Применение квалифицированной подписи в электронном документообороте

1. Применение квалифицированной подписи в электронном документообороте Сергей Белов, Алексей Сабанов, ЗАО «Аладдин Р.Д.»

2. Текущее состояние • Непрерывный рост количества информационных систем с применением ЭЦП, внедряемых в различных организациях; • Более 800 тысяч сертификатов ключей ЭЦП; • Более 400 Удостоверяющих центров; • Интенсивное строительство ведомственных систем доверительного пространства; • Отсутствие единых требований к архитектуре, технологических платформах, системному и прикладному программному обеспечению, сервисам безопасности, регламентам и т.п.; • Разнообразие установленных систем документооборота и средств защиты.

3. Пример: разнообразие систем • «Дело» (Электронные офисные системы); • «ЕВФРАТ-Документооборот» (Cognitive Technologies); • Documentum (EMC Documentum); • «1С Архив» («1С»); • «Босс-Референт» («АйТи»); • LanDocs (ЛАНИТ); • Office Media, Company Media («ИнтерТраст»); • Directum (Directum); • «Парус» («Парус»); • DocsVision (DocsVision); • OPTIMA-WorkFlow (ОПТИМА); • Самописные системы.

4. Проблемы защиты систем ДОУ • Недостатки законодательства и необходимых подзаконных актов; • Отсутствие стандартов; • Отсутствие единых требований – проблема унификации электронного документооборота, в том числе, с сервисами безопасности; • Отсутствие системного подхода к организации взаимодействия ведомственных УЦ в целях формирования единого пространства доверия, в частности, не решен вопрос о юридической значимости при межведомственном обмене электронного документооборота; • Проблемы трансграничного обмена электронными документами; • Проблема хранения в тайне закрытого ключа как неотъемлемой части цепочки доверия.

5. Доверенная третья сторона (ДТС) • состоит из УЦ, взаимодействующих с ФУЦ; • должна образовывать «гарантированный» домен доверия, т.е. гарантировать, что сообщения своевременно передаются с обеспечением целостности, подлинности и авторства; • существуют методы подготовки и доставки требуемых свидетельств, позволяющих восстановить ретроспективный ход событий; • УЦ формирует легитимные сертификаты – привязка уникальной информации о пользователе к открытому ключу • УЦ идентифицирует пользователя и проверяет наличие секретного ключа в защищенном устройстве

6. Цитата из доклада М.Игнатьевой «Электронное государство» в части предоставления государственных услуг населению и организациям в Российской Федерации 1.3. Нормативная правовая составляющая (законодательство РФ) 1.1 Технологическая составляющая (информационно-технологические системы) 1.2. Организационно-распорядительная составляющая (электронные регламенты) 1.1.1. Общая информационно-технологическая инфраструктура, образующая российский национальный домен доверия и выполняющая функции Доверенной третьей стороны (ДТС) Технология ДТС (Х842, Х843)- 1.Придание юридической значимости процедурам электронного документооборота при предоставлении услуг и межведомственном взаимодействии 2.В функции ДТС входят: технология ЭЦП, служба доверенного времени, подтверждение значимости событий, доверенное хранение информации Домен доверия – информационное пространство, признающее единые политики и правила взаимодействия с использованием ЭЦП

7. Юридически-значимый обмен документами

8. Юридически-значимый обмен документами

9. Юридически-значимый обмен документами Домен доверия: сегодня все говорят только об УЦ и сертификатах. Вопрос: кто должен нести ответственность за хранение закрытого ключа?

10. ФЗ-1 «Закон об ЭЦП» ... Статья 12. Обязательства владельца сертификата ключа подписи1. Владелец сертификата ключа подписи обязан:не использовать для электронной цифровой подписи открытые и закрытые ключи электронной цифровой подписи, если ему известно, что эти ключи используются или использовались ранее;хранить в тайне закрытый ключ электронной цифровой подписи;немедленно требовать приостановления действия сертификата ключа подписи при наличии оснований полагать, что тайна закрытого ключа электронной цифровой подписи нарушена. З А К О Н У К Р А Ї Н ИПро електронний цифровий підпис ...Стаття 7. Права та обов'язки підписувача Підписувач зобов'язаний: • зберігати особистий ключ у таємниці; • надавати центру сертифікації ключів дані згідно з вимогами статті 6 цього Закону для засвідчення чинності відкритого ключа; • своєчасно надавати центру сертифікації ключів інформацію про зміну даних, відображених у сертифікаті ключа.

11. Зрелость технологий и рынка

12. Развитие модельного ряда eToken

13. Новые модели eToken

14. eToken нового поколения. Архитектура

15. eToken нового поколения. Устройство

16. Процедуры, использующие закрытый ключ • выработка ЭЦП в соответствии с алгоритмом ГОСТ Р34.10-2001; • генерация закрытого ключа формирования ЭЦП; • выработка ключа проверки ЭЦП по ключу формирования ЭЦП в соответствии с алгоритмом ГОСТ Р34.10-2001; • выработка ключа аутентификации на основе открытых ключей ГОСТ Р 34.10-2001 согласно RFC 4357. Electronic signatures Advanced electronic signatures Qualified signatures

17. Дополнительные функции безопасности • Наличие у пользователя прав доступа к данным и процедурам, хранящимся в памяти eToken подтверждаетсяпутем предъявления пароля (PIN-кода) • Генерация закрытых ключей в eToken с использованием физического датчика • Проверка корректности каждой сформированной в eToken ЭЦП с использованием сертифицированного СКЗИ "КриптоПро-CSP"

18. Что вы получаете от использования защищенного устройства • «сертифицированную» защиту ключа • отсутствие необходимости доработки вашей системы • возможность использования ЭЦП в международном документообороте • возможность одновременного использования для строгой двухфакторной аутентификации

19. Благодарю за внимание! Подробности на сайте www.aladdin.ru