Электронная цифровая подпись (ЭЦП) – что это такое, порядок получения и регистрации для физических и юридических лиц. Электронная цифровая подпись

Тема «Электронная цифровая подпись»

1. Понятие электронной цифровой подписи и ее техническое обеспечение

2. Организационное и правовое обеспечение электронной цифровой подписи.

1.Понятие электронной цифровой подписи и ее техническое

обеспечение

В мире электронных документов подписание файла с помощью графических символов теряет смысл, так как подделать и скопировать графический символ можно бесконечное количество раз. Электронная Цифровая Подпись (ЭЦП) является полным электронным аналогом обычной подписи на бумаге, но реализуется не с помощью графических изображений, а с помощью математических преобразований над содержимым документа.

Особенности математического алгоритма создания и проверки ЭЦП гарантируют невозможность подделки такой подписи посторонними лицами,

ЭЦП – реквизит электронного документа, предназначенный для защиты данного документа от подделки, полученный в результате криптографического преобразования информации с использованием закрытого ключа ЭЦП и позволяющий идентифицировать владельца ключа, а

также установить отсутствие искажения информации в электронном документе.

ЭЦП представляет собой определенную последовательность символов,

которая формируется в результате преобразования исходного документа (или любой другой информации) при помощи специального программного обеспечения. ЭЦП добавляется к исходному документу при пересылке. ЭЦП является уникальной для каждого документа и не может быть перенесена на другой документ. Невозможность подделки ЭЦП обеспечивается значительным количеством математических вычислений, необходимых для

её подбора. Таким образом, при получении документа, подписанного ЭЦП,

Применение ЭЦП обеспечивает: простое разрешение спорных ситуаций (регистрация всех действий участника системы во времени),

невозможность изменения заявки участника до даты окончания закупки.

Кроме того, ЭЦП способствует: снижению затрат на пересылку документов, быстрому доступу к торгам, проходящим в любой точке России.

Пользоваться электронной подписью достаточно просто. Никаких специальных знаний, навыков и умений для этого не потребуется. Каждому пользователю ЭЦП, участвующему в обмене электронными документами,

генерируются уникальные открытый и закрытый (секретный)

криптографические ключи.

Закрытый ключ – это закрытый уникальный набор информации объемом 256 бит, хранится в недоступном другим лицам месте на дискете,

смарт-карте, ru-token. Работает закрытый ключ только в паре с открытым

Открытый ключ - используется для проверки ЭЦП получаемых документов/файлов. Технически это набор информации объемом 1024 бита.

Открытый ключ передается вместе с Вашим письмом, подписанным ЭЦП.

Дубликат открытого ключа направляется в Удостоверяющий Центр, где создана библиотека открытых ключей ЭЦП. В библиотеке Удостоверяющего Центра обеспечивается регистрация и надежное хранение открытых ключей во избежание попыток подделки или внесения искажений.

Вы устанавливает под электронным документом свою электронную цифровую подпись. При этом на основе секретного закрытого ключа ЭЦП и содержимого документа путем криптографического преобразования вырабатывается некоторое большое число, которое и является электронно-

цифровой подписью данного пользователя под данным конкретным документом. Это число добавляется в конец электронного документа или сохраняется в отдельном файле.

В подпись, в том числе, записывается следующая информация: имя

файла открытого ключа подписи, информация о лице, сформировавшем подпись, дата формирования подписи.

Пользователь, получивший подписанный документ и имеющий открытый ключ ЭЦП отправителя на основании текста документа и открытого ключа отправителя выполняет обратное криптографическое преобразование, обеспечивающее проверку электронной цифровой подписи отправителя. Если ЭЦП под документом верна, то это значит, что документ действительно подписан отправителем и в текст документа не внесено никаких изменений. В противном случае будет выдаваться сообщение, что сертификат отправителя не является действительным.

Термины и Определения: Электронный документ - документ, в

котором информация представлена в электронно-цифровой форме.

Владелец сертификата ключа подписи - физическое лицо, на имя которого удостоверяющим центром выдан сертификат ключа подписи и которое владеет соответствующим закрытым ключом электронной цифровой подписи, позволяющим с помощью средств электронной цифровой подписи создавать свою электронную цифровую подпись в электронных документах

(подписывать электронные документы).

Средства электронной цифровой подписи - аппаратные и (или)

программные средства, обеспечивающие реализацию хотя бы одной из следующих функций - создание электронной цифровой подписи в электронном документе с использованием закрытого ключа электронной цифровой подписи, подтверждение с использованием открытого ключа электронной цифровой подписи подлинности электронной цифровой подписи в электронном документе, создание закрытых и открытых ключей электронных цифровых подписей.

Сертификат средств электронной цифровой подписи - документ на бумажном носителе, выданный в соответствии с правилами системы сертификации для подтверждения соответствия средств электронной цифровой подписи установленным требованиям.

Сертификат ключа подписи - документ на бумажном носителе или электронный документ с электронной цифровой подписью уполномоченного лица удостоверяющего центра, которые включают в себя открытый ключ электронной цифровой подписи и которые выдаются удостоверяющим центром участнику информационной системы для подтверждения подлинности электронной цифровой подписи и идентификации владельца сертификата ключа подписи.

Пользователь сертификата ключа подписи - физическое лицо,

использующее полученные в удостоверяющем центре сведения о сертификате ключа подписи для проверки принадлежности электронной цифровой подписи владельцу сертификата ключа подписи.

Информационная система общего пользования - информационная система, которая открыта для использования всеми физическими и юридическими лицами и в услугах которой этим лицам не может быть отказано.

Корпоративная информационная система - информационная система, участниками которой может быть ограниченный круг лиц,

определенный ее владельцем или соглашением участников этой

информационной системы.

Удостоверяющий центр - юридическое лицо, выполняющее функции по: изготовлению сертификатов ключей подписей, созданию ключей электронных цифровых подписей по обращению участников информационной системы с гарантией сохранения в тайне закрытого ключа электронной цифровой подписи, приостановлению и возобновлению действие сертификатов ключей подписей, а также аннулированию их,

ведению реестра сертификатов ключей подписей, обеспечению его актуальности и возможности свободного доступа к нему участников информационных систем, проверке уникальности открытых ключей электронных цифровых подписей в реестре сертификатов ключей подписей и архиве удостоверяющего центра, выдаче сертификатов ключей подписей в форме документов на бумажных носителях и (или) в форме электронных

документов с информацией об их действии, осуществлению по обращениям пользователей сертификатов ключей подписей подтверждения подлинности электронной цифровой подписи в электронном документе в отношении выданных им сертификатов ключей подписей, предоставлению участникам информационных систем иных связанных с использованием электронных цифровых подписей услуг.

При этом удостоверяющий центр должен обладать необходимыми материальными и финансовыми возможностями, позволяющими ему нести гражданскую ответственность перед пользователями сертификатов ключей подписей за убытки, которые могут быть понесены ими вследствие недостоверности сведений, содержащихся в сертификатах ключей подписей.

2. Организационное и правовое обеспечение электронной

цифровой подписи.

Правовое обеспечение электронной цифровой подписи следует понимать не только как совокупность нормативно-правовых актов,

обеспечивающих правовой режим ЭЦП и средств ЭЦП. Это гораздо более широкое понятие. Оно лишь начинается с государственного закона об электронной цифровой подписи, но развивается далее и впоследствии охватывает все теоретические и практические вопросы, связанные с электронной коммерцией вообще.

Первый в мире закон об электронной цифровой подписи был принят в марте 1995 г. Законодательным собранием штата Юта (США) и утвержден Губернатором штата.

Закон получил название Utah Digital Signature Act. Ближайшими последователями штата Юта стали штаты Калифорния, Флорида, Вашингтон,

где вскоре тоже были приняты соответствующие законодательные акты.

В качестве основных целей первого закона об электронной подписи были провозглашены:

Минимизация ущерба от событий незаконного использования и подделки электронной цифровой подписи;

обеспечение правовой базы для деятельности систем и органов сертификации и верификации документов, имеющих электронную природу;

правовая поддержка электронной коммерции (коммерческих операций, совершаемых с использованием средств вычислительной техники);

придание правового характера некоторым техническим стандартам,

ранее введенным Международным союзом связи (ITU - International Telecommunication Union) и Национальным институтом стандартизации США (ANSI - American National Standards Institute), а также рекомендациям Наблюдательного совета Интернета (IAB - Internet Activity Board),

выраженным в документах RFC 1421 - RFC 1424.

Закон состоит из пяти частей:

В первой части вводятся основные понятия и определения, связанные с использованием ЭЦП и функционированием средств ЭЦП. Здесь же рассматриваются формальные требования к содержательной части электронного сертификата, удостоверяющего принадлежность открытого ключа юридическому или физическому лицу.

Вторая часть закона посвящена лицензированию и правовому регулированию деятельности центров сертификации.

Прежде всего, здесь оговорены условия, которым должны удовлетворять физические и юридические лица для получения соответствующей лицензии, порядок ее получения, ограничения лицензии и условия ее отзыва. Важным моментом данного раздела являются условия признания действительности сертификатов, выданных нелицензированными удостоверителями, если участники электронной сделки выразили им совместное доверие и отразили его в своем договоре. Фактически здесь закрепляется правовой режим сетевой модели сертификации, рассмотренной нами выше.

В третьей части закона сформулированы обязанности центров сертификации и владельцев ключей. В частности, здесь рассмотрены:

порядок выдачи сертификата;

порядок предъявления сертификата и открытого ключа;

условия хранения закрытого ключа;

действия владельца сертификата при компрометации закрытого

порядок отзыва сертификата;

срок действия сертификата;

условия освобождения центра сертификации от ответственности за неправомерное использование сертификата и средств ЭЦП;

порядок создания и использования страховых фондов,

предназначенных для компенсации ущерба третьим лицам, возникшего в результате неправомочного применения ЭЦП.

Четвертая часть закона посвящена непосредственно цифровой подписи.

Ее основное положение заключается в том, что документ, подписанный цифровой подписью, имеет ту же силу, что и обычный документ,

подписанный рукописной подписью.

В пятой части закона рассмотрены вопросы взаимодействия центров сертификации с административными органами власти, а также порядок функционирования так называемых репозитариев - электронных баз данных, в которых хранятся сведения об изданных и отозванных сертификатах.

В целом закон об ЭЦП штата Юта отличается от других аналогичных правовых актов высокой подробностью.

Германский закон об электронной подписи (Signaturgesetz) был введен в действие в 1997 г. и стал первым европейским законодательным актом такого рода. Целью закона объявлено создание общих условий для такого применения электронной подписи, при котором ее подделка или фальсификация подписанных данных могут быть надежно установлены.

В Законе прослеживаются следующие основные направления:

установление четких понятий и определений;

подробное регулирование процедуры лицензирования органов сертификации и процедуры сертификации открытых ключей пользователей средств ЭЦП (правовой статус, порядок функционирования центров

сертификации, их взаимодействие с государственными органами и другими центрами сертификации, требования к сертификату открытого ключа электронной подписи);

Рассмотрение вопросов защищенности цифровой подписи и данных,

подписанных с ее помощью, от фальсификации;

Порядок признания действительности сертификатов открытых ключей.

По своему духу германский Закон об электронной подписи является регулирующим.

В отличие от аналогичного закона Германии, Федеральный Закон об электронной подписи США является координирующим правовым актом. Это связано с тем, что ко времени его принятия соответствующее регулирующее законодательство уже сложилось в большинстве отдельных штатов.

Как видно из названия Закона (Electronic Signatures in Global and National Commerce Act), его основное назначение состоит в обеспечении правового режима цифровой электронной подписи в электронной коммерции. Подписание Закона Президентом США состоялось в день национального праздника - 4 июля 2000 г. (День независимости), что должно придать этому законодательному акту особое значение. По мнению обозревателей принятие данного закона символизирует вступление человечества в новую эру - эру электронной коммерции.

ответственных за функционирование ее инфраструктуры. Не сосредоточиваясь на конкретных правах и обязанностях центров сертификации, которым уделяется особое внимание в законодательствах других стран, Федеральный Закон США относит их к понятию инфраструктура ЭЦП и в самых общих чертах оговаривает взаимодействие элементов этой структуры с правительственными органами.

В России с основными положениями Федерального Закона об

электронной подписи можно познакомиться на примере проекта. Согласно проекту, Закон состоит из пяти глав и содержит более двадцати статей.

В первой главе рассмотрены общие положения, относящиеся к Закону.

Как и аналогичные законы других государств, российский законопроект опирается на несимметричную криптографию. Основной целью Закона провозглашается обеспечение правовых условий для применения ЭЦП в электронном документообороте и реализации услуг по удостоверению ЭЦП участников договорных отношений.

Во второй главе рассмотрены принципы и условия использования электронной подписи. Здесь, во-первых, выражена возможность, а во-вторых,

приведены условия равнозначности рукописной и электронной подписи.

Кроме того, особо акцентировано внимание на характерных преимуществах ЭЦП:

лицо может иметь неограниченное количество закрытых ключей ЭЦП, то есть, создать себе разные электронные подписи и использовать их в разных условиях;

все экземпляры документа, подписанные ЭЦП, имеют силу оригинала.

Проект российского Закона предусматривает возможность ограничения сферы применения ЭЦП. Эти ограничения могут накладываться федеральными законами, а также вводиться самими участниками электронных сделок и отражаться в договорах между ними.

Интересно положение статьи о средствах ЭЦП, в которой закрепляется утверждение о том, что «средства ЭЦП не относятся к средствам,

обеспечивающим конфиденциальность информации». На самом деле это не совсем так. По своей природе средства ЭЦП, основанные на механизмах несимметричной криптографии, конечно же, могут использоваться для защиты информации. Возможно, это положение включено для того, чтобы избежать коллизий с другими нормативными актами, ограничивающими применение средств криптографии в обществе.

Важным отличием от аналогичных законов других государств является

положение российского законопроекта о том, что владелец закрытого ключа несет ответственность перед пользователем соответствующего открытого ключа за убытки, возникающие в случае ненадлежащим образом организованной охраны закрытого ключа.

Еще одной отличительной чертой российского законопроекта является список требований к формату электронного сертификата. Наряду с общепринятыми полями, рассмотренными нами выше, российский законодатель требует обязательного включения в состав сертификата наименования средств ЭЦП, с которыми можно использовать данный открытый ключ, номер сертификата на это средство и срок его действия,

наименование и юридический адрес центра сертификации, выдавшего данный сертификат, номер лицензии этого центра и дату ее выдачи. В

зарубежном законодательстве и в международных стандартах мы не находим требований столь подробного описания программного средства ЭЦП, с

помощью которого генерировался открытый ключ. По-видимому, это требование российского законопроекта продиктовано интересами безопасности страны.

Массовое применение программного обеспечения, исходный код которого не опубликован и потому не может быть исследован специалистами, представляет общественную угрозу. Это относится не только к программным средствам ЭЦП, но и вообще к любому программному обеспечению, начиная с операционных систем и заканчивая прикладными программами.

В третьей главе рассмотрен правовой статус центров сертификации (в

терминологии законопроекта - удостоверяющих центров открытых ключей электротой подписи). В России оказание услуг по сертификации электронной подписи является лицензируемым видом деятельности, которым могут заниматься только юридические лица. Удостоверение электронной подписи государственных учреждений могут осуществлять только государственные удостоверяющие центры.

По своему характеру структура органов сертификации -

Электронная подпись - это математическая схема, предназначенная для отображения подлинности электронных сообщений либо документов. Действительная цифровая подпись предоставляет все основания для получателя полагать, что сообщение было создано с помощью известного отправителя, что оно действительно отправлено (аутентификация и безотказность), а также то, что письмо не изменили в процессе передачи (целостность).

Отвечая на вопрос: «ЭЦП - что это такое?» - стоит отметить, что являются стандартным элементом большинства криптографических наборов протоколов и обычно используются для распространения ПО, совершения финансовых операций, а также во многих иных случаях, когда это важно для определения подделки или фальсификации.

Цифровые подписи зачастую применяются для реализации электронных подписей. Это более широкий термин, который относится к любым данным электронного типа. Вместе с тем не каждая электронная подпись является цифровой.

Цифровые подписи используют асимметричную криптографию. Во многих случаях они обеспечивают определенный уровень проверки и безопасности для сообщений, которые были отправлены по незащищенному каналу. Будучи правильно реализованной, цифровая подпись позволяет полагать, что сообщение было отправлено с помощью заявленного отправителя. Цифровые печати и подписи эквивалентны собственноручным подписям и реальным печатям.

ЭЦП - что это такое?

Цифровые подписи подобны традиционным собственноручным подписям во многих отношениях, при этом их труднее подделать, чем рукописные. Цифровые схемы подписи имеют криптографические основы и должны быть выполнены должным образом, чтобы не потерять эффективность. Как подписать документ ЭЦП? Нужно использовать 2 парных криптоключа.

ЭЦП могут также реализовать принцип безотказности. Это означает, что подписчик не может успешно утверждать, что он не подписывал сообщение. Кроме того, некоторые схемы предлагают временную метку для цифровой подписи и даже если закрытый ключ подвергается воздействию, подпись остается действительной. ЭЦП могут быть представлены в виде битовой строки и могут быть применены в электронной почте, контрактах или сообщении, отправленном с помощью какого-либо криптографического протокола.

Криптография с открытым ключом или структура ЭЦП

Что это такое? Цифровая схема подписи включает в себя одновременно три алгоритма.

Алгоритм генерации ключа, выбирающий секретный ключ равномерным и случайным образом из множества возможных частных. Он выдает ключ секретный и идущий с ним в паре открытый.

Алгоритм подписи, который, учитывая сообщение и закрытый ключ, собственно и производит подпись.

Проверочный алгоритм подписи, который учитывает сообщение, открытый ключ и подпись и принимает или же отклоняет отправку письма, определяя подлинность.

Как установить ЭЦП?

Для того чтобы использовать цифровую подпись, необходимо наделить ее двумя основными свойствами. Что же нужно учитывать перед тем, как подписать документ ЭЦП?

Во-первых, подлинность подписи, генерируемой из фиксированного сообщения и секретного ключа, может быть проверена с помощью соответствующей открытой информации.

Во-вторых, должно быть вычислительно неосуществимо подобрать правильную подпись не зная секретного ключа. ЭЦП представляет собой механизм аутентификации, который позволяет создателю сообщения прикрепить код, который действует в качестве подписи.

Применение цифровых подписей

Поскольку современные организации постепенно отходят от бумажных документов с подписями, выполненными чернилами, ЭЦП могут обеспечить дополнительное заверение подлинности и доказательство авторства, идентичности и статуса документа. Кроме того, цифровая подпись может быть средством, подтверждающим информированное согласие и одобрение подписавшей стороны. Таким образом, ЭЦП для физических лиц - реальность.

Аутентификация

Несмотря на то что письма могут включать в себя подробную информацию, не всегда можно достоверно определить отправителя. Цифровые подписи могут быть использованы для аутентификации источника сообщений. Когда секретный ключ ЭЦП привязан к конкретному пользователю, это подтверждает, что сообщение было отправлено именно им. Значение уверенности в том, что отправитель подлинный, особенно очевидна в финансовых сферах.

Целостность

Во многих сценариях отправитель и получатель письма нуждаются в точном подтверждении, что оно не было изменено при передаче. Хотя шифрование скрывает содержимое отправленного объекта, возможно лишь изменить зашифрованное сообщение, без понимания его смысла. Некоторые способны предотвратить это, но не во всех случаях. В любом случае проверка ЭЦП при расшифровке обнаружит нарушение целостности письма.

Однако если сообщение подписано цифровой подписью, любое изменение в нем после подписания дезавуирует подпись. Кроме того, не существует эффективного метода изменить сообщение и произвести новое с действительной подписью, потому что это считается вычислительно невозможным.

Неотрекаемость

Неотрекаемость или невозможность отрицания происхождения письма является важным аспектом в развитии ЭЦП. Что это такое? Это означает, что юридическое лицо, отправившее некоторую информацию, не может в дальнейшем отрицать, что подписало ее. Аналогичным образом доступ к открытому ключу не позволяет злоумышленникам подделывать действительную подпись. Такие же последствия несет и применение ЭЦП для физических лиц.

При этом следует акцентировать внимание на том, что все свойства подлинности, безотказности и т.д. зависят от секретного ключа, который не должен быть отозван до его использования. Открытые ключи также должны быть аннулированы в паре с секретными после использования. Проверка ЭЦП на предмет «отзыва» происходит по определенному запросу.

Ввод секретного ключа на смарт-карте

Все криптосистемы, функционирующие на принципах использования открытого/закрытого ключа, полностью зависят от содержания данных в секрете. Секретный ключ ЭЦП может храниться на компьютере пользователя и быть защищен локальным паролем. Однако такой способ имеет два недостатка:

• пользователь может подписывать документы исключительно на данном конкретном компьютере;
• безопасность секретного ключа полностью зависит от безопасности компьютера.

Более надежная альтернатива для хранения секретного ключа - смарт-карта. Многие смарт-карты оснащены защитой от несанкционированного вмешательства.

Как правило, пользователь должен активировать свою смарт-карту, введя персональный идентификационный номер или PIN-код (таким образом обеспечивая Это может быть устроено так, что закрытый ключ никогда не покидает смарт-карту, хотя это не всегда реализуется в криптопро ЭЦП.

Если смарт-карта украдена, злоумышленнику будет по-прежнему нужен PIN-код для создания цифровой подписи. Это несколько снижает безопасность данной схемы. Смягчающим фактором является то, что сгенерированные ключи, если они хранятся на смарт-картах, как правило, трудно скопировать, предполагается, что они существуют только в одном экземпляре. Таким образом, когда потеря смарт-карты будет обнаружена владельцем, соответствующий сертификат может быть немедленно отозван. Закрытые ключи, защищенные только программным обеспечением, проще скопировать, и такие утечки гораздо труднее обнаружить. Поэтому использование ЭЦП без дополнительной защиты небезопасно.