При помощи чего производится ввод электронной подписи. Введение в криптографию с открытым ключом. Виды ЭЦП и их различия

Лекция 7.

Электронная подпись

Введение

Учебные вопросы:

4. Электронный обмен данными.

Заключение

Введение

Электронная цифровая подпись

электронная подпись » (аббревиатура - «ЭП »).

История возникновения

Россия

И «цифровая подпись » являются синонимами.

электронная подпись,

ключ электронной подписи

Хранение закрытого ключа

Закрытый ключ является наиболее уязвимым компонентом всей криптосистемы цифровой подписи. Злоумышленник, укравший закрытый ключ пользователя, может создать действительную цифровую подпись любого электронного документа от лица этого пользователя. Поэтому особое внимание нужно уделять способу хранения закрытого ключа. Пользователь может хранить закрытый ключ на своем персональном компьютере, защитив его с помощью пароля. Однако такой способ хранения имеет ряд недостатков, в частности, защищенность ключа полностью зависит от защищенности компьютера, и пользователь может подписывать документы только на этом компьютере.

В настоящее время существуют следующие устройства хранения закрытого ключа:

· Дискеты.

· Смарт-карты.

· USB-брелоки.

· Таблетки Touch-Memory.

Кража или потеря одного из таких устройств хранения может быть легко замечена пользователем, после чего соответствующий сертификат может быть немедленно отозван.

Наиболее защищенный способ хранения закрытого ключа - хранение на смарт-карте. Для того, чтобы использовать смарт-карту, пользователю необходимо не только её иметь, но и ввести PIN-код, то есть, получается двухфакторная аутентификация. После этого подписываемый документ или его хэш передается в карту, её процессор осуществляет подписывание хеша и передает подпись обратно. В процессе формирования подписи таким способом не происходит копирования закрытого ключа, поэтому все время существует только единственная копия ключа. Кроме того, произвести копирование информации со смарт-карты сложнее, чем с других устройств хранения.

В соответствии с законом «Об электронной подписи», ответственность за хранение закрытого ключа владелец несет сам.

Технология формирования ЭП

С древних времен известен криптографический метод , позднее названный шифрованием с помощью симметричного ключа , при использовании которого для зашифровки и расшифровки служит один и тот же ключ (шифр, способ).

Главной проблемой симметричного шифрования является конфиденциальность передачи ключа от отправителя к получателю.

Раскрытие ключа в процессе передачи равносильно раскрытию документа и предоставлению злоумышленнику возможности его подделать.

В 70-х гг. был изобретен алгоритм асимметричного шифрования .

Зашифровывается документ одним ключом, а расшифровывается другим, причем по первому из них практически невозможно вычислить второй, и наоборот.

Поэтому если отправитель зашифрует документ секретным ключом , а публичный (открытый) ключ предоставит адресатам, то они смогут расшифровать документ, зашифрованный отправителем, и только им.

Если получатель смог расшифровать значение хеш-функции, используя открытый ключ отправителя, то зашифровал это значение именно отправитель (аутентификация).

Если вычисленное и расшифрованное значения хеш-функции совпадают, то документ не был изменен (идентификация).

Любое искажение (умышленное или неумышленное) документа в процессе передачи даст новое значение вычисляемой получателем хеш-функции, и программа проверки подписи сообщит, что подпись под документом неверна.

Цифровая подпись представляет собой относительно небольшое количество дополнительной цифровой информации, передаваемой вместе с подписываемым текстом.

Система ЭП включает две процедуры: 1) процедуру постановки подписи; 2) процедуру проверки подписи. В процедуре постановки подписи используется секретный ключ отправителя сообщения, в процедуре проверки подписи - открытый ключ отправителя.

При формировании ЭП отправитель прежде всего вычисляет хэш-функцию h(М) подписываемого текста М. Вычисленное значение хэш-функции h(М) представляет собой один короткий блок информации m, характеризующий весь текст М в целом. Затем число m шифруется секретным ключом отправителя. Получаемая при этом пара чисел представляет собой ЭП для данного текста М.

При проверке ЭП получатель сообщения снова вычисляет хэш-функцию m = h(М) принятого по каналу текста М, после чего при помощи открытого ключа отправителя проверяет, соответствует ли полученная подпись вычисленному значению m хэш-функции.

Принципиальным моментом в системе ЭП является невозможность подделки ЭП пользователя без знания его секретного ключа подписывания.

Схематично процедуры постановки подписи и ее проверки можно представить следующим образом:

В качестве подписываемого документа может быть использован любой файл. Подписанный файл создается из неподписанного путем добавления в него одной или более электронных подписей.

Каждая подпись содержит следующую информацию:

дату подписи;

срок окончания действия ключа данной подписи;

информацию о лице, подписавшем файл (Ф.И.0., должность, краткое наименование фирмы);

идентификатор подписавшего (имя открытого ключа);

собственно цифровую подпись.

Электронный обмен данными

EDI (Electronic Data Interchange) – это технология автоматизированного обмена электронными сообщениями в стандартизированных форматах между бизнес-партнерами.

При этом документы, имеющие в изначальном («человеческом») виде удобную и специфическую для каждой фирмы форму, прозрачно передаются между различными партнерами в стандартном «электронном» формате (при помощи конвертора (на входе) и деконвертора (на выходе соответственно)). Технология гарантирует как правильность конвертации данных, так и саму доставку сообщений адресатам и последовательность доставки сообщений. При этом обеспечиваются достоверность и конфиденциальность передаваемой информации.

В классическом виде EDI предполагает полностью автоматизированное взаимодействие между информационными системами партнеров, исключая участие человека. Каждая сторона может выступать как отправитель, так и получатель сообщений. Такой вариант интеграции дает максимальный эффект при внедрении данной технологии.

На современном этапе развития технологии EDI позволяют не просто экономить деньги, но и упростить и оптимизировать процессы управления и принятия решений, а в целом оптимизировать и повысить эффективность бизнеса.

Практика электронной коммерции, основанной на системах EDI насчитывает уже более 30 лет и обобщается в стандартах выполнения торговых операций и представлении структурированных деловых документов.

При разработке стандартов электронного документооборота было проанализировано использование данных «бумажных» документов, применяемых в экономической деятельности.

Было предложено выделить наиболее повторяющиеся данные, и в них выделить соответствующие поля данных. В последствии для их заполнения была разработана система таблиц – глобальные справочники данных и технология их синхронизации.

Стандарты EDI

EDI базируется на следующих основных стандартах:

UN/EDIFACT – United Nations Electronic Data Interchange for Administration, Commerce and Transport - "Правила ООН электронного обмена документами для гос. управления, торговли и транспорта" – основополагающий глобальный избыточный стандарт, содержащий наиболее общие справочники международных кодов и форматов сообщений, расширенных для удовлетворения всех возможных запросов пользователей.

(UN/CEFACT) – адаптированный Центром ООН по упрощению процедур международной торговли и электронному бизнесу (CEFACT) стандарт UN/EDIFACT

GS1 EANCOM – подмножество EDIFACT для розничной торговли - разработан международной ассоциацией GS1 и дополнен использованием ключевых идентификаторов системы GS1,

GS1 XML – современный формат сообщений, используемых при обмене данными в цепях поставок в системе GS1.

Система GS1 – это международная глобальная многоотраслевая система стандартов, охватывающая более 100 стран. Система GS1 является самой широко используемой международной системой стандартов в цепях поставок. В настоящее время свыше миллиона компаний в мире используют стандарты GS1. Национальные ассоциации GS1 обеспечивают поддержку системы в своих странах и поддержку национальных языков в системе GS1.

В основе архитектуры системы GS1 лежат ключевые идентификаторы , основными из которых являются:

GTIN (Global Trade Item Number)– глобальный номер торговой единицы (предмета торговли) –уникальный идентификационный номер торговой единицы в системе GS1. Этот идентификатор представлен в виде символа штрихового кода на упаковке товара

GLN (Global Location Number) – глобальный номер места нахождения – уникальный номер в системе GS1 для идентификации участников цепи поставки и их материальных, функциональных или юридических объектов (подразделений) (филиалы/офисы/склады/рампы и т.д.). Используется главным образом в EDI для эффективной идентификации всех объектов, касающихся поставок.

SSCC (Serial Shiping Container Code) – серийный код транспортной упаковки (СКТУ) – уникальный идентификатор логистической (транспортной) единицы. SSCC очень удобен для маркировки грузов, подлежащих танспортировке.

Ключевые идентификаторы системы GS1 являются:

уникальными - способ формирования номеров обеспечивает уникальность каждого номера;

международными - данные номера являются уникальными во всем мире;

многоотраслевыми - не значимый характер номеров позволяет последовательно идентифицировать любой объект, независимо от вида предпринимательской деятельности;

Простая структура номеров позволяет автоматизировать обработку и передачу данных.

Номер GLN – это глобальный уникальный цифровой код, идентифицирующий участника в цепи поставок (контрагента или его структурное подразделение или объект).

Присвоение идентификационных номеров GLN регулируется стандартами системы GS1 для того, чтобы гарантировать уникальность каждого отдельного номера во всем мире. Для получения GLN-номера предприятие должно стать членом национальной ассоциации GS1(в РФ такой организацией является GS1 Russia – ГС1 РУС.).

Идентификационные номера GLN ежедневно широко используются более чем 200.000 компаний, занимающихся различными видами предпринимательской деятельности

Для перехода к использованию технологии EDI необходимо подключение партнеров к специализированной платформе обмена коммерческими сообщениями (платформа электронной коммерции), использование средств преобразования сообщений к стандартному формату и передачи «стандартизированных» сообщений адресату. Такая схема взаимодействия позволяет один раз подключиться к EDI и единообразно обмениваться сообщениями со всеми партнерами, а не создавать и настраивать способ обмена документами с каждым контрагентом.

Интеграцию систем, преобразование и передачу сообщений между партнерами осуществляют специализированные компании – авторизованные провайдеры EDI. Провайдер предоставляет своим клиентам надежный канал передачи сообщений всем контрагентам (доступ к своей платформе обмена коммерческими сообщениями) и поддерживает оговоренный уровень сервиса. Важно участие именно авторизованного провайдера, т.к. это гарантирует как высокий технический уровень предоставляемых услуг и уровень сервиса, так и соответствие услуг стандартам GS1, что в свою очередь дает возможность осуществлять роуминг с другими провайдерами (в том числе и с международными).

Чтобы начать обмениваться документами по EDI необходимо:

· получить номер GLN;

· выбрать вариант подключения (полная интеграция или Web-EDI),

· осуществить подключение,

· начать работать.

Популярные области применения:

· Дистрибуция,

· Ритейл,

· Управление складами,

· Транспорт,

· Банковская сфера и управление денежными потоками

Заключение

В отличие от рукописной подписи электронная цифровая подпись имеет не физическую, а логическую природу - это просто последовательность символов, которая позволяет однозначно связать лицо, подписавшее документ, содержание документа и владельца ЭП. Логический характер электронной подписи делает ее независимой от материальной природы документа. С ее помощью можно подписывать документы, имеющие электронную природу (исполненные на магнитных, оптических, кристаллических и иных носителях, распределенные в компьютерных сетях и т.п.).

Согласно Закону ЭП должна решать следующие задачи: защиту электронного документа от подделки, установление отсутствия искажений информации в электронном документе, идентификацию владельца сертификата ключа подписи (ст. 3).

Таким образом, ЭП должна обеспечить идентификацию (документ подписан определенным лицом) и аутентификацию (содержание не претерпело изменений с момента его подписания) электронного документа.

В настоящей лекции рассмотрены лишь основные понятия, принципы формирования, придания юридической правомочности электронной подписи. Более подробно об электронной подписи курсанты узнают в рамках изучения дисциплины «Основы информационной безопасности в ОВД».

Контрольные вопросы

1. Понятие электронной подписи (ЭП).

2. История возникновения понятия ЭП.

3. Нормативные документы, регламентирующие ЭП.

4. Виды ЭП.

5. Функции Удостоверяющего центра.

6. Сертификат ключа проверки ЭП.

7. Технология формирования ЭП.

8. Понятие хэш-функции.

9. Электронный обмен данными

Литература:

а) основная литература:

1. А. С. Давыдов, Т. В. Маслова. Информационные технологии в деятельности органов внутренних дел: учебное пособие. – М.: ЦОКР МВД России, 2009.

2. Информатика и математика для юристов: учебник для студентов вузов, обучающихся по юридическим специальностям / под редакцией С. Я. Казанцева, Н. М. Дубининой. – 2-е изд., перераб. и доп. – М.: ЮНИТИ-ДАНА, 2009.

3. Информационные технологии в юридической деятельности: учебник для бакалавров / под общей редакцией П. У. Кузнецова. – М.: Издательство Юрайт, 2012.

4. Симонович С. В. Информатика. Базовый курс. – СПб., Питер, 2011.

б) дополнительная литература:

1. Горнец Н. Н., Рощин А. Г., Соломенцев В. В. Организация ЭВМ и систем. Учебное пособие. – М., Академия, 2008.

2. Орлов С. А., Цилькер Б. Я. Организация ЭВМ и систем. Учебник для вузов. – СПб., Питер, 2011.

3. Бройдо В. Л., Ильина О. П. Вычислительные системы, сети и телекоммуникации. Учебник для вузов. – СПб., Питер, 2011.

Лекция 7.

Электронная подпись

Введение

Учебные вопросы:

1. Назначение и применение электронной подписи.

2. Виды электронной подписи, ее юридическая правомочность.

3. Технология формирования электронной подписи.

4. Электронный обмен данными.

Заключение

Введение

При обмене электронными документами по сети связи существенно снижаются затраты на обработку и хранение документов, убыстряется их поиск. Но при этом возникает проблема аутентификации автора документа и самого документа, т.е. установления подлинности автора и отсутствия изменений в полученном документе. В обычной (бумажной) информатике эти проблемы решаются за счет того, что информация в документе и рукописная подпись автора жестко связаны с физическим носителем (бумагой). В электронных документах на машинных носителях такой связи нет.

При обработке документов в электронной форме совершенно непригодны традиционные способы установления подлинности по рукописной подписи и оттиску печати на бумажном документе. Принципиально новым решением является электронная цифровая подпись (ЭЦП).

Назначение и применение электронной подписи.

Электронная цифровая подпись - реквизит электронного документа, позволяющий установить отсутствие искажения информации в электронном документе с момента формирования ЭП и проверить принадлежность подписи владельцу сертификата ключа ЭП. Значение реквизита получается в результате криптографического преобразования информации с использованием закрытого ключа ЭП.

В России федеральным законом № 63-ФЗ от 6 апреля 2011 г. наименование «электронная цифровая подпись» заменено словами «электронная подпись » (аббревиатура - «ЭП »).

Электронная подпись предназначена для идентификации лица, подписавшего электронный документ. Кроме этого, использование электронной подписи позволяет осуществить:

Контроль целостности передаваемого документа: при любом случайном или преднамеренном изменении документа подпись станет недействительной, потому что вычислена она на основании исходного состояния документа и соответствует лишь ему;

Защиту от изменений (подделки) документа: гарантия выявления подделки при контроле целостности делает подделывание нецелесообразным в большинстве случаев;

Доказательное подтверждение авторства документа: Так как создать корректную подпись можно, лишь зная закрытый ключ, а он должен быть известен только владельцу, то владелец пары ключей может доказать своё авторство подписи под документом. В зависимости от деталей определения документа могут быть подписаны такие поля, как «автор», «внесённые изменения», «метка времени» и т. д.

Все эти свойства ЭП позволяют использовать её для следующих целей:

· Декларирование товаров и услуг (таможенные декларации).

· Регистрация сделок по объектам недвижимости.

· Использование в банковских системах.

· Электронная торговля и госзаказы.

· Контроль исполнения государственного бюджета.

· В системах обращения к органам власти.

· Для обязательной отчетности перед государственными учреждениями.

· Организация юридически значимого электронного документооборота.

· В расчетных и трейдинговых системах.

История возникновения

В 1976 году Уитфилдом Диффи и Мартином Хеллманом было впервые предложено понятие «электронная цифровая подпись», хотя они всего лишь предполагали, что схемы ЭЦП могут существовать.

В 1977 году, Рональд Ривест, Ади Шамир и Леонард Адлеман разработали криптографический алгоритм RSA, который без дополнительных модификаций можно использовать для создания примитивных цифровых подписей.

Вскоре после RSA были разработаны другие ЭЦП, такие как алгоритмы цифровой подписи Рабина, Меркле.

В 1984 году Шафи Гольдвассер, Сильвио Микали и Рональд Ривест первыми строго определили требования безопасности к алгоритмам цифровой подписи. Ими были описаны модели атак на алгоритмы ЭЦП, а также предложена схема GMR, отвечающая описанным требованиям.

Россия

В 1994 году Главным управлением безопасности связи Федерального агентства правительственной связи и информации при Президенте Российской Федерации был разработан первый российский стандарт ЭЦП - ГОСТ Р 34.10-94 «Информационная технология. Криптографическая защита информации. Процедуры выработки и проверки электронной цифровой подписи на базе асимметричного криптографического алгоритма» .

В 2002 году для обеспечения большей криптостойкости алгоритма взамен ГОСТ Р 34.10-94 был введен стандарт одноименный стандарт ГОСТ Р 34.10-2001, основанный на вычислениях в группе точек эллиптической кривой. В соответствии с этим стандартом, термины «электронная цифровая подпись» и «цифровая подпись » являются синонимами.

1 января 2013 года одноименный ГОСТ Р 34.10-2001 заменён на ГОСТ Р 34.10-2012 «Информационная технология. Криптографическая защита информации. Процессы формирования и проверки электронной цифровой подписи».

Федеральным законом «Об электронной подписи» № 63-ФЗ от 06.04.2011 регулируются отношения в области:

использования электронных подписей при совершении гражданско-правовых сделок;

оказании государственных и муниципальных услуг;

исполнении государственных и муниципальных функций;

при совершении иных юридически значимых действий.

Федеральным законом определяется понятие электронной подписи:

1. Устанавливаются её виды, требования к средствам электронной подписи, с помощью которых создаются и проверяются:

электронная подпись,

ключ электронной подписи

и ключ проверки электронной подписи

2. Требования к удостоверяющим центрам, осуществляющим функции по созданию и выдаче сертификатов ключей проверки электронных подписей

В пояснительной записке к проекту закона об электронной подписи была приведена неутешительная статистика, свидетельствующая о слабой распространенности ЭЦП в российском деловом обороте.

По состоянию на февраль 2007 г. в России было выдано около 200 000 сертификатов ключа ЭЦП, что составляет лишь 0,2 % от населения страны.

При этом отмечается, что в Европе за аналогичный период времени от введения в действие Директивы ЕС от 13.12.1999 N 1999/93/ЕС «Об общих принципах электронных подписей» усиленные электронные подписи использовало около 70 % населения.

Новый Федеральный закон «Об электронной подписи» (ЭП) призван смягчить слишком серьезные требования к ЭЦП, регламентированные Федеральным законом от 10 января 2002 года «Об электронно-цифровой подписи» (ЭЦП).

В частности, допускалось применение только одной технологии идентификации (асимметричных электронных ключей подписи), которая к тому же требовала обязательного наличия сертификата от удостоверяющего центра.

Согласно положениям нового закона от удостоверяющих центров не требуется лицензирования - они могут пройти аккредитацию и то лишь на добровольной основе. Аккредитацией будет заниматься назначенный правительством уполномоченный орган, он же организует работу корневого центра

Для аккредитации российское или иностранное юридическое лицо обязано обладать чистыми активами на сумму не менее 1 млн. руб. и финансовыми гарантиями для выплат компенсаций пострадавшим клиентам в размере 1,5 млн. руб., иметь не менее двух IT-специалистов с высшим профессиональным образованием и пройти процедуру подтверждения в ФСБ.

"Бюджетные учреждения: ревизии и проверки финансово-хозяйственной деятельности", 2011, N 8

На современном этапе развития российского общества в процессы повседневной деятельности активно внедряются новые высокопроизводительные информационно-телекоммуникационные технологии. Процесс обмена электронными документами значительно отличается от обмена документами на бумажных носителях, так как существует проблема подтверждения подлинности содержащейся в них информации и ее соответствия смыслу волеизъявления человека, которая решается с помощью использования электронной подписи. Электронная подпись достаточно широко применяется в деятельности государственных (муниципальных) учреждений как при предоставлении государственных (муниципальных) услуг, взаимодействии с органами Федерального казначейства, представлении отчетности, так и в ряде других случаев.

С 08.04.2011 вступил в силу Федеральный закон от 06.04.2011 N 63-ФЗ "Об электронной подписи" (далее - Федеральный закон N 63-ФЗ), регулирующий отношения в области использования электронных подписей при совершении гражданско-правовых сделок, оказании государственных и муниципальных услуг, выполнении государственных и муниципальных функций, совершении иных юридически значимых действий. В связи с его изданием с 01.07.2012 перестанет действовать Федеральный закон от 10.01.2002 N 1-ФЗ "Об электронной цифровой подписи" (далее - Федеральный закон N 1-ФЗ).

Каковы причины принятия нового Закона?

Федеральный закон N 1-ФЗ имеет концептуальные и юридическо-технические недостатки, которые не позволили обеспечить правовые условия для широкого применения электронной цифровой подписи в РФ, в частности:

• использование единственной технологии электронной цифровой подписи (основанной на так называемой технологии асимметричных ключей подписи) приводит к необходимости использования единой иерархической системы удостоверяющих центров и обязывает применять сертифицированные средства электронной цифровой подписи;
• положения Закона не соответствуют основным принципам, реализуемым в иностранном законодательстве и международном праве при осуществлении правового регулирования электронных подписей, таким как "технологическая нейтральность" законодательства, правовое признание различных видов электронной подписи, свободное использование средств электронной подписи, аккредитация удостоверяющих центров;
• сфера регулирования Закона недостаточна: из нее исключены отношения как по использованию иных видов электронной подписи, так и не являющиеся гражданско-правовыми сделками;
• не допускается электронная цифровая подпись юридических лиц.

Данные недостатки не позволяют широко использовать положения Федерального закона N 1-ФЗ в правоприменительной практике. Принятый Федеральный закон N 63-ФЗ направлен на устранение указанных выше недостатков, расширение сферы использования и допустимых видов электронных подписей. В то же время он сохраняет имеющуюся практику использования электронной цифровой подписи.

Какие существуют виды электронной подписи?

Согласно ст. 2 Федерального закона N 63-ФЗ электронная подпись - это информация в электронной форме, которая присоединена к другой информации в электронной форме (подписываемой информации) или иным образом с ней связана и которая используется для определения лица, подписывающего информацию.

Для справки. Статья 3 Федерального закона N 1-ФЗ характеризует электронную подпись как реквизит электронного документа, предназначенный для его защиты от подделки, полученный в результате криптографического преобразования информации с использованием закрытого ключа электронной цифровой подписи и позволяющий идентифицировать владельца сертификата ключа подписи, а также установить отсутствие искажения информации в электронном документе.

В соответствии со ст. 5 Федерального закона N 63-ФЗ электронная подпись может быть двух видов: простая и усиленная. В свою очередь, усиленная электронная подпись может быть неквалифицированной или квалифицированной. Необходимо отметить, что Федеральный закон N 1-ФЗ не предусматривает аналогичного разделения, о чем мы упоминали выше.

Простая электронная подпись. Простая электронная подпись - это электронная подпись, которая посредством использования кодов, паролей или иных средств подтверждает факт формирования электронной подписи определенным лицом (п. 2 ст. 5 Федерального закона N 63-ФЗ).

Электронный документ считается подписанным простой электронной подписью при выполнении одного из следующих условий (п. 1 ст. 9 Федерального закона N 63-ФЗ):

• простая электронная подпись содержится в самом электронном документе;
• ключ простой электронной подписи (уникальная последовательность символов, предназначенная для создания электронной подписи) применяется в соответствии с правилами, установленными оператором информационной системы, с использованием которой осуществляются создание и (или) отправка электронного документа, и в созданном и (или) отправленном электронном документе содержится информация, указывающая на лицо, от имени которого был создан и (или) отправлен электронный документ.

Для использования простой электронной подписи, а также в целях признания электронных документов равнозначными документам на бумажных носителях соглашения между участниками электронного взаимодействия (нормативные правовые акты) в обязательном порядке должны предусматривать:

• правила определения лица, подписывающего электронный документ, по его простой электронной подписи;
• обязанность лица, создающего и (или) использующего ключ простой электронной подписи, соблюдать его конфиденциальность.

Напомним, что электронный документ - это документированная информация, представленная в электронной форме, то есть в виде, пригодном для восприятия человеком с использованием электронно-вычислительных машин, а также для передачи по информационно-телекоммуникационным сетям или обработки в информационных системах (ст. 2 Федерального закона от 27.07.2006 N 149-ФЗ "Об информации, информационных технологиях и о защите информации").

Обратите внимание! Не допускается использование простой электронной подписи для подписания электронных документов, содержащих сведения, составляющие государственную тайну, или в информационной системе, содержащей сведения, составляющие государственную тайну (п. 4 ст. 9 Федерального закона N 63-ФЗ).

Усиленная электронная подпись. В отличие от простой, усиленная электронная подпись применяется в случаях, когда в соответствии с действующим законодательством или обычаями делового оборота документ должен быть не только подписан руководителем государственного (муниципального) учреждения (лицом, им уполномоченным), но и заверен печатью (п. 3 ст. 6 Федерального закона N 63-ФЗ).

Как уже было отмечено, усиленная электронная подпись бывает неквалифицированной и квалифицированной.

Неквалифицированная подпись	Квалифицированная подпись
Получена в результате криптографического преобразования информации с использованием ключа электронной подписи	Соответствует всем признакам неквалифицированной электронной подписи
Позволяет определить лицо, подписавшее электронный документ	Ключ ее проверки указан в квалифицированном сертификате
Позволяет обнаружить факт внесения изменений в электронный документ после его подписания и создается с использованием средств электронной подписи	Для ее создания и проверки используются средства, получившие подтверждение соответствия требованиям, установленным согласно Федеральному закону N 63-ФЗ

В соответствии со ст. 10 Федерального закона N 63-ФЗ при использовании усиленных электронных подписей необходимо:

• обеспечивать конфиденциальность ключей электронных подписей, в частности не допускать использование принадлежащих учреждению ключей электронных подписей без его согласия;
• уведомлять удостоверяющий центр, выдавший сертификат ключа проверки электронной подписи, и иных участников электронного взаимодействия о нарушении конфиденциальности ключа электронной подписи в течение не более чем одного рабочего дня со дня получения информации о таком нарушении;
• не использовать ключ электронной подписи при наличии оснований полагать, что его конфиденциальность нарушена;
• использовать для создания и проверки квалифицированных электронных подписей, создания ключей квалифицированных электронных подписей и ключей их проверки средства электронной подписи, получившие подтверждение соответствия требованиям.

Признаются ли электронные документы равнозначными документам на бумажном носителе?

Информация в электронной форме, подписанная квалифицированной электронной подписью, признается электронным документом, равнозначным документу на бумажном носителе, подписанному собственноручной подписью, за исключением случаев, когда законодательством установлено требование о необходимости составления документа исключительно на бумажном носителе. Кроме того, нормативными актами или соглашением между участниками электронного взаимодействия могут быть предусмотрены дополнительные требования к электронному документу в целях признания его равнозначным документу на бумажном носителе, заверенному печатью.

Квалифицированная подпись признается действительной вплоть до установления иного судом при выполнении следующих условий (ст. 11 Федерального закона N 63-ФЗ):

• квалифицированный сертификат создан и выдан аккредитованным удостоверяющим центром, аккредитация которого действительна на день выдачи указанного сертификата;
• квалифицированный сертификат действителен на момент подписания электронного документа (при наличии достоверной информации о моменте подписания электронного документа) или на день проверки действительности указанного сертификата, если момент подписания электронного документа не определен;
• имеется положительный результат проверки принадлежности владельцу квалифицированного сертификата квалифицированной электронной подписи, с помощью которой подписан электронный документ, и подтверждено отсутствие изменений в этом документе после его подписания;
• квалифицированная электронная подпись используется с учетом ограничений, содержащихся в квалифицированном сертификате лица, подписывающего электронный документ (если такие ограничения установлены).

В соответствии с п. 2 ст. 6 Федерального закона N 63-ФЗ электронный документ, подписанный простой или неквалифицированной электронной подписью, признается равнозначным документу на бумажном носителе, подписанному собственноручной подписью, в случаях, установленных законодательством или соглашением между участниками электронного взаимодействия. Причем указанные соглашения или нормативные акты должны предусматривать порядок проверки электронной подписи, а также соответствовать требованиям, установленным в ст. 9 Федерального закона N 63-ФЗ.

Как получить средства электронной подписи?

Для создания и проверки электронной подписи, создания ключа электронной подписи и ключа проверки электронной подписи должны использоваться средства электронной подписи, которые (п. 1 ст. 12 Федерального закона N 63-ФЗ):

• позволяют установить факт изменения подписанного электронного документа после момента его подписания;
• обеспечивают практическую невозможность вычисления ключа электронной подписи из электронной подписи или ключа ее проверки.

Для получения средств электронной подписи и заключения договора на их обслуживание учреждению необходимо обратиться в один из удостоверяющих центров. Напомним, что удостоверяющий центр - юридическое лицо или индивидуальный предприниматель, осуществляющие функции по созданию и выдаче сертификатов ключей проверки электронных подписей, а также иные функции (ст. 2 Федерального закона N 63-ФЗ). Задачами удостоверяющего центра являются создание и выдача сертификатов на основании соглашения между удостоверяющим центром и заявителем. Кроме того, удостоверяющий центр (п. 1 ст. 13 Федерального закона N 63-ФЗ):

• устанавливает сроки действия сертификатов ключей проверки электронных подписей;
• аннулирует выданные этим удостоверяющим центром сертификаты ключей проверки электронных подписей;
• выдает по обращению заявителя средства электронной подписи, содержащие ключ электронной подписи и ключ проверки электронной подписи (в том числе созданные удостоверяющим центром) или обеспечивающие возможность создания ключа электронной подписи и ключа проверки электронной подписи заявителем;
• ведет реестр выданных и аннулированных этим удостоверяющим центром сертификатов ключей проверки электронных подписей, в том числе включающий в себя информацию, содержащуюся в выданных этим удостоверяющим центром сертификатах ключей проверки электронных подписей, и информацию о датах прекращения действия или аннулирования сертификатов ключей проверки электронных подписей и об основаниях такого прекращения или аннулирования;
• устанавливает порядок ведения реестра сертификатов, не являющихся квалифицированными, и порядок доступа к нему, а также обеспечивает доступ лиц к информации, содержащейся в реестре сертификатов, в том числе с использованием Интернета;
• создает по обращениям заявителей ключи электронных подписей и ключи проверки электронных подписей;
• проверяет уникальность ключей проверки электронных подписей в реестре сертификатов;
• осуществляет по обращениям участников электронного взаимодействия проверку электронных подписей;
• осуществляет иную связанную с использованием электронной подписи деятельность.

Например , предоставление средств электронной подписи в целях размещения информации о заказах на официальном сайте РФ в Интернете для размещения информации о заказах на поставки товаров, выполнение работ, оказание услуг осуществляется Федеральным казначейством. Порядок предоставления электронной подписи в данном случае регламентируется Приказом Минэкономразвития России N 647, Федерального казначейства N 22н от 14.12.2010 "Об утверждении Порядка регистрации пользователей на официальном сайте Российской Федерации в сети Интернет для размещения информации о размещении заказов на поставки товаров, выполнение работ, оказание услуг" (далее - Порядок). Так, для получения сертификатов ключей необходимо представить в территориальный орган Федерального казначейства по месту нахождения учреждения на бумажном носителе (а при наличии технической возможности - в виде электронного документа) в одном экземпляре:

• сведения об организации по форме, приведенной в Приложении 1 к Письму Казначейства РФ от 14.03.2011 N 42-7.4-05/10.0-160. Запрещается включать в указанную форму сведения, составляющие государственную тайну;
• Карточку образцов подписей к лицевым счетам (по форме 0531753, утвержденной Приказом Федерального казначейства от 07.10.2008 N 7н "О порядке открытия и ведения лицевых счетов Федеральным казначейством и его территориальными органами" (далее - Приказ N 7н));
• копию учредительного документа (устава), заверенную учредителем или нотариально. Ее представление не требуется от органов государственной власти (местного самоуправления) или их территориальных органов, федеральных казенных учреждений, не имеющих собственного положения (устава) и действующих на основании общего положения (устава), территориальных государственных внебюджетных фондов, государственной корпорации (государственной компании);
• копию документа о государственной регистрации юридического лица, заверенную учредителем или нотариально либо органом, осуществившим государственную регистрацию;
• копию свидетельства о постановке юридического лица на учет в налоговом органе, заверенную нотариально либо выдавшим ее налоговым органом;
• копию нормативного правового акта субъекта РФ о создании соответствующего территориального государственного внебюджетного фонда (только для территориальных государственных внебюджетных фондов). Заверять указанную копию не требуется;
• копию документа об открытии счета в кредитной организации, на который должны перечисляться средства участников размещения заказа, выданного соответствующей кредитной организацией, заверенную нотариально, в случае если соответствующей организации не открыт лицевой счет в органе Федерального казначейства (для государственной корпорации, государственной компании, унитарного предприятия, организации, имеющей долю государственного участия, субъекта естественной монополии).

Как используется электронная подпись при работе с органами Федерального казначейства?

Согласно п. 1.3 Порядка кассового обслуживания исполнения федерального бюджета, бюджетов субъектов Российской Федерации и местных бюджетов и порядка осуществления органами Федерального казначейства отдельных функций финансовых органов субъектов Российской Федерации и муниципальных образований по исполнению соответствующих бюджетов, утвержденного Приказом Федерального казначейства от 10.10.2008 N 8н, информационный обмен между государственными (муниципальными) учреждениями и Федеральным казначейством или органами Федерального казначейства осуществляется в электронном виде с применением средств электронной подписи в соответствии с законодательством РФ на основании договора (соглашения) об обмене электронными документами, заключенного между учреждениями и Федеральным казначейством, и требованиями, установленными законодательством РФ.

При заключении органами Федерального казначейства договоров об обмене электронными документами с главными распорядителями, распорядителями, получателями, администраторами поступлений, финансовыми органами всех уровней бюджетной системы РФ рекомендуется использовать прилагаемый примерный договор об обмене электронными документами (см. Письмо Федерального казначейства от 20.03.2007 N 42-7.1-17/10.1-102 "О примерном договоре об обмене электронными документами").

Органы Федерального казначейства при приеме платежных документов, представленных в электронном виде в соответствии с договором об обмене электронными документами, для сверки подписи лица, подписавшего электронный платежный документ, с ее образцом используют сертификат открытого ключа электронной подписи, выданный в установленном порядке подписывающему электронные платежные документы лицу. При этом электронный платежный документ может быть подписан одновременно несколькими электронными подписями лиц, получивших в установленном порядке сертификат в соответствии с договором.

Можно ли использовать электронную подпись при оказании государственных и муниципальных услуг?

Порядок использования информационно-телекоммуникационных технологий при оказании государственных и муниципальных услуг установлен ст. ст. 21.1, 21.2 Федерального закона от 27.07.2010 N 210-ФЗ "Об организации предоставления государственных и муниципальных услуг" (далее - Федеральный закон N 210-ФЗ).

Государственные и муниципальные услуги предоставляются в электронной форме в том случае, если они включены в перечень, установленный Правительством РФ. Высший исполнительный орган государственной власти субъекта РФ вправе утвердить дополнительный перечень услуг, оказываемых в субъекте РФ государственными и муниципальными учреждениями и другими организациями, в которых размещается государственное задание (заказ) субъекта РФ или муниципальное задание (заказ), подлежащих включению в реестр государственных или муниципальных услуг и предоставляемых в электронной форме.

Обращение за получением и предоставление государственной или муниципальной услуги могут осуществляться с использованием электронных документов, подписанных электронной подписью в соответствии с требованиями Федерального закона N 63-ФЗ.

Правила использования простых электронных подписей при оказании государственных и муниципальных услуг, в том числе правила создания и выдачи ключей простых электронных подписей, и перечень органов и организаций, имеющих право на создание и выдачу ключей простых электронных подписей в целях оказания государственных и муниципальных услуг, устанавливаются Правительством РФ и должны предусматривать в том числе (ст. 21.2 Федерального закона N 210-ФЗ):

• требования, которым должны соответствовать простые электронные подписи и (или) технологии их создания;
• способы установления личности лица при выдаче ему ключа простой электронной подписи в целях получения государственных и муниципальных услуг.

Согласно п. 2 ст. 21.2 Федерального закона N 210-ФЗ при оказании государственных и муниципальных услуг с использованием простых электронных подписей должны обеспечиваться:

• возможность бесплатного получения любыми лицами ключей простых электронных подписей для использования в целях получения государственных и муниципальных услуг;
• отсутствие необходимости использования физическими и юридическими лицами программных и аппаратных средств, специально предназначенных для получения государственных и муниципальных услуг с использованием простых электронных подписей.

Заметим, что в настоящее время в тестовом порядке работает портал государственных услуг (www.gosuslugi.ru), на котором можно получить некоторые государственные услуги в электронном виде.

Ю.Васильев

генеральный директор

Электронная цифровая подпись – основа электронного документооборота с применением современных информационных технологий. Она является неотъемлемой частью работы таких проектов, как «Банк-Клиент» (автоматизированные банковские системы удалённого доступа), платёжных систем на основе smart–карт, системы электронных интернет-платежей и др.

Что собой представляет система цифровой электронной подписи

Основное назначение электронной цифровой подписи, представляющей собой особую математическую схему, – подтвердить подлинность электронных документов или сообщений. Надёжная цифровая подпись гарантирует получателю, что документ был создан отправителем и в процессе передачи не был изменён.

Электронные цифровые подписи активно применяются при совершении финансовых операций, для распространения программного обеспечения, а также в других проектах, требующих подтверждения подлинности электронного сообщения.

Стоит различать понятия «цифровая подпись» и «электронная подпись». Первый термин носит более общий характер, поскольку относится к любым электронным данным. При этом не все электронные подписи являются цифровыми.

В цифровых подписях применяется асимметричная криптография. Они призваны защитить электронные сообщения, передаваемые по небезопасному каналу. Цифровая подпись, созданная по всем правилам, гарантирует, что сообщение было отправлено составителем. По сути, цифровая подпись и печать – полноценный заменитель физическим печатям и подписям, поставленным вручную. Отличие в том, что цифровые сложнее подделать.

Одна из сфер применения электронной цифровой подписи – подтверждение достоверности сообщений и документов, передаваемых по электронной почте с помощью криптографического протокола. В основе ЭЦП лежит принцип безотказности, согласно которому лицо, подписавшее документ, не может доказать, что не ставило подпись на отправленном сообщении.

Роль цифровой подписи в электронной коммерции и документообороте

Популярность ЭП неуклонно растёт. Руководители компаний хотят уменьшить загруженность своих работников и сократить объёмы бумажного документооборота. Ведь с помощью ЭЦП и другие сотрудники смогут гораздо быстрее подписывать документы, что сократит время простоев и обеспечит рост эффективности бизнес-процессов в организации.

Федеральный закон «Об электронной цифровой подписи» определяет ЭЦП как равнозначную по юридической силе рукописной подписи и физической печати на традиционном документе в бумажном виде. Это позволяет организациям различных отраслей и направлений деятельности активно использовать её в электронном документообороте.

Но сфера применения ЭЦП этим не ограничивается. Она также используется для подтверждения авторства, целостности, подлинности и актуальности любых электронных сообщений и позволяет проверить, вносились ли какие-либо изменения в передаваемый документ посторонними людьми.

Ускорение всех процессов в жизни и в бизнесе вынуждает владельцев компаний оптимизировать организационные процессы, внедрять различные системы автоматизации. Электронная торговля – один из таких инструментов. Для участия в торгах нужна электронная цифровая подпись, которая позволяет:

• гарантировать достоверность загруженных участниками электронных документов;
• организаторам подписывать конкурсы, аукционы и заявки;
• подписывать заявки на торгах;
• использовать электронные документы наравне с бумажными;
• обеспечить подлинность и целостность электронных документов, не допустить их подделки;
• избежать возникновения спорных ситуаций по причине некорректной отправки документов и подачи заявок.

Применение цифровых технологий в электронной торговле может способствовать в ближайшем будущем внесению кардинальных изменений в практику ведения деловых переговоров. В первую очередь, за счёт использования цифровых каналов связи и сокращения расходов на коммуникацию. Так электронная цифровая подпись предоставляет владельцам малого и среднего бизнеса доступ к международным рынкам электронной торговли.

В недавнем прошлом для обмена сообщениями или документами применяли факс. Ценные бумаги также высылали по почте или курьерской службой. Теперь можно отправлять всю необходимую документацию, имеющую соответствующую юридическую силу, в кратчайшие сроки и без посредников. Ведь электронная цифровая подпись в документообороте полностью заменяет собственноручную и подтверждает её подлинность, гарантируя, что в документ не вносились исправления посторонними пользователями.

Экономическая целесообразность перехода на обмен электронными документами очевидна: в таком виде их проще хранить и передавать. Для этого нужно лишь оформить электронную цифровую подпись в одном из специальных удостоверяющих центров.

Ещё одним преимуществом электронного документооборота является высокая степень защиты передаваемых данных. Для ЭЦП используется специальный криптопровайдер с квалифицированным сертификатом. Максимальная его защита обеспечивается специальными аппаратно-программными комплексами (ключи I-Token или смарт-карты), в которых находится безопасное хранилище для применения PIN-кодов при работе с квалифицированным сертификатом. Если при вводе PIN-кода предпринимается несколько неудачных попыток, то сертификат блокируется и перестаёт работать.

Особенности использования электронной цифровой подписи

Перед тем как использовать ЭЦП для визирования документов, необходимо учесть следующее:

1. Подлинность подписи можно проверить на основе данных, находящихся в открытом доступе. При этом она создаётся из фиксированного сообщения и закрытого ключа электронной цифровой подписи.
2. Невозможно подделать или подобрать подпись без секретного ключа.

Применение ЭЦП целесообразно и актуально не только в организации документооборота юридических лиц (для заверения подлинности, авторства, идентичности и статуса документов), но и физических в том числе. Например, она может быть использована для подтверждения информированного согласия или одобрения одной из сторон, подписавших договор.

Электронная цифровая подпись применяется при аутентификации источника письма. Это связано с тем, что даже если в документе есть вся необходимая информация, сложно гарантировать подлинность отправителя. Ключ электронной цифровой подписи закрепляется за определённым пользователем. Такой механизм гарантирует, что письмо было отправлено владельцем ЭЦП. Это особенно актуально для финансовых и банковских организаций.

Ещё одно направление применения ЭЦП – подтверждение, что письмо было доставлено в целости и сохранности и в процессе передачи в него не были внесены какие-либо корректировки злоумышленниками. Шифрование с применением ключа ЭЦП не обеспечивает 100 %-й защиты от внесения изменений в исходное сообщение посторонними пользователями. Но при расшифровке письма адресат получит информацию в случае, если целостность письма нарушена. Это связано с тем, что любые действия с сообщением, подписанным электронной цифровой подписью, приводят к её дезактивации. Для того чтобы снова поставить подпись на изменённом документе, нужно иметь к ней доступ. Поэтому вероятность такого развития событий крайне мала.

Также электронная цифровая подпись – один из действенных инструментов подтверждения происхождения документа или сообщения. То есть электронная цифровая подпись для юридических лиц – гарантия неотрекаемости или невозможности отрицания факта, что организация подписала электронный документ. Этот принцип работы ЭЦП применим и в отношении физических лиц.

Стоит иметь в виду, что подлинность и безотказность письма, подписанного ЭЦП, возможны лишь в том случае, если секретный ключ не отозван перед использованием. При этом открытые ключи аннулируются одновременно с секретными. По предварительному запросу ЭП проверяется на вероятность отзыва.

Любые криптосистемы, в основе работы которых лежит использование открытого или закрытого ключа, напрямую зависят от степени секретности этих данных. Пользователь может хранить ключ электронной цифровой подписи на своем рабочём компьютере, защитив его паролем. Но у такого варианта есть свои недостатки:

• подписывать документы можно только на компьютере владельца ЭЦП;
• сохранность данных ЭЦП напрямую зависит от защищённости рабочего компьютера пользователя.

Намного надёжнее хранить секретный ключ на смарт-картах, так как большинство из них имеют высокую степень защиты от изменений несанкционированными пользователями.

Для активации смарт-карты пользователь вводит специальный PIN-код. Такая схема двухфакторной аутентификации и обеспечивает дополнительную защиту электронной цифровой подписи. В случае кражи или пропажи смарт-карты для её активации и использования ЭЦП также нужно будет ввести PIN-код, что уменьшает степень безопасности этой схемы. Обнадёживает тот факт, что ключи ЭЦП, находящиеся на смарт-картах, существуют в единственном экземпляре и не поддаются копированию. Поэтому владелец электронной цифровой подписи, обнаружив пропажу, может быстро заблокировать их действие. Ключи, хранящиеся на компьютере пользователя, намного проще скопировать, а сам факт утечки информации сложнее обнаружить. Поэтому очень важно применять дополнительную защиту электронной цифровой подписи.

Какие алгоритмы используются в работе электронной цифровой подписи

Цифровая схема подписи включает в себя одновременно три алгоритма электронной цифровой подписи:

1. Алгоритм генерации ключа, который отбирает секретный ключ равномерным и случайным образом из множества возможных частных вариантов. Одновременно генерируются секретный и открытый ключи, которые идут в паре.
2. Алгоритм подписи, который на основе закрытого ключа подписывает электронное сообщение.
3. Проверочный алгоритм электронной цифровой подписи, который на основе открытого ключа, подписи и сообщения определяет подлинность и принимает решение о возможности или невозможности отправки электронного письма.

Алгоритм цифровой подписи RSA.

Одна из самых первых и наиболее распространенных систем ЭЦП работает на основе алгоритма RSA. Всё начинается с вычисления открытого и закрытого ключа. Отправитель электронного письма должен вычислить два больших простых числа P и Q, а потом рассчитать произведение и найти значение функции:

N = P * Q; φ (N) = (Р-1)(Q-1).

Затем нужно определить значение Е из условий:

Е £ φ (N), НОД (Е, φ (N)) = 1

и значение D:

D < N, Е *D º 1 (mod j (N)).

Числа E и N представляют собой открытый ключ. Эти показатели автор отправляет адресатам электронного письма для аутентификации электронной цифровой подписи. Параметр D – это секретный ключ, с помощью которого автор подписывает сообщение. Схематично работа алгоритма представлена на рисунке:

Недостатки применения алгоритма RSA для формирования электронной цифровой подписи:

1. Вычисление значений параметров N, E и D – процесс трудоёмкий, поскольку требует проверки большого количества дополнительных условий. При этом, если хотя бы одно из них не будет выполнено, возникает риск подделки электронной цифровой подписи.
2. Высокая стойкость к фальсификации ЭЦП, созданной по алгоритму RSA, обеспечивается за счёт существенных затрат на вычисление (на 20-30 % больше, чем у других алгоритмов).

Алгоритм цифровой подписи Эль-Гамаля (EGSA).

Главная идея этого алгоритма – невозможность подделки электронной цифровой подписи. Для реализации такой цели требуется решить более сложную вычислительную задачу, а не просто разложить на множители большое целое число. Кроме того, разработчик Эль-Гамаль смог устранить недостатки алгоритма RSA и предотвратить риски фальсификации ЭЦП без определения секретного ключа.

Для генерации открытого и закрытого ключа необходимо выбрать два простых целых числа P и G, при условии, что G < P. Отправитель и адресат электронного документа, подписанного ЭЦП, применяют одинаковые большие несекретные числа P (~10 308 = ~2 1024) и G (~10 154 = ~1 512). Первый из них берёт случайное целое число X, 1 < X £ (P - 1), и вычисляет: Y = G X mod P.

Параметр Y – открытый ключ, используемый для аутентификации электронной цифровой подписи отправителя. Параметр Х – секретный ключ, используемый им для подписи электронных документов. Для подписи сообщения М необходимо, чтобы отправитель захэшировал его с помощью хэш-функции h в целое число m: m = h(M), 1 < m < (P - 1), и сгенерировал случайное целое число К, 1 < K < (P - 1), при этом К и (P - 1) должны быть взаимно простыми. На следующем этапе он рассчитывает значение параметра a по формуле: a = G K mod P. На основе расширенного алгоритма Евклида с помощью секретного ключа Х определяет целое число b: m = X * a + K * b (mod (P - 1)). Пара чисел (a, b) формируют электронную цифровую подпись S: S = (a, b).

Значения параметров M, a и b передаются адресату, а значения чисел X и K не разглашаются. Затем получатель сообщения вычисляет значение m по формуле: m = h(M). Далее рассчитывается значение числа A = Y a a b mod (P). Если A = G m mod (P), сообщение М считается подлинным.

Можно привести строгое математическое доказательство, что последнее равенство будет верно тогда, когда подпись S под сообщением M рассчитана с помощью именно секретного ключа X, из которого был получен открытый ключ Y.

При этом стоит иметь в виду, что для создания каждой электронной цифровой подписи нужно новое значение числа К, которое определяется случайным образом.

Алгоритм EGSA – классический образец того, как происходит доставка сообщения в открытой форме вместе с аутентификатором (a, b). Отличие алгоритма Эль-Гамаля от алгоритма RSA:

1. При схожей степени стойкости алгоритм EGSA работает на целых числах, которые короче аналогичных чисел в алгоритме RSA на 25%. Это сокращает время вычислений в среднем в 2 раза.
2. Вычислить модуль Р легко, требуется лишь удостовериться, что число простое и у числа (Р - 1) есть большой простой множитель.
3. Алгоритм EGSA не позволяет ставить электронную цифровую подпись на новых сообщениях без знания секретного ключа.
4. Подпись, созданная по алгоритму EGSA, в 1,5 раза больше подписи, сгенерированной по схеме RSA.

Алгоритм цифровой подписи DSA.

Алгоритм DSA (Digital Signature Algorithm) является усовершенствованной версией алгоритмов цифровой подписи EGSA и К. Шнорра. Отправитель и адресат электронного письма вычисляют большие целые числа G и P - простые числа, L бит каждое (512 £ L £ 1024), q - простое число длиной 160 бит (делитель числа (P - 1)). Числа P, G, q открытые и могут быть общими для пользователей. Отправитель выбирает случайное целое число X - секретный ключ электронной цифровой подписи, при этом 1 < X < q. Далее он рассчитывает значение параметра Y (открытого ключа) по формуле: Y = G X mod P. Для подписи сообщения М отправитель хэширует его в целое хэш-значение m: m = h(M), 1 < m < q, затем выбирает случайное целое число К, при условии, что 1 < K < q, и вычисляет значение параметра r по формуле: r = (G K mod P) mod q. Далее он находит число s по формуле: s = ((m + r * X)/ K) mod q.

Пара чисел S = (r, s) формируют электронную цифровую подпись. Адресат проверяет выполнение условий: 0 < r < q, 0 < s < q. Если хотя бы одно из них не выполнено, то подлинность ЭЦП не подтверждается. Если же выполнены все условия, то адресат рассчитывает значение w по формуле: w = (l/s) mod q, хэш-значения m = h(M) и числа u 1 = (m * w) mod q, u 2 = (r * w) mod q. Далее он с помощью открытого ключа Y вычисляет v по формуле: v = ((G u 1 * Y u 2) mod P) mod q. Подпись S считается подлинной при условии, что выполняется равенство v = r.

Можно привести математическое доказательство, что последнее равенство будет верно тогда, когда подпись S под сообщением M рассчитана с помощью именно секретного ключа X, из которого был получен открытый ключ Y.

Преимущества алгоритм DSA по сравнению с алгоритмом EGSA:

1. Длина электронной цифровой подписи, созданной по алгоритму DSA, существенно короче, чем у подписи, сгенерированной по алгоритму EGSA. При этом уровень стойкости одинаковый.
2. Время вычисления подписи DSA меньше, чем в алгоритме EGSA.

К минусам алгоритма DSA можно отнести необходимость проведения сложных операций деления по модулю q для проверки подлинности электронной цифровой подписи. На практике работу алгоритма DSA можно ускорить за счёт проведения предварительных вычислений. Стоит отметить, что значение r не зависит от сообщения М и его хэш-значения m.

Какие виды электронной цифровой подписи наделены юридической силой

Федеральный закон «Об электронной подписи» №63-ФЗ выделяет два вида электронных подписей: простые и усиленные. Усиленные подписи бывают квалифицированные и неквалифицированные.

Простая ЭЦП.

Для создания такой подписи используются пароли, коды и другие средства. Простая электронная цифровая подпись – инструмент подтверждения подлинности электронных данных отправителем. Она считается действительной при соблюдении следующих условий:

• электронный документ подписан ЭЦП;
• ключ электронной подписи создан в соответствии с требованиями информационной системы, с помощью которой проводилась заверка и отправка электронных сообщений отправителем.

В нормативных и правовых документах, а также договорах участники в обязательном порядке определяют основные правила применения простой электронной цифровой подписи:

• механизм идентификации автора подписи в электронном документе;
• обязательное соблюдение требований конфиденциальности при использовании электронной подписи ответственными лицами;
• выполнение требований Федерального закона №63-ФЗ в отношении использования простой электронной цифровой подписи;
• невозможность применения ЭЦП к секретным государственным документам.

Усиленная неквалифицированная ЭП.

Для создания такой подписи используется криптографическая программа, работающая на основе ключа электронной цифровой подписи. Усиленная неквалифицированная подпись позволяет определить составителя документа, поставившего подпись, и наличие изменений в письме после его подписания. Применение неквалифицированной ЭП позволяет не использовать сертификат ключа электронной цифровой подписи (при условии соблюдения требований законодательства, других нормативных документов и договоров между отправителем и адресатом).

Усиленная квалифицированная ЭЦП.

Особенность этой разновидности электронной цифровой подписи в наличии специального ключа проверки, содержащегося в квалифицированном сертификате. Формирование и проверка усиленной квалифицированной ЭЦП происходит с помощью специальных средств электронной подписи, соответствующих требованиям Федерального закона №63-ФЗ.

Бумажные документы с рукописной подписью и электронные документы, на которых стоит усиленная квалифицированная подпись, имеют одинаковую юридическую силу (кроме случаев, признающих исключительно рукописную подпись, предусмотренных в законодательстве). Также законом допускается установление в нормативных актах и договорах между отправителем и получателем дополнительных требований к электронным документам, подписанным усиленной квалифицированной подписью.

Сравним рассмотренные виды электронной цифровой подписи по аналогии со знакомыми физическими средствами идентификации личности:

Простая ЭП похожа на бейдж – любой посторонний человек может ею воспользоваться, поэтому ответственность за сохранность данных лежит на владельце подписи.

Неквалифицированная ЭП аналогична пропуску в компании, при этом между сторонами сделки есть определённый уровень доверия.

Квалифицированная ЭП как паспорт – самый важный инструмент для идентификации, предоставляет возможность пользоваться всеми услугами.

В соответствии со ст. 7 Федерального закона «Об электронной подписи» ЭЦП, созданные по зарубежным стандартам, в Российской Федерации относятся к тому виду электронных подписей, признакам которого они соответствуют. Выдача сертификата ключа в иностранном государстве не может быть причиной непризнания юридической силы документа, на котором стоит такая подпись.

Как и где получить электронную цифровую подпись

Шаг 1. Выбор ЭП.

Для начала нужно понять, зачем вам электронная цифровая подпись. Например, вам нужен ключ для работы на сайте госуслуг. Или вы планируете сдавать отчётность во внебюджетные фонды, налоговые органы, федеральную службу по финансовому мониторингу или другие государственные и муниципальные органы. Также ЭЦП понадобится для участия в электронных аукционах или работы на электронных торговых площадках.

Шаг 2. Выбор удостоверяющего центра.

Список удостоверяющих центров, где можно получить электронную цифровую подпись, находится на сайте www.minsvyaz.ru (официальный интернет-ресурс Министерства связи и массовых коммуникаций). На главной странице сайта в разделе «Важно» есть активная ссылка «Аккредитация удостоверяющих центров», после клика по которой открывается окно, предлагающее скачать файл с актуальным перечнем аккредитованных удостоверяющих центров. По данным на 6.02.2018 г., в список входило 469 организаций.

Шаги 3 и 4. Заполнение заявки и оплата услуги.

После выбора удобного по расположению удостоверяющего центра нужно заполнить и отправить заявку на выпуск электронной цифровой подписи. Если нет возможности заполнить заявку на сайте, можно написать её вручную и передать сотрудникам в удостоверяющем центре. В заявке нужно указать Ф. И. О. получателя ЭЦП, электронный почтовый адрес и контактный телефон. Далее – оплатить услугу.

Шаг 5. Предоставление документов в удостоверяющий центр.

Одновременно с подачей заявления на создание сертификата ключа электронной цифровой подписи требуется передать определённый пакет документов.

Перечень документов для получения электронной цифровой подписи юридическими лицами

• свидетельство о государственной регистрации юридического лица (ОГРН);
• свидетельство о постановке на учёт в налоговом органе (ИНН);
• выписка из ЕГРЮЛ (оригинал или нотариально заверенная копия). Требования к сроку давности выписки у разных удостоверяющих центров отличаются, но обычно это не более 6 месяцев с момента её получения;
• страховое свидетельство государственного пенсионного страхования (СНИЛС) будущего владельца электронной цифровой подписи.

Если владельцем ЭЦП будет руководитель юридического лица, то требуется также приложить документ, подтверждающий его назначение на должность, заверенный подписью и печатью компании.

Если полномочия по владению ЭЦП планируется передать не руководителю, а сотруднику компании (уполномоченному представителю), то необходимо приложить к пакету документов доверенность о передаче соответствующих функций данному работнику, заверенную подписью и печатью компании. Если этот сотрудник будет подавать все необходимые документы и лично получать ЭЦП, то также нужно предоставить копии страниц его паспорта.

Перечень документов для индивидуальных предпринимателей (ИП)

• заявление на выдачу электронной цифровой подписи;
• свидетельство о государственной регистрации ИП;
• свидетельство о постановке на учет в налоговом органе (ИНН);
• выписка из ЕГРИП (оригинал или нотариально заверенная копия). Требования к сроку давности выписки у разных удостоверяющих центров могут не совпадать, но обычно это не более 6 месяцев с момента её получения;
• копии страниц паспорта будущего владельца электронной цифровой подписи: с фото и с данными о прописке;
• страховое свидетельство государственного пенсионного страхования (СНИЛС).

Если планируется, что электронную цифровую подпись для ИП будет получать уполномоченный представитель будущего владельца ЭП, то в удостоверяющий центр нужно также подать нотариально заверенную доверенность на указанного представителя.

В ситуации, когда будущий владелец электронной цифровой подписи хочет делегировать все обязанности по её получению своему уполномоченному представителю, то вместе с основным пакетом документов нужно предоставить и паспорт этого гражданина.

Шаг 6. Получение ЭП.

Для получения электронной цифровой подписи нужно предоставить в выбранный удостоверяющий центр оригиналы всех документов. После сверки информации они возвращаются владельцу ЭП.

Цена услуги по созданию электронной цифровой подписи может варьироваться в зависимости от следующих факторов:

• вид и сфера применения ЭП;
• особенности ценообразования в удостоверяющем центре;
• местонахождение удостоверяющего центра.

Конечная стоимость услуги складывается из нескольких составляющих:

• оформление и выпуск сертификата ключа электронной цифровой подписи;
• предоставление прав на работу со специализированным программным обеспечением;
• предоставление программ для работы с электронной цифровой подписью;
• передача ключа защиты носителя электронной цифровой подписи;
• техническая поддержка при работе с электронной цифровой подписью.

Например, итоговая стоимость ЭЦП для работы в электронных торгах составляет 5-7 тыс. рублей.

Срок выдачи электронной цифровой подписи может колебаться в диапазоне от часа до одной недели. Всё зависит от скорости подачи документов и оплаты услуг. В большинстве удостоверяющих центров ЭЦП изготавливают за 2-3 рабочих дня. Имейте в виду, что выписки из ЕГРЮЛ или ЕГРИП в налоговых органах выдают в течение 5 рабочих дней. Поэтому стоит получить их заблаговременно.

Срок действия электронной цифровой подписи 1 год. Поэтому ежегодно нужно её перевыпускать. Это можно сделать в любом удостоверяющем центре (не обязательно в том, где вы её получали).

Как реализуется надёжная защита электронной цифровой подписи

Одна из насущных проблем практического применения современной криптографии – обеспечение защиты информации электронной цифровой подписи, в первую очередь, ключа ЭП. Высокий уровень стойкости криптографических алгоритмов, в том числе разработанных в нашей стране, вынуждает злоумышленников красть файл электронной цифровой подписи с ключами, так как это единственный возможный способ взлома. Простой подбор ключа занимает слишком много времени и требует внушительных вычислительных ресурсов.

В соответствии с ГОСТ Р 34.10-2001 секретный ключ электронной цифровой подписи представляет собой 256 бит информации. Злоумышленники похищают эти данные из файлов пользователей, добывают из оперативной памяти или системного реестра. На теневом рынке сформировалась настоящая хакерская индустрия по производству программного обеспечения для кражи секретных ключей ЭЦП: различные трояны, руткиты, вирусы, эксплойты. Для того чтобы украсть ключ, не обязательно быть профессионалом, достаточно просто получить доступ к FLASH-носителю, на котором он хранится.

Создатели средств электронной цифровой подписи стараются обеспечить необходимую защиту секретных ключей. Есть разные методики шифрования ключа ЭЦП, хранящегося в файле. Пользователь придумывает пароль, который на основе специального алгоритма превращается в настоящий криптографический ключ шифрования. С его помощью и происходит шифрование ключевого контейнера. Минус в том, что защита такого рода может быть достаточно быстро взломана методом простого перебора паролей. Бонус для злоумышленников – неограниченное количество попыток и единственный критерий правильности (совпадение секретного и открытого ключей).

Похитить секретный ключ электронной цифровой подписи из системного реестра так же легко, как из ключевого контейнера в файле, потому что сам реестр тоже находится в файле.

Есть ещё одна сложность обеспечения безопасности хранения ключа ЭЦП. В операционной системе Windows происходит определённая «привязка» ключевого контейнера. Например, при первом подключении FLASH-носитель с ЭЦП определяется как «Съёмный диск G», а при последующей работе как «Съёмный диск K». В результате криптопровайдер не найдёт ключевые контейнеры по новому пути.

Кроме того, если секретный ключ ЭЦП находится в системном реестре, то могут возникнуть сложности с его переносом на другой компьютер.

Таким образом, обеспечение безопасного хранения ключа ЭЦП связано с множеством трудностей. Но какие последствия могут наступить в результате кражи ключевого контейнера? Рассмотрим потенциальные варианты такой гипотетической ситуации:

1. Злоумышленники могут украсть деньги со счёта через систему дистанционного банковского обслуживания (ДБО). Доказать незаконные действия хакеров практически невозможно, ведь на всех банковских операциях стоит ваша электронная цифровая подпись.
2. Защитная система ДБО предотвратила несанкционированные переводы денежных средств, заблокировав доступ к банковскому счёту. Деньги целы, но, возможно, важные сделки сорвались из-за несвоевременной оплаты.
3. Ваши конкуренты украли ключ ЭЦП и поставили подпись на поддельном коммерческом предложении или конкурсной заявке. В результате вы потратите время и силы на прояснение ситуации, а ваша компания будет отстранена от электронных торгов за недобросовестность.
4. Злоумышленники подписали с помощью похищенного ключа ЭЦП ложный отчёт, а вашу организацию оштрафовали.

Таким образом, кража ключа электронной цифровой подписи грозит вам потерей финансовых и временных ресурсов, ухудшением деловой репутации, срывом важных сделок, блокировкой банковских счетов и другими потенциальными и вполне реальными убытками. Даже если вы докажете факт кражи электронных данных, высока вероятность, что банк откажется возвращать похищенные деньги.

Хакеры могут и не рисковать и вместо похищения ключевого контейнера просто его удалить. Это приведёт к упущенным выгодам для владельца ЭЦП (недополученные доходы, срыв сделок) и непредвиденным расходам (потерянное время, оплата услуг по переоформлению ЭЦП).

Соблюдение правил информационной безопасности при использовании и хранении электронной цифровой подписи – залог бесперебойной работы всех участников электронного документооборота (банков, торговых площадок, владельцев ЭЦП, операторов по сдаче отчётности и др.).

Стоит иметь в виду, что владелец электронной подписи не должен давать свой секретный ключ другим сотрудникам компании. Ведь только он несёт ответственность за все документы, подписанные коллегами. Если есть подобная необходимость, следует сделать электронную цифровую подпись отдельно каждому сотруднику, имеющему право подписывать документы.

Мы уже говорили о небезопасности хранения ключевого контейнера в файле. Для устранения недостатков такой системы шифрования придумали отчуждаемые носители с собственной зашифрованной файловой системой, в которой располагается ключевой контейнер. В такой системе есть собственный управляющий микропроцессор, ограничивающий количество попыток взлома.

Например, в отечественной практике пользуются популярностью смарт-карты и USB-токены. Для активации секретного ключа ЭЦП пользователь вводит индивидуальный PIN-код. После нескольких некорректных попыток ввода доступ блокируется, что ограничивает возможности для взлома злоумышленниками.

В России популярны USB-токены благодаря ряду характеристик: надёжность, лёгкость использования и невысокая стоимость. Так, после выхода на рынок проекта «Рутокен-2001» было продано несколько миллионов USB-токенов этой компании. В некоторых сферах (например, при сдаче налоговой отчётности и в электронных торгах) Рутокены считаются стандартом безопасного хранения ключевых контейнеров.

Усовершенствованная вариация технологии USB-токенов работает на криптографических алгоритмах сразу «на борту» носителя. Секретный ключ не загружается в оперативную память компьютера, что исключает возможность его кражи вредоносными программами напрямую из компьютерной памяти. Такая технология активно используется в различных финансовых организациях, в частности, в системах ДБО организаций, где потенциальные убытки от кражи секретного ключа электронной цифровой подписи особенно высоки.

Как осуществляется проверка подлинности электронной цифровой подписи

Проверка электронной цифровой подписи проводится с помощью открытых онлайн-сервисов и специализированных программ. Результаты проверки позволяют выяснить, кто подписал электронный документ, провести аутентификацию подписи, выявить несанкционированные изменения в сообщении.

Многие современные информационные системы проверяют подлинность электронной цифровой подписи автоматически. Так, на сайте Росреестра (rosreestr.ru) можно легко определить подлинность ЭЦП на документе, полученном в ответ на запрос пользователя. Для этого нужно загрузить полученный файл с расширением *.sig в специальный сервис сайта и кликнуть по кнопке.

Схожие инструменты проверки можно найти и в других информационных системах, например, на электронных торговых площадках. Удостоверяющие центры также предоставляют пользователям сервисы для проверки подлинности ЭЦП. Кроме того, заинтересованные они могут провести эту процедуру самостоятельно с помощью специализированных программ.

В ходе проверки электронного документа сравнивается стоящая на нём электронная цифровая подпись, ключ ЭЦП, полученный от отправителя, и сертификат КЭП. Если адресат электронного письма не зарегистрирован ни в одном из действующих удостоверяющих центров, он может проверить подлинность ЭЦП самостоятельно:

1. В открытых онлайн-сервисах, таких как КонтурКрипто и др.
2. Установить на личном или рабочем компьютере программу КриптоПро CSP и скачать в неё базу сертификатов из публичных справочников удостоверяющих центров.
3. На сайте www.gosuslugi.ru/pgu/eds можно проверить электронную цифровую подпись, выданную только УЦ, прошедшими государственную аккредитацию.
4. Самый сложный способ – если у вас есть профессиональные знания и навыки, то вычислите хеш-функции на основе алгоритма шифрования.

Рассмотрим подробнее первые три способа, так как они более доступны для пользователей без компьютерного образования.

Проверка на КриптоПро CSP.

На официальном сайте разработчика можно скачать демо-версию программы и бесплатно пользоваться ей в течение двух недель, а потом купить полную версию. КриптоПро CSP позволяет не только проверять ЭЦП в электронных документах, но и подписывать собственные файлы, созданные в MS Word. После установки программы в выпадающем меню можно выбрать необходимое действие.

В дальнейшем КриптоПро CSP будет самостоятельно проводить проверку подписей во всех открытых документах, заверенных ЭЦП. В случае успешного результата пользователь увидит всплывающее окно

Если в ходе проверки программа предупредит, что сертификат полученного электронного документа невозможно проследить до корневого каталога, то пользователю следует переместить его в хранилище

Проверка электронной цифровой подписи на Портале госуслуг.

На сайте gosuslugi.ru можно легко проверить как собственную, так и полученную от отправителя в электронном документе квалифицированную ЭП и её сертификат. Онлайн-сервис сайта работает как с файлами с расширением *.sig, так и с текстовыми документами, в тело которых встроена ЭЦП.

Если сертификат и ЭП прошли проверку, то появляется сообщение «Действителен». Если нет, то сервис раскрывает причину: «Сертификат отозван» или «Не удалось проверить».

С помощью данного сервиса можно легко проверить и КЭП. Проверка в обоих случаях проходит в отношении только квалифицированных подписей, так как их сертификаты ключей находятся в открытых реестрах удостоверяющих центров. Вероятность того, что на документе будет недействительная электронная цифровая подпись, крайне низка, поскольку удостоверяющие центры следят за сроками действия их сертификатов.

Причины некорректной работы электронной цифровой подписи, и как их устранить

У большинства пользователей на электронных торговых площадках возникают трудности из-за некорректной работы электронной цифровой подписи. Подобные проблемы могут возникнуть в самый неподходящий момент, например, в ходе торгов, что приведёт к нежелательным результатам:

• заявка на участие в конкурсе не будет вовремя подана;
• участник проиграет электронный аукцион;
• контракт на оказание услуг государственным органам не будет подписан.

Типичные трудности при работе с электронной цифровой подписью:

1. На электронной торговой площадке не видно сертификата участника закупки.
2. Нет технической возможности поставить подпись на электронном документе.
3. При попытке входа на электронную площадку пользователь получает сообщение об ошибке.

На практике встречаются и другие проблемы, но мы рассмотрим способы решения самых популярных из них.

Сертификат ключа подписи не виден на площадке при попытке входа в систему.

Это может быть связано с одновременным действием нескольких факторов:

• сертификат ключа ЭЦП настроен неверно;
• интернет-браузер работает некорректно;
• нет корневого сертификата УЦ.

Как решить проблему?

Для начала проверьте, что установка открытой части сертификата на компьютере через программу КриптоПро прошла правильно. Также убедитесь, что ваша операционная система поддерживает версию программного обеспечения, установленного на компьютере. Далее в настройках браузера добавьте электронные адреса торговых площадок в категорию надёжных, включив все элементы ActiveX. И в конце проведите установку корневого сертификата УЦ, выдавшего ЭЦП, в доверенные корневые центры сертификации.

Электронная подпись выдаёт ошибку при подписании документов.

Такая проблема может возникать по следующим причинам:

• у вашей версии КриптоПро закончилась лицензия;
• вы вставили носитель с другим сертификатом.

Как это исправить?

Получите новую лицензию в УЦ, откройте программу КриптоПро на вашем компьютере и введите данные лицензии.

Если дело в носителе ЭЦП, то проверьте все закрытые контейнеры в USB-разъемах и правильность загрузки требуемого сертификата.

Система выдаёт ошибку при входе на электронную площадку.

Корни этой проблемы могут лежать в ранее рассмотренных причинах. Обычно трудности возникают из-за некорректной установки библиотеки Capicom. Для устранения проблемы проверьте, установлена ли эта библиотека на вашем компьютере и скопированы ли два системных файла с расширением.dll в одну из папок Windows, при использовании 64-разрядной системы.

Предварительное изучение инструкции по установке и настройке электронной цифровой подписи поможет избежать описанных проблемных ситуаций. Если у вас всё равно возникают сложности при работе с ЭЦП, вы можете обратиться к профессионалам нашей компании.

Электронная подпись - это математическая схема, предназначенная для отображения подлинности электронных сообщений либо документов. Действительная цифровая подпись предоставляет все основания для получателя полагать, что сообщение было создано с помощью известного отправителя, что оно действительно отправлено (аутентификация и безотказность), а также то, что письмо не изменили в процессе передачи (целостность).

Отвечая на вопрос: «ЭЦП - что это такое?» - стоит отметить, что являются стандартным элементом большинства криптографических наборов протоколов и обычно используются для распространения ПО, совершения финансовых операций, а также во многих иных случаях, когда это важно для определения подделки или фальсификации.

Цифровые подписи зачастую применяются для реализации электронных подписей. Это более широкий термин, который относится к любым данным электронного типа. Вместе с тем не каждая электронная подпись является цифровой.

Цифровые подписи используют асимметричную криптографию. Во многих случаях они обеспечивают определенный уровень проверки и безопасности для сообщений, которые были отправлены по незащищенному каналу. Будучи правильно реализованной, цифровая подпись позволяет полагать, что сообщение было отправлено с помощью заявленного отправителя. Цифровые печати и подписи эквивалентны собственноручным подписям и реальным печатям.

ЭЦП - что это такое?

Цифровые подписи подобны традиционным собственноручным подписям во многих отношениях, при этом их труднее подделать, чем рукописные. Цифровые схемы подписи имеют криптографические основы и должны быть выполнены должным образом, чтобы не потерять эффективность. Как подписать документ ЭЦП? Нужно использовать 2 парных криптоключа.

ЭЦП могут также реализовать принцип безотказности. Это означает, что подписчик не может успешно утверждать, что он не подписывал сообщение. Кроме того, некоторые схемы предлагают временную метку для цифровой подписи и даже если закрытый ключ подвергается воздействию, подпись остается действительной. ЭЦП могут быть представлены в виде битовой строки и могут быть применены в электронной почте, контрактах или сообщении, отправленном с помощью какого-либо криптографического протокола.

Криптография с открытым ключом или структура ЭЦП

Что это такое? Цифровая схема подписи включает в себя одновременно три алгоритма.

Алгоритм генерации ключа, выбирающий секретный ключ равномерным и случайным образом из множества возможных частных. Он выдает ключ секретный и идущий с ним в паре открытый.

Алгоритм подписи, который, учитывая сообщение и закрытый ключ, собственно и производит подпись.

Проверочный алгоритм подписи, который учитывает сообщение, открытый ключ и подпись и принимает или же отклоняет отправку письма, определяя подлинность.

Как установить ЭЦП?

Для того чтобы использовать цифровую подпись, необходимо наделить ее двумя основными свойствами. Что же нужно учитывать перед тем, как подписать документ ЭЦП?

Во-первых, подлинность подписи, генерируемой из фиксированного сообщения и секретного ключа, может быть проверена с помощью соответствующей открытой информации.

Во-вторых, должно быть вычислительно неосуществимо подобрать правильную подпись не зная секретного ключа. ЭЦП представляет собой механизм аутентификации, который позволяет создателю сообщения прикрепить код, который действует в качестве подписи.

Применение цифровых подписей

Поскольку современные организации постепенно отходят от бумажных документов с подписями, выполненными чернилами, ЭЦП могут обеспечить дополнительное заверение подлинности и доказательство авторства, идентичности и статуса документа. Кроме того, цифровая подпись может быть средством, подтверждающим информированное согласие и одобрение подписавшей стороны. Таким образом, ЭЦП для физических лиц - реальность.

Аутентификация

Несмотря на то что письма могут включать в себя подробную информацию, не всегда можно достоверно определить отправителя. Цифровые подписи могут быть использованы для аутентификации источника сообщений. Когда секретный ключ ЭЦП привязан к конкретному пользователю, это подтверждает, что сообщение было отправлено именно им. Значение уверенности в том, что отправитель подлинный, особенно очевидна в финансовых сферах.

Целостность

Во многих сценариях отправитель и получатель письма нуждаются в точном подтверждении, что оно не было изменено при передаче. Хотя шифрование скрывает содержимое отправленного объекта, возможно лишь изменить зашифрованное сообщение, без понимания его смысла. Некоторые способны предотвратить это, но не во всех случаях. В любом случае проверка ЭЦП при расшифровке обнаружит нарушение целостности письма.

Однако если сообщение подписано цифровой подписью, любое изменение в нем после подписания дезавуирует подпись. Кроме того, не существует эффективного метода изменить сообщение и произвести новое с действительной подписью, потому что это считается вычислительно невозможным.

Неотрекаемость

Неотрекаемость или невозможность отрицания происхождения письма является важным аспектом в развитии ЭЦП. Что это такое? Это означает, что юридическое лицо, отправившее некоторую информацию, не может в дальнейшем отрицать, что подписало ее. Аналогичным образом доступ к открытому ключу не позволяет злоумышленникам подделывать действительную подпись. Такие же последствия несет и применение ЭЦП для физических лиц.

При этом следует акцентировать внимание на том, что все свойства подлинности, безотказности и т.д. зависят от секретного ключа, который не должен быть отозван до его использования. Открытые ключи также должны быть аннулированы в паре с секретными после использования. Проверка ЭЦП на предмет «отзыва» происходит по определенному запросу.

Ввод секретного ключа на смарт-карте

Все криптосистемы, функционирующие на принципах использования открытого/закрытого ключа, полностью зависят от содержания данных в секрете. Секретный ключ ЭЦП может храниться на компьютере пользователя и быть защищен локальным паролем. Однако такой способ имеет два недостатка:

• пользователь может подписывать документы исключительно на данном конкретном компьютере;
• безопасность секретного ключа полностью зависит от безопасности компьютера.

Более надежная альтернатива для хранения секретного ключа - смарт-карта. Многие смарт-карты оснащены защитой от несанкционированного вмешательства.

Как правило, пользователь должен активировать свою смарт-карту, введя персональный идентификационный номер или PIN-код (таким образом обеспечивая Это может быть устроено так, что закрытый ключ никогда не покидает смарт-карту, хотя это не всегда реализуется в криптопро ЭЦП.

Если смарт-карта украдена, злоумышленнику будет по-прежнему нужен PIN-код для создания цифровой подписи. Это несколько снижает безопасность данной схемы. Смягчающим фактором является то, что сгенерированные ключи, если они хранятся на смарт-картах, как правило, трудно скопировать, предполагается, что они существуют только в одном экземпляре. Таким образом, когда потеря смарт-карты будет обнаружена владельцем, соответствующий сертификат может быть немедленно отозван. Закрытые ключи, защищенные только программным обеспечением, проще скопировать, и такие утечки гораздо труднее обнаружить. Поэтому использование ЭЦП без дополнительной защиты небезопасно.