документах. Он связан с закрытым “коллегой” в однозначном порядке.
Конфигурация тестового стенда
Соберем тестовый стенд с конфигурацией, типовой для машин, участвующих в электронном документообороте (ЭДО):
- ОС MS Windows 7 SP1
- СКЗИ КриптоПРО CSP 3.9.8423
- Драйверы Рутокен для Windows (x86 и x64). Версия: v.4.1.0.0 от 20.06.2016, WHQL-certified
- Единый Клиент JaCarta и JaCarta SecurLogon. Версия 2.9.0 сборка 1531
- КриптоАРМ Стандарт Плюс 5. Версия 5.2.0.8847.
Для тестирования будут использоваться токены с неизвлекамым ключом:
- Рутокен ЭЦП. Версия 19.02.14.00 (02)
- JaCarta ГОСТ. Номер модели JC001-2.F09 v2.1
В последней строке указана фраза «Поддержка КриптоПРО ФКН: Нет», а это значит, что на токене нет апплета, с которым умеет работать СКЗИ КриптоПРО CSP. Таким образом, реализация технологии ФКН с использованием СКЗИ и токенов, описанных в конфигурации тестового стенда, невозможна.
Аналогичная ситуация и с JaCarta ГОСТ. Более того, СКЗИ КриптоПРО CSP, по крайней мере та версия, которая использовалась в тестовом стенде, использует данные ключевые носители как «обычные токены», которые, в свою очередь, являются просто носителями ключа.
Это утверждение очень просто подтвердить. Для этого надо поставить СКЗИ КриптоПРО CSP на чистую машину без драйверов от токенов и подключить токен JaCarta ГОСТ. ОС Windows 7 обнаружит токен JaCarta ГОСТ как «Устройство чтения смарт-карт Microsoft Usbccid (WUDF)». теперь можно попробовать создать ключ на токене и скопировать его в реестр компьютера. Весь функционал СКЗИ успешно отработает.
По закону
Федеральный закон “Об электронной цифровой подписи” подразделяет ЭП на несколько видов: простая ЭП, усиленная неквалифицированная и квалифицированная ЭП. С помощью простой электронной подписи можно подтвердить факт создания ЭП для определенного лица. Это делается путем использования паролей, кодов и других средств.
Усиленная неквалифицированная ЭЦП – это результат криптографического преобразования информации, которое производится посредством закрытого ключа ЭП. С помощью такой подписи можно установить личность подписавшего документ, а также обнаружить, если они имеются, изменения, произошедшие с момента подписания бумаг.
Проведение тестирования
Смоделируем типовой процесс подготовки Администратором информационной безопасности ключевых документов для организации ЭДО:
- генерируется контейнер закрытого ключа и запрос на сертификат открытого ключа;
- после прохождения в удостоверяющем центре процедуры сертификации из запроса получается сертификат;
- сертификат в совокупности с контейнером закрытого ключа образует готовую для использования ключевую информацию. Данную ключевую информацию, записанную на носителе, будем называть исходным ключевым документом;
- с исходного ключевого документа изготавливаются копии, которые записываются на отчуждаемые носители (далее будем называть их рабочими ключевыми документами) и передаются уполномоченным пользователям;
- после изготовления необходимого количества рабочих ключевых документовисходный ключевой документ уничтожается или депонируется на хранение в орган криптографической защиты информации.
В нашем случае мы не будем пользоваться услугами центров сертификации, а сгенерируем ключевой контейнер с самоподписанным сертификатом и разместим его в реестре компьютера (АРМа генерации ключевой информации), это и будет
. Затем скопируем ключевую информацию на Рутокен ЭЦП и JaCarta ГОСТ, изготовив
. После этого уничтожим
, удалив из реестра ключевой контейнер. И, наконец, попробуем скопировать ключевую информацию с рабочих ключевых документов обратно в реестр.
1. Создадим
Для этого с помощью КриптоАРМ создадим в реестре контейнер закрытого ключа test-key-reestr, содержащий самоподписанный сертификат (CN=test)
2.Сформируем
С помощью штатных средств СКЗИ КриптоПРО CSP (Пуск–{amp}gt;Панель управления–{amp}gt;КриптоПро CSP) скопируем ключевой контейнер test-key-reestr на ключевые носители Рутокен ЭЦП и JaCarta ГОСТ. Ключевым контейнерам на ключевых носителях присвоим имена test-key-rutoken и test-key-jacarta соответственно.
Описание приведено применительно к JaCarta ГОСТ (для Рутокен ЭЦП действия аналогичны):
Таким образом получили
рабочие ключевые документы
на JaCarta ГОСТ (контейнер test-key-jacarta) и Рутокен ЭЦП (контейнер test-key-rutoken).
3.Уничтожим исходный ключевой документ
Штатными средствами СКЗИ КриптоПРО CSP удалим из реестра ключевой контейнер test-key-reestr.
4. Скопируем ключевую информацию из
Попробуем скопировать ключевые контейнеры test-key-rutoken и test-key-jacarta обратно в реестр.
Описание приведено для JaCarta ГОСТ (для Рутокен ЭЦП действия аналогичны).
Как мы видим, ключевая информация успешно скопирована или, другим языком, извлечена из токенов с неизвлекаемым ключом. Получается, что производители токенов и СКЗИ врут? На самом деле нет, и ситуация сложнее, чем кажется на первый взгляд. Исследуем матчасть по токенам.
Квалифицированная подпись
Такие же особенности имеет и усиленная квалифицированная ЭП, однако для ее создания проверка ЭЦП происходит с помощью сертифицированных Федеральной службой безопасности средств криптозащиты. Сертификаты такой подписи могут быть выданы только в аккредитованном удостоверяющем центре, и нигде больше.
Согласно тому же закону, подписи первых двух типов приравниваются к собственноручной подписи на бумажном документе. Между людьми, совершающими любую операцию с использованием ЭП, необходимым является заключение соответствующего соглашения.
Третий тип (квалифицированная ЭЦП) – это аналог не только собственноручной подписи, но и печати. Таким образом, документы, заверенные подобной подписью, обладают юридической силой и признаются контролирующими органами (ФНС, ФСС и другими).
Другие сферы применения
В настоящее время чаще всего используется ЭЦП для юридического лица. Широко задействуется технология цифровых подписей в электронном документообороте. Назначение последнего может быть различно: внешний и внутренний обмен, документы могут иметь кадровый или законотворческий характер, организационный, распорядительный или торгово-промышленный, словом, все, что может обойтись исключительно подписью и печатью. Регистрация ЭЦП должна производиться в аккредитованном центре.
Для внутреннего документооборота цифровая подпись полезна тем, что позволяет быстрее инициировать факт утверждения бумаг, организующих внутренние процессы. ЭЦП позволяет директору не только подписывать документы, находясь вне офиса, но и не хранить кипы бумаг.
При межкорпоративном документообороте электронная цифровая подпись является одним из самых важных условий, ведь без нее цифровые бумаги не имеют юридической силы и не могут использоваться как доказательства в случае подачи иска. Электронный документ, подписанный усиленной ЭП, сохраняет легитимность даже при длительном хранении в архиве.
Также документы, подписанные ЭП, используются для проведения электронных торгов. Наличие цифровой подписи в указанном случае гарантирует покупателям, что предложения на торгах реальные. К тому же контракты, не подписанные с помощью ЭПЦ, не имеют юридической силы.
Электронные документы могут использоваться как доказательства при рассмотрении дел в арбитражном суде. Любые сертификаты или расписки, а также иные бумаги, заверенные цифровой подписью или другим аналогом подписи, являются письменными доказательствами.
Документооборот между физическими лицами происходит в основном в бумажном виде, однако есть возможность совершать передачу бумаг или заключение договоров с помощью ЭП. Удаленные работники могут использовать цифровую подпись для отправки в электронном виде актов приемки-сдачи.
Матчасть
То, что на рынке принято называть токеном с неизвлекаемым ключом, правильно называется
Главным отличием ФКН от обычных токенов (Рутокен S, JaCarta PKI, …) в том, что при выполнении криптографических преобразований (например, формирование электронной подписи) закрытый ключ не покидает устройство. В то время как при использовании обычных токенов закрытый ключ копируется с токена в память комптьютера.
Использование ФКН требует особой организации взаимодействия между прикладным криптографическим ПО и библиотекой СКЗИ (криптопровайдером или, по-другому, CSP).
Здесь важно увидеть, что программная часть библиотеки СКЗИ должна знать о существовании на токене апплета, реализующего криптографический функционал (например, генерация ключа, подпись данных и т.д.) и уметь с ним работать.
Электронная отчетность
ЭЦП незаменима для предоставления отчетности контролирующим органам. Множество документов можно сдать в электронном виде вместо того, чтобы везти целую кипу формуляров. Клиент может не только выбрать время и не стоять в очереди, но и сдать отчетность удобным для себя способом: через программы 1С, порталы государственных учреждений или отдельное программное обеспечение, специально для этого предназначенное.
Государственные услуги
Большинство граждан сталкивались с термином “электронная подпись” на различных сайтах. Один из способов верификации аккаунта, например, на портале, предоставляющем доступ ко множеству государственных услуг, является подтверждение посредством электронной подписи. Более того, ЭЦП для физических лиц позволяет подписывать любые цифровые документы, направленные в то или иное ведомство, или получать подписанные письма, договора и уведомления.
Как сделать, чтобы все было хорошо?
1. Купить специальную версию библиотеки СКЗИ: — для Рутокен ЭЦП — СКЗИ КриптоПРО Рутокен CSP. — для JaCarta ГОСТ – СКЗИ КриптоПро ФКН CSP.
2. Одновременно с библиотекой СКЗИ необходимо приобрести специально подготовленные токены, содержащие в себе программные части (апплеты), с которыми умеет работать КриптоПРО Рутокен CSP или КриптоПро ФКН CSP соответственно.
Получается, что Рутокен ЭЦП и JaCarta ГОСТ не являются токенами с неизвлекаемым ключом?
Опять нет. Данные устройства могут реализовывать функционал ФКН (но, возможно, в меньшем объеме, чем при использовании их совместно с СКЗИ КриптоПРО), но для этого нужен софт, который умеет работать с апплетами размещенными на токенах. Таким софтом может быть
. Он это
. При генерации ключевой пары в мастере КриптоАРМ можно выбрать криптопровайдер, который будет использоваться, например, Rutoken ECP или eToken GOST. Это и позволит использовать токен как ФКН.
Рутокен ЭЦП 2.0 предназначен для безопасной двухфакторной аутентификации пользователей, генерации и защищенного хранения ключей шифрования, ключей электронной подписи, цифровых сертификатов и других данных, а так же для выполнения шифрования и электронной подписи «на борту» устройства.
Аппаратная реализация национальных стандартов электронной подписи, шифрования и хэширования позволяет использовать Рутокен ЭЦП 2.0 в качестве интеллектуального ключевого носителя и средства электронной подписи в российских системах PKI, в системах юридически значимого электронного документооборота и в других информационных системах, использующих технологии электронной подписи.
Рутокен ЭЦП 2.0 позволяет выполнять криптографические операции таким образом, что закрытая ключевая информация никогда не покидает пределы токена. Таким образом, исключается возможность компрометации ключа и увеличивается общая безопасность информационной системы.
Рутокен ЭЦП 2.0 обеспечивает двухфакторную аутентификацию в компьютерных системах. Для успешной аутентификации требуется выполнение двух условий: знание пользователем PIN-кода и физическое наличие самого идентификатора. Это обеспечивает гораздо более высокий уровень безопасности по сравнению с традиционным доступом по паролю.
Основу Рутокен ЭЦП 2.0 составляет современный защищенный микроконтроллер и встроенная защищенная память, в которой безопасно хранятся данные пользователя: пароли, ключи шифрования и подписи, сертификаты и другие данные.
Электронный идентификатор Рутокен ЭЦП 2.0 поддерживает основные российские и международные стандарты в области информационной безопасности. Это позволяет легко, без дополнительных усилий, встраивать его поддержку в существующие информационные системы.
Как выбрать сертификат
Так как имеется три типа электронной подписи, у граждан часто возникает вопрос о том, какой из сертификатов лучше. Следует помнить, что любая ЭП является аналогом собственноручной подписи, и на данный момент законодательством РФ установлено, что человек вправе использовать их по своему усмотрению.
Выбор цифровой подписи напрямую зависит от тех задач, которые будут посредством нее решаться. Если готовится сдача отчетности в контролирующие органы, потребуется наличие квалифицированной подписи. Для межкорпоративного документооборота также чаще всего требуется именно квалифицированная ЭП, ведь только она не только дает документам юридическую силу, но и позволяет устанавливать авторство, контролировать изменения и целостность бумаг.
Внутренний документооборот можно осуществлять со всеми типами электронно-цифровых подписей.
Как подписать документ ЭЦП?
Главный вопрос у тех, кому требуется впервые воспользоваться электронно-цифровой подписью, состоит в том, как происходит подписывание документа. С бумагами все просто – расписался и отдал, а как это сделать на компьютере? Такой процесс невозможен без использования специального ПО. Программа для ЭЦП называется криптопровайдером. Она устанавливается на компьютер, и уже в ее среде ведется различная деятельность с формулярами.
Существует довольно большое число криптопровайдеров, как коммерческих, так и бесплатных. Все они сертифицированы государственными органами, однако если требуется взаимодействие с “1С:Предприятие”, то выбор следует остановить на одном из двух продуктов: VipNet CSP или CryptoPro CSP. Первая программа бесплатная, а вторую нужно будет купить.
Удобное, по отзывам пользователей, приложение для формирования ЭЦП называется CyberSafe. Оно не только позволяет подписывать документы, но и работает в качестве удостоверяющего центра, то есть этой программой осуществляется проверка ЭЦП. Также пользователю доступна загрузка документов на сервер, таким образом, подписанный договор или сертификат будет доступен всем специалистам предприятия, имеющим доступ к программе, и не нужно будет высылать его каждому по электронной почте. С другой стороны, можно сделать и так, чтобы доступ получила только определенная группа людей.
ЭПЦ во внутреннем ЭДО
В случае с межкорпоративным оборотом плюсы и минусы понятны сразу, причем положительные стороны в явном большинстве. Из недостатков же можно отметить только затраты на ключ ЭЦП, организацию ПО (пусть это и разовая трата), а также сведение к минимуму личных встреч представителей компаний и руководителей, однако при надобности встречу можно и организовать.
А вот чем будет полезен электронный документооборот внутри предприятия? Как будут окупаться затраты на снабжение всех сотрудников ключами ЭЦП?
Использование цифровых документов экономит время: вместо того, чтобы сначала распечатывать необходимую бумагу, а потом искать ее среди кипы распечаток или вообще ходить в другой кабинет, если используется сетевой принтер, сотрудник может подписать и отправить все не вставая из-за стола. К тому же при переходе на ЭДО существенно снижаются затраты на бумагу, тонер и техническое обслуживание принтеров.
Цифровые документы могут являться и инструментом сохранения конфиденциальности. Электронную подпись невозможно подделать, а это значит, что даже если внутри компании у сотрудника или руководителя есть недоброжелатели, им не удастся совершить никакой подмены документов.
Часто нововведения продвигаются со скрипом, так что сотрудникам поначалу может быть трудно привыкнуть к новому формату подачи документов, однако как только они оценят удобство ЭЦП, то больше не захотят возвращаться к беготне с бумажками.
Психологический барьер
Электронно-цифровые подписи появились относительно недавно, поэтому многим трудно воспринимать их как реальный аналог привычных бумажных документов. На многих предприятиях возникает подобная проблема: сотрудники просто не считают договор подписанным, пока на бумаге не стоят реальные печать и подпись.
Они используют сканы с бумажных документов, легко теряют свой ключ ЭЦП. Преодолеть этот психологический барьер поможет… еще одна бумажка. Официально заверенное “мокрой” подписью положение об электронном документообороте даст сотрудникам понять, что это серьезная вещь, и относиться к цифровым документам следует так же, как к аналоговым.
Еще одна проблема может возникнуть в образовательной части. На многих предприятиях работают сотрудники в возрасте. Они являются ценными кадрами, опытны в своей сфере, имеют большой стаж, однако им бывает довольно трудно объяснить, как пользоваться электронно-цифровой подписью, ведь они буквально недавно занимались освоением электронной почты, а здесь все гораздо сложнее, да еще и есть множество нюансов.
Задачу по обучению можно передать IT-отделу или прибегнуть к помощи сторонних специалистов. Многие компании проводят компьютерные тренинги и курсы для своих сотрудников, где им объясняются основы по работе с электронной почтой и различными программами. Почему бы в этот список не включить и приложение для формирования ЭЦП?