Введение в криптографию с открытым ключом. Просто об электронной подписи Электронная цифровая подпись устанавливает информации

Здравствуйте! Электронный документооборот во всем мире постепенно вытесняет бумажный. В этом и кроется ответ на вопрос о том, для чего нужна электронная подпись.

В соответствии с п. 2 ст. 434 ГК РФ договор в письменной форме может быть заключен путем путем обмена электронными документами, передаваемыми по каналам связи, позволяющими достоверно установить, что документ исходит от стороны по договору.

Поэтому неотъемлемой частью современного законодательства являются положения об электронной подписи.

Многие до сих пор используют понятие «электронная цифровая подпись», хотя это не совсем верно. Федеральный закон от 10.01.2002 № 1-ФЗ «Об электронной цифровой подписи» утратил силу в 2013 году.

Сейчас действует Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи» (далее — Закон об ЭП).

Некоторое время существовал переходный период, когда действовали оба закона.

Разница между понятиями «электронная подпись» и «электронная цифровая подпись» не только в названии. Это разные технические и методологические подходы к средствам идентификации лиц в электронной среде.

Понятие и виды электронной подписи

Более широким понятием является «электронная подпись». В ее качестве может выступать любое обозначение, которое использует лицо с намерением подписать документ.

Технические решения могут быть как очень простыми, например, вставка в электронный документ отсканированной собственноручной подписи, так и сложными, основанными на криптографических способах защиты информации от подделки.

Электронная цифровая подпись – это разновидность электронной подписи, в которой используются криптографические технологии, которые обеспечивают не только идентификацию, но и целостность сообщения.

Условно выделяют три подхода к регулированию электронных подписей:

1. Регулирование привязывается к определенной технологии, которая считается достаточно надежной. Речь в таких случаях идет именно об электронных цифровых подписях. Этот подход использовался в России раньше. Сейчас он применяется, например, в Германии, Италии.
2. Регулирование максимально нейтрально к технологиям, которые можно использовать. Стороны сами определяют технологию, используемую для создания электронной подписи, и степень ее надежности. Этот подход используется в США и Канаде.
3. Сочетание двух указанных подходов. В принципе допускается использование различных технологий, но устанавливается особый привилегированный вид электронных подписей, отвечающий определенным требованиям. Такой подход используется в России сейчас.

Согласно ст. 2 Закона об ЭП электронная подпись – это информация в электронной форме, которая присоединена к другой информации в электронной форме (подписываемой информации) или иным образом связана с такой информацией и которая используется для определения лица, подписывающего информацию.

Закон выделяет три вида электронных подписей:

1. Простая электронная подпись.
2. Усиленная неквалифицированная электронная подпись.
3. Усиленная квалифицированная электронная подпись.

Особо стоит отметить, что ст. 4 Закона об ЭП закрепляет право использовать электронную подпись любого вида по своему усмотрению за исключением случаев, когда законодательство предписывает использовать в определенных случаях конкретный вид подписи.

Теперь поговорим подробнее о каждом виде.

Простая электронная подпись

Такая электронная подпись создается посредством использования кодов, паролей или иных средств и подтверждает факт её формирования определенным лицом.

Под это понятие подпадает:

• использование логина и пароля для входа в личный кабинет сайта;
• использование одноразовых паролей, высылаются в SMS-сообщении при совершении транзакции;
• использование адреса электронной почты в качестве идентификатора.

1. Она содержится в самом электронном документе.
2. Ключ простой электронной подписи применяется в соответствии с правилами, установленными оператором информационной системы, в рамках использования которой документ создан и отправлен. При этом в документе должно быть указано лицо, которое его создало и отправило.

Сейчас многие делают покупки в интернет-магазинах. Обычно для оформления заказа нужно зарегистрироваться на его сайте, что подразумевает создание логина и пароля для входа в личный кабинет.

Именно логин и пароль являются ключами простой электронной подписи. При оформлении заказа формируется электронный документ, в котором информационная система интернет-магазина указывает лицо, которое создало и отправило продавцу заказ. Это указание и является простой электронной подписью.

Обратите внимание, логин и пароль – это не сама электронная подпись, а ключи, с помощью которых подпись генерируется.

Можно ли использовать простую электронную подпись для заключения договора?

В соответствии с ч. 2 ст. 6 Закона об ЭП электронный документ, подписанный простой электронной подписью, признается равнозначным бумажному, подписанному собственноручной подписью только в случае прямого указания закона или соглашения между участниками электронного взаимодействия.

Пока что законодательство предусматривает два случая, когда по юридической силе документ, подписанный простой электронной подписью приравнен к бумажному документу, подписанному собственноручной подписью:

1. Использовать простую электронную подпись можно при направлении запроса и иных документов, необходимых для предоставления государственной или муниципальной услуги (ч. 3 ст. 21.2 Федерального закона от 27.07.2010 № 210-ФЗ «Об организации предоставления государственных и муниципальных услуг»). Этим видом подписи мы пользуемся на портале «Госуслуг».
2. Эту подпись может использовать страхователь, отправляя страховщику информацию в электронной форме при добровольном страховании (ч. 2 ст. 6.1 Закона РФ от 27.11.1992 № 4015-1 «Об организации страхового дела в Российской Федерации»).

Про возможность заключения договоров с использованием простой электронной подписи законодательство молчит. Поэтому использовать ее можно при наличии соглашения сторон.

Толковать это можно не только, как требование об обязательном заключении письменного соглашения, которое допускает дальнейший обмен электронными документами, подписанными простой электронной подписью.

Главное, чтобы соглашение имело место, признавалось всеми участниками электронного взаимодействия и соответствовало гражданскому законодательству.

Если в ответ на оферту (предложение заключить договор) , направленную в электронной форме с использованием простой электронной подписи, направлен акцепт (принятие предложения о заключении договора) тоже в электронной форме с такой же подписью или в порядке, предписанном офертой, то это тоже может свидетельствовать о достижении соглашения путем совершения конклюдентных действий.

В целом примерно это и происходит при заказе товара в интернет-магазине - перед регистрацией в личном кабинете обычно просят проставить отметку в чекбоксе, свидетельствующую о согласии покупателя с офертой.

Основной недостаток такой электронной подписи - она не позволяет установить неизменность электронного документа после его подписания. При ее создании не используются криптографические технологии.

При покупке товара в интернет-магазине связка «логин - пароль» и электронный документ, содержащий информацию о заказе, не связаны средствами криптографического преобразования информации. Хотя в приведенном примере это особо и не требуется. Форма заказа на сайте содержит все существенные условия договора, а риск их недобросовестного изменения невелик.

Усиленная неквалифицированная электронная подпись

Неквалифицированная электронная подпись (НЭП) создается в результате криптографического преобразования информации с использованием ключа электронной подписи.

Эта подпись позволяет не только определить лицо, которое подписало документ, то и обнаружить факт внесения изменений в этот документ после подписания.

В отличие от простой электронной подписи неквалифицированная помимо идентифицирующей функции выполняет еще и защитную.

На этом ее преимущества заканчиваются.

Для признания документа, подписанного НЭП, равнозначным бумажному тоже необходимо либо указание закона, либо урегулирование этого момента в соглашении сторон.

Но технически эта подпись более «продвинутая», соответственно и степень доверия к подписанному ей электронному документу выше. Поэтому неквалифицированную подпись вполне можно использовать в коммерческих отношениях для заключения договоров поставки, подряда, оказания услуг и т. п.

Чаще всего НЭП используется в рамках закрытой информационной системы, с использованием которой работают контрагенты.

Неквалифицированная подпись иногда используется в сфере дистанционного банковского обслуживания. Сертификат ключа проверки подписи выдает банк, который сам же выполняет функции удостоверяющего центра.

Для обработки транзакций не требуется вовлекать посторонний удостоверяющий центр, а защитная функция подписи позволяет зафиксировать документ на определенный момент времени и отследить в случае необходимости несанкционированные изменения.

Усиленная квалифицированная электронная подпись

Этот вид подписи соответствует всем признакам неквалифицированной электронной подписи и характеризуется наличием дополнительных:

1. Ключ проверки подписи указывается в квалифицированном сертификате, который выдается аккредитованным удостоверяющим центром.
2. Для создания и проверки подписи используются средства, имеющие подтверждение соответствия требованиям, установленным Законом об ЭП – они должны быть сертифицированы ФСБ России.

Разница между квалифицированной и неквалифицированной электронной подписью очевидна.

Статус электронного документа, подписанного квалифицированной электронной подписью (КЭП) гораздо выше - в силу ч. 3 ст. 6 Закона об ЭП он признается равнозначным бумажному документу, подписанному собственноручной подписью и заверенному печатью, если только закон прямо не предусматривает исключительно бумажную форму документа.

Презумпция действительности КЭП, которая закреплена Законом об ЭП, может быть опровергнута только в судебном порядке. Презумпция является действительной, если соблюдены 4 условия (ст. 11 Закона об ЭП):

1. Квалифицированный сертификат создан и выдан аккредитованным удостоверяющим центром, аккредитация которого действительна на день выдачи указанного сертификата.
2. Квалифицированный сертификат действителен на момент подписания электронного документа (при наличии достоверной информации о моменте подписания электронного документа) или на день проверки действительности указанного сертификата, если момент подписания электронного документа не определен.
3. Имеется положительный результат проверки принадлежности владельцу квалифицированного сертификата квалифицированной электронной подписи, с помощью которой подписан электронный документ, и подтверждено отсутствие изменений, внесенных в этот документ после его подписания.
4. КЭП используется с учетом ограничений, содержащихся в квалифицированном сертификате лица, подписывающего электронный документ (если такие ограничения установлены, например, по предельной сумме договора или его характеру).

Возможность проверки заинтересованными лицами факта принадлежности «публичного» ключа определенному лицу и надежности используемых для создания КЭП технических средств обеспечивает удостоверяющий центр. Он устанавливает связь между идентифицированным подписавшим документ лицом и конкретным «публичным» ключом.

Чтобы удостоверяющий центр сам пользовался доверием, предусмотрена его обязательная аккредитация, которая означает подтверждение со стороны Минкомсвязи России соответствия центра требованиям ст. 16 Закона об ЭП.

Список аккредитованных удостоверяющих центров можно найти на сайте Минкомсвязи России .

Основная задача удостоверяющего центра - создание сертификата электронной подписи и выдача его заявителю. Для обеспечения привязки сертификата к реальной личности удостоверяющий центр обязан установить личность заявителя. Поэтому квалифицированный сертификат выдается при его личной явке с предъявлением документов, удостоверяющих личность.

Сертификат ключа проверки электронной подписи - это самый важный документ во всей системе отношений по использованию электронной подписи. От действительности сертификата зависит действительность самой КЭП.

Сертификат представляет собой бумажный или электронный документ, который содержит данные, позволяющие сделать вывод о принадлежности электронной подписи конкретному лицу. Он содержит открытый ключ, позволяющий расшифровать электронный документ, подписанный закрытым ключом отправителя, и удостовериться, что подписал документ именно тот человек, который заявлен в сертификате.

Также сертификат позволяет совершить противоположную процедуру - зашифровать для обеспечения конфиденциальности сообщение, которое сможет открыть и прочитать только владелец закрытого ключа.

Владельцем сертификата может быть и физическое, и юридическое лицо.

Как получить усиленную квалифицированную электронную подпись

Сперва необходимо определиться, для чего вам нужна КЭП. Видов сертификатов существует много и назначение у них тоже может быть разное. Как уже говорилось выше, в сертификате могут содержаться определенные ограничения на использование.

Кроме того к сертификатам для участия в торгах по 44-ФЗ, для работы с порталом Росреестра или в ГИС ЖКХ могут предъявляться различные требования. Узнать о требованиях к сертификату для работы с определенной информационной системой обычно можно у их представителей.

Также можно воспользоваться различными онлайн-сервисами подбора сертификата, например, вот этим .

После этого для оформления и получения электронной подписи можно обращаться к специалисту аккредитованного удостоверяющего центра, который на основе данных об информационной системе определит вид нужного вам сертификата.

Порядок действий по получению сертификата примерно следующий:

1. Подача заявки на получение сертификата. В зависимости от удостоверяющего центра заявку можно подать разными способами: через сайт, по телефону, электронным письмом или прийти лично.
2. Сбор необходимого пакета документов для получения сертификата. Какие документы требуются, вам должен сообщить специалист удостоверяющего центра.
3. Оплата выпуска сертификата и личная явка в удостоверяющий центр с комплектом необходимых документов. Там документы проверят, затем вам нужно будет подписать договор.
4. После осуществления всех вышеуказанных формальных процедур вы получите защищенный носитель, который внешне похож на обычную «флешку», содержащий в себе секретный ключ и сертификат, либо позже в личном кабинете на сайте удостоверяющего центра получите электронный сертификат.

И надо помнить, что сертификат имеет свой срок действия, по истечении которого его нужно продлить или перевыпустить.

На этом все, надеюсь, что статья была полезна. Если это так, что поделитесь ею в социальных сетях, а также подписывайтесь на

Процедура формирования цифровой подписи

На подготовительном этапе этой процедуры абонент А − отправитель сообщения − генерирует пару ключей: секретный ключ k A и открытый ключ K A . Открытый ключ K A вычисляется из парного ему секретного ключа k A . Открытый ключ K A рассылает­ся остальным абонентам сети (или делается доступным, например, на разделяемом ресурсе) для использования при проверке подписи.

Для формирования цифровой подписи отправитель А прежде всего вычисляет значение хэш-функции h(М) подписываемого текста М (рис. 1). Хэш-функция служит для сжатия исходного подписываемого текста М в дайджест m − относи­тельно короткое число, состоящее из фиксированного небольшого числа битов и характеризующее весь текст М в целом. Далее отправитель А шиф­рует дайджест m своим секретным ключом k A . Получаемая при этом пара чисел представляет собой цифровую подпись для данного текста М . Сообщение М вместе с цифровой подписью отправляется в адрес получателя.

Рис.1. Схема формирования электронной цифровой подписи

Абоненты сети могут проверить цифровую подпись полученного сообщения М с помощью открытого ключа отправителя K A этого сообщения (рис. 2).

При проверке ЭЦП абонент В − получатель сообщения М − расшифровывает принятый дайджест m открытым ключом K A отправителя А . Кроме того, получа­тель сам вычисляет с помощью хэш-функции h(М) дайджест m’ принятого сооб­щения М и сравнивает его с расшифрованным. Если эти два дайджеста − m и m’ − совпадают, то цифровая подпись является подлинной. В противном случае либо подпись подделана, либо изменено содержание сообщения.

Рис.2. Схема проверки электронной цифровой подписи

Принципиальным моментом в системе ЭЦП является невозможность подделки ЭЦП пользователя без знания его секретного ключа подписывания. Поэтому необ­ходимо защитить секретный ключ подписывания от несанкционированного досту­па. Секретный ключ ЭЦП, аналогично ключу симметричного шифрования, реко­мендуется хранить на персональном ключевом носителе в защищенном виде.

Электронная цифровая подпись представляет собой уникальное число, зависящее от подписываемого документа и секретного ключа абонента. В качестве подписывае­мого документа может быть использован любой файл. Подписанный файл создается из неподписанного путем добавления в него одной или более электронных подписей.

Помещаемая в подписываемый файл (или в отдельный файл электронной под­писи) структура ЭЦП обычно содержит дополнительную информацию, однознач­но идентифицирующую автора подписанного документа. Эта информация добав­ляется к документу до вычисления ЭЦП, что обеспечивает и ее целостность. Каждая подпись содержит следующую информацию:

· дату подписи;

· срок окончания действия ключа данной подписи;

· информацию о лице, подписавшем файл (Ф.И.О., должность, краткое наименование фирмы);

· идентификатор подписавшего (имя открытого ключа);

· собственно цифровую подпись.

Важно отметить, что, с точки зрения конечного пользователя, процесс формиро­вания и проверки цифровой подписи отличается от процесса криптографического закрытия передаваемых данных следующими особенностями.

При формировании цифровой подписи используется закрытый ключ отправи­теля, тогда как при зашифровании применяется открытый ключ получателя. При проверке цифровой подписи используется открытый ключ отправителя, а при рас­шифровывании − закрытый ключ получателя.

Проверить сформированную подпись может любое лицо, так как ключ провер­ки подписи является открытым. При положительном результате проверки подпи­си делается заключение о подлинности и целостности полученного сообщения, то есть о том, что это сообщение действительно отправлено тем или иным отправите­лем и не было модифицировано при передаче по сети. Однако, если пользователя интересует, не является ли полученное сообщение повторением ранее отправлен­ного или не было ли оно задержано на пути следования, то он должен проверить дату и время его отправки, а при наличии − порядковый номер.

Сегодня существует большое количество алгоритмов ЭЦП.

Как и все люди, абоненты сети передачи данных могут не доверять друг другу или вести себя нечестно. Они могут подделывать чужие сообщения, отрицать свое авторство или выдавать себя за другое лицо. Особенно актуальными становятся эти проблемы в связи с развитием электронной коммерции и возможностью оплаты услуг через Интернет . Поэтому во многих системах связи получатель корреспонденции должен иметь возможность удостовериться в подлинности документа, а создатель электронного послания должен быть в состоянии доказать свое авторство получателю или третьей стороне. Следовательно, электронные документы должны иметь аналог обычной физической подписи. При этом подпись должна обладать следующими свойствами:

1. подпись воспроизводится только одним лицом, а подлинность ее может быть удостоверена многими;
2. подпись неразрывно связывается с данным сообщением и не может быть перенесена на другой документ;
3. после того, как документ подписан, его невозможно изменить;
4. от поставленной подписи невозможно отказаться, то есть лицо, подписавшее документ, не сможет потом утверждать, что не ставило подпись.

Асимметричные алгоритмы шифрования могут быть использованы для формирования цифровой (электронной) подписи ( digital signature ) – уникального числового дополнения к передаваемой информации, позволяющего проверить ее авторство. Электронная (цифровая) подпись ( ЭЦП ) представляет собой последовательность бит фиксированной длины, которая вычисляется определенным образом с помощью содержимого подписываемой информации и секретного ключа.

При формировании цифровой подписи специальным образом шифруется или все сообщение целиком, или результат вычисления хеш-функции от сообщения. Последний способ обычно оказывается предпочтительнее, так как подписываемое сообщение может иметь разный размер, иногда довольно большой, а хеш-код всегда имеет постоянную не очень большую длину. Рассмотрим подробнее оба варианта формирования ЭЦП .

Самый простой способ основывается, так же как и при открытом шифровании, на использовании пары связанных между собой ключей (открытого и закрытого). Однако роли закрытого и открытого ключей меняются – ключ подписывания становится секретным, а ключ проверки – открытым. Если при этом сохраняется свойство, что по открытому ключу нельзя практически найти закрытый ключ , то в качестве подписи может выступать само сообщение, зашифрованное секретным ключом. Таким образом подписать сообщение может только владелец закрытого ключа, но каждый, кто имеет его открытый ключ , может проверить подпись.

Пусть, например, пользователь А хочет отправить пользователю Б подписанное сообщение. Процедура создания и проверки подписи состоит из следующих шагов:

1. Пользователь А шифрует сообщение М своим закрытым ключом R и получает зашифрованное сообщение С .
2. Зашифрованное сообщение пересылается пользователю Б.
3. Пользователь Б расшифровывает полученное сообщение С , используя открытый ключ пользователя А. Если сообщение расшифровалось, значит, оно подписано пользователем А.

рис. 9.2 .

Рис. 9.2.

До тех пор, пока пользователь А надежно хранит свой закрытый ключ , его подписи достоверны. Кроме того, невозможно изменить сообщение, не имея доступа к закрытому ключу абонента А; тем самым обеспечивается аутентичность и целостность данных.

Физическое представление пары ключей зависит от конкретной системы, поддерживающей использование ЭЦП . Чаще всего ключ записывается в файл , который, в дополнение к самому ключу, может содержать, например, информацию о пользователе - владельце ключа, о сроке действия ключа, а также некий набор данных, необходимых для работы конкретной системы (подробнее об этом см. "Электронная цифровая подпись"). Данные о владельце ключа позволяют реализовать другую важную функцию ЭЦП - установление авторства, поскольку при проверке подписи сразу же становится ясно, кто подписал то или иное сообщение. Обычно программные продукты, осуществляющие проверку ЭЦП , настраиваются так, чтобы результат исполнения появлялся на экране в удобном для восприятия виде с указанием поставившего подпись пользователя, например, так:

"Подпись файла приказ.doc верна (

На рис. 9.2 представлена схема формирования так называемой цифровой подписи с восстановлением документа . Цифровые подписи с восстановлением документа как бы содержат в себе подписываемый документ: в процессе проверки подписи автоматически вычисляется и тело документа . Если при расшифровывании сообщение восстановилось правильно, значит, подпись была верной. Цифровая подпись с восстановлением документа может быть реализована, например, с помощью одного из самых популярных алгоритмов формирования ЭЦП – RSA .

В случае использования цифровой подписи с восстановлением документа все сообщение целиком подписывается, то есть шифруется. В настоящее время на практике так обычно не делается. Алгоритмы шифрования с открытым ключом достаточно медленные, кроме того, для подтверждения целостности сообщения требуется много памяти. К тому же практически все применяемые алгоритмы вычисления ЭЦП используют для расчета сообщения заранее заданной стандартной длины. Например, в российском алгоритме формирования цифровой подписи ГОСТ Р34.10-94 этот размер определен равным 32 байтам. Поэтому для экономии времени и вычислительных ресурсов, а также для удобства работы асимметричный алгоритм обычно используется вместе с какой-нибудь однонаправленной хеш-функцией. В этом случае вначале с помощью хеш-функции из сообщения произвольной длины вычисляется хеш-код нужного размера, а затем для вычисления ЭЦП производится шифрование полученного на предыдущем этапе хеш-кода от сообщения.

ЭЦП , вычисленные по хеш-коду документа, называют присоединяемыми цифровыми подписями . Такие цифровые подписи представляют собой некоторый числовой код, который необходимо пристыковывать к подписываемому документу. Само сообщение при этом не шифруется и передается в открытом виде вместе с цифровой подписью отправителя.

Если пользователь А хочет отправить пользователю Б сообщение М , дополненное присоединенной цифровой подписью, то процедура создания и проверки подписи должна состоять из следующих шагов:

1. Пользователь А посылает пользователю Б свой открытый ключ U по любому каналу связи, например, по электронной почте.
2. Пользователь А с помощью некоторой надежной хеш-функции Н вычисляет хеш-код своего сообщения h = H(M) .
3. Затем пользователь А шифрует хеш-код сообщения h своим закрытым ключом R и получает цифровую подпись С .
4. Исходное сообщение М вместе с цифровой подписью С пересылаются пользователю Б.
5. Пользователь Б вычисляет хеш-код h полученного сообщения М , а затем проверяет цифровую подпись С , используя открытый ключ пользователя А.

Этот протокол можно изобразить в виде схемы, как на

Лекция 7.

Электронная подпись

Введение

Учебные вопросы:

4. Электронный обмен данными.

Заключение

Введение

Электронная цифровая подпись

электронная подпись » (аббревиатура - «ЭП »).

История возникновения

Россия

И «цифровая подпись » являются синонимами.

электронная подпись,

ключ электронной подписи

Хранение закрытого ключа

Закрытый ключ является наиболее уязвимым компонентом всей криптосистемы цифровой подписи. Злоумышленник, укравший закрытый ключ пользователя, может создать действительную цифровую подпись любого электронного документа от лица этого пользователя. Поэтому особое внимание нужно уделять способу хранения закрытого ключа. Пользователь может хранить закрытый ключ на своем персональном компьютере, защитив его с помощью пароля. Однако такой способ хранения имеет ряд недостатков, в частности, защищенность ключа полностью зависит от защищенности компьютера, и пользователь может подписывать документы только на этом компьютере.

В настоящее время существуют следующие устройства хранения закрытого ключа:

· Дискеты.

· Смарт-карты.

· USB-брелоки.

· Таблетки Touch-Memory.

Кража или потеря одного из таких устройств хранения может быть легко замечена пользователем, после чего соответствующий сертификат может быть немедленно отозван.

Наиболее защищенный способ хранения закрытого ключа - хранение на смарт-карте. Для того, чтобы использовать смарт-карту, пользователю необходимо не только её иметь, но и ввести PIN-код, то есть, получается двухфакторная аутентификация. После этого подписываемый документ или его хэш передается в карту, её процессор осуществляет подписывание хеша и передает подпись обратно. В процессе формирования подписи таким способом не происходит копирования закрытого ключа, поэтому все время существует только единственная копия ключа. Кроме того, произвести копирование информации со смарт-карты сложнее, чем с других устройств хранения.

В соответствии с законом «Об электронной подписи», ответственность за хранение закрытого ключа владелец несет сам.

Технология формирования ЭП

С древних времен известен криптографический метод , позднее названный шифрованием с помощью симметричного ключа , при использовании которого для зашифровки и расшифровки служит один и тот же ключ (шифр, способ).

Главной проблемой симметричного шифрования является конфиденциальность передачи ключа от отправителя к получателю.

Раскрытие ключа в процессе передачи равносильно раскрытию документа и предоставлению злоумышленнику возможности его подделать.

В 70-х гг. был изобретен алгоритм асимметричного шифрования .

Зашифровывается документ одним ключом, а расшифровывается другим, причем по первому из них практически невозможно вычислить второй, и наоборот.

Поэтому если отправитель зашифрует документ секретным ключом , а публичный (открытый) ключ предоставит адресатам, то они смогут расшифровать документ, зашифрованный отправителем, и только им.

Если получатель смог расшифровать значение хеш-функции, используя открытый ключ отправителя, то зашифровал это значение именно отправитель (аутентификация).

Если вычисленное и расшифрованное значения хеш-функции совпадают, то документ не был изменен (идентификация).

Любое искажение (умышленное или неумышленное) документа в процессе передачи даст новое значение вычисляемой получателем хеш-функции, и программа проверки подписи сообщит, что подпись под документом неверна.

Цифровая подпись представляет собой относительно небольшое количество дополнительной цифровой информации, передаваемой вместе с подписываемым текстом.

Система ЭП включает две процедуры: 1) процедуру постановки подписи; 2) процедуру проверки подписи. В процедуре постановки подписи используется секретный ключ отправителя сообщения, в процедуре проверки подписи - открытый ключ отправителя.

При формировании ЭП отправитель прежде всего вычисляет хэш-функцию h(М) подписываемого текста М. Вычисленное значение хэш-функции h(М) представляет собой один короткий блок информации m, характеризующий весь текст М в целом. Затем число m шифруется секретным ключом отправителя. Получаемая при этом пара чисел представляет собой ЭП для данного текста М.

При проверке ЭП получатель сообщения снова вычисляет хэш-функцию m = h(М) принятого по каналу текста М, после чего при помощи открытого ключа отправителя проверяет, соответствует ли полученная подпись вычисленному значению m хэш-функции.

Принципиальным моментом в системе ЭП является невозможность подделки ЭП пользователя без знания его секретного ключа подписывания.

Схематично процедуры постановки подписи и ее проверки можно представить следующим образом:

В качестве подписываемого документа может быть использован любой файл. Подписанный файл создается из неподписанного путем добавления в него одной или более электронных подписей.

Каждая подпись содержит следующую информацию:

дату подписи;

срок окончания действия ключа данной подписи;

информацию о лице, подписавшем файл (Ф.И.0., должность, краткое наименование фирмы);

идентификатор подписавшего (имя открытого ключа);

собственно цифровую подпись.

Электронный обмен данными

EDI (Electronic Data Interchange) – это технология автоматизированного обмена электронными сообщениями в стандартизированных форматах между бизнес-партнерами.

При этом документы, имеющие в изначальном («человеческом») виде удобную и специфическую для каждой фирмы форму, прозрачно передаются между различными партнерами в стандартном «электронном» формате (при помощи конвертора (на входе) и деконвертора (на выходе соответственно)). Технология гарантирует как правильность конвертации данных, так и саму доставку сообщений адресатам и последовательность доставки сообщений. При этом обеспечиваются достоверность и конфиденциальность передаваемой информации.

В классическом виде EDI предполагает полностью автоматизированное взаимодействие между информационными системами партнеров, исключая участие человека. Каждая сторона может выступать как отправитель, так и получатель сообщений. Такой вариант интеграции дает максимальный эффект при внедрении данной технологии.

На современном этапе развития технологии EDI позволяют не просто экономить деньги, но и упростить и оптимизировать процессы управления и принятия решений, а в целом оптимизировать и повысить эффективность бизнеса.

Практика электронной коммерции, основанной на системах EDI насчитывает уже более 30 лет и обобщается в стандартах выполнения торговых операций и представлении структурированных деловых документов.

При разработке стандартов электронного документооборота было проанализировано использование данных «бумажных» документов, применяемых в экономической деятельности.

Было предложено выделить наиболее повторяющиеся данные, и в них выделить соответствующие поля данных. В последствии для их заполнения была разработана система таблиц – глобальные справочники данных и технология их синхронизации.

Стандарты EDI

EDI базируется на следующих основных стандартах:

UN/EDIFACT – United Nations Electronic Data Interchange for Administration, Commerce and Transport - "Правила ООН электронного обмена документами для гос. управления, торговли и транспорта" – основополагающий глобальный избыточный стандарт, содержащий наиболее общие справочники международных кодов и форматов сообщений, расширенных для удовлетворения всех возможных запросов пользователей.

(UN/CEFACT) – адаптированный Центром ООН по упрощению процедур международной торговли и электронному бизнесу (CEFACT) стандарт UN/EDIFACT

GS1 EANCOM – подмножество EDIFACT для розничной торговли - разработан международной ассоциацией GS1 и дополнен использованием ключевых идентификаторов системы GS1,

GS1 XML – современный формат сообщений, используемых при обмене данными в цепях поставок в системе GS1.

Система GS1 – это международная глобальная многоотраслевая система стандартов, охватывающая более 100 стран. Система GS1 является самой широко используемой международной системой стандартов в цепях поставок. В настоящее время свыше миллиона компаний в мире используют стандарты GS1. Национальные ассоциации GS1 обеспечивают поддержку системы в своих странах и поддержку национальных языков в системе GS1.

В основе архитектуры системы GS1 лежат ключевые идентификаторы , основными из которых являются:

GTIN (Global Trade Item Number)– глобальный номер торговой единицы (предмета торговли) –уникальный идентификационный номер торговой единицы в системе GS1. Этот идентификатор представлен в виде символа штрихового кода на упаковке товара

GLN (Global Location Number) – глобальный номер места нахождения – уникальный номер в системе GS1 для идентификации участников цепи поставки и их материальных, функциональных или юридических объектов (подразделений) (филиалы/офисы/склады/рампы и т.д.). Используется главным образом в EDI для эффективной идентификации всех объектов, касающихся поставок.

SSCC (Serial Shiping Container Code) – серийный код транспортной упаковки (СКТУ) – уникальный идентификатор логистической (транспортной) единицы. SSCC очень удобен для маркировки грузов, подлежащих танспортировке.

Ключевые идентификаторы системы GS1 являются:

уникальными - способ формирования номеров обеспечивает уникальность каждого номера;

международными - данные номера являются уникальными во всем мире;

многоотраслевыми - не значимый характер номеров позволяет последовательно идентифицировать любой объект, независимо от вида предпринимательской деятельности;

Простая структура номеров позволяет автоматизировать обработку и передачу данных.

Номер GLN – это глобальный уникальный цифровой код, идентифицирующий участника в цепи поставок (контрагента или его структурное подразделение или объект).

Присвоение идентификационных номеров GLN регулируется стандартами системы GS1 для того, чтобы гарантировать уникальность каждого отдельного номера во всем мире. Для получения GLN-номера предприятие должно стать членом национальной ассоциации GS1(в РФ такой организацией является GS1 Russia – ГС1 РУС.).

Идентификационные номера GLN ежедневно широко используются более чем 200.000 компаний, занимающихся различными видами предпринимательской деятельности

Для перехода к использованию технологии EDI необходимо подключение партнеров к специализированной платформе обмена коммерческими сообщениями (платформа электронной коммерции), использование средств преобразования сообщений к стандартному формату и передачи «стандартизированных» сообщений адресату. Такая схема взаимодействия позволяет один раз подключиться к EDI и единообразно обмениваться сообщениями со всеми партнерами, а не создавать и настраивать способ обмена документами с каждым контрагентом.

Интеграцию систем, преобразование и передачу сообщений между партнерами осуществляют специализированные компании – авторизованные провайдеры EDI. Провайдер предоставляет своим клиентам надежный канал передачи сообщений всем контрагентам (доступ к своей платформе обмена коммерческими сообщениями) и поддерживает оговоренный уровень сервиса. Важно участие именно авторизованного провайдера, т.к. это гарантирует как высокий технический уровень предоставляемых услуг и уровень сервиса, так и соответствие услуг стандартам GS1, что в свою очередь дает возможность осуществлять роуминг с другими провайдерами (в том числе и с международными).

Чтобы начать обмениваться документами по EDI необходимо:

· получить номер GLN;

· выбрать вариант подключения (полная интеграция или Web-EDI),

· осуществить подключение,

· начать работать.

Популярные области применения:

· Дистрибуция,

· Ритейл,

· Управление складами,

· Транспорт,

· Банковская сфера и управление денежными потоками

Заключение

В отличие от рукописной подписи электронная цифровая подпись имеет не физическую, а логическую природу - это просто последовательность символов, которая позволяет однозначно связать лицо, подписавшее документ, содержание документа и владельца ЭП. Логический характер электронной подписи делает ее независимой от материальной природы документа. С ее помощью можно подписывать документы, имеющие электронную природу (исполненные на магнитных, оптических, кристаллических и иных носителях, распределенные в компьютерных сетях и т.п.).

Согласно Закону ЭП должна решать следующие задачи: защиту электронного документа от подделки, установление отсутствия искажений информации в электронном документе, идентификацию владельца сертификата ключа подписи (ст. 3).

Таким образом, ЭП должна обеспечить идентификацию (документ подписан определенным лицом) и аутентификацию (содержание не претерпело изменений с момента его подписания) электронного документа.

В настоящей лекции рассмотрены лишь основные понятия, принципы формирования, придания юридической правомочности электронной подписи. Более подробно об электронной подписи курсанты узнают в рамках изучения дисциплины «Основы информационной безопасности в ОВД».

Контрольные вопросы

1. Понятие электронной подписи (ЭП).

2. История возникновения понятия ЭП.

3. Нормативные документы, регламентирующие ЭП.

4. Виды ЭП.

5. Функции Удостоверяющего центра.

6. Сертификат ключа проверки ЭП.

7. Технология формирования ЭП.

8. Понятие хэш-функции.

9. Электронный обмен данными

Литература:

а) основная литература:

1. А. С. Давыдов, Т. В. Маслова. Информационные технологии в деятельности органов внутренних дел: учебное пособие. – М.: ЦОКР МВД России, 2009.

2. Информатика и математика для юристов: учебник для студентов вузов, обучающихся по юридическим специальностям / под редакцией С. Я. Казанцева, Н. М. Дубининой. – 2-е изд., перераб. и доп. – М.: ЮНИТИ-ДАНА, 2009.

3. Информационные технологии в юридической деятельности: учебник для бакалавров / под общей редакцией П. У. Кузнецова. – М.: Издательство Юрайт, 2012.

4. Симонович С. В. Информатика. Базовый курс. – СПб., Питер, 2011.

б) дополнительная литература:

1. Горнец Н. Н., Рощин А. Г., Соломенцев В. В. Организация ЭВМ и систем. Учебное пособие. – М., Академия, 2008.

2. Орлов С. А., Цилькер Б. Я. Организация ЭВМ и систем. Учебник для вузов. – СПб., Питер, 2011.

3. Бройдо В. Л., Ильина О. П. Вычислительные системы, сети и телекоммуникации. Учебник для вузов. – СПб., Питер, 2011.

Лекция 7.

Электронная подпись

Введение

Учебные вопросы:

1. Назначение и применение электронной подписи.

2. Виды электронной подписи, ее юридическая правомочность.

3. Технология формирования электронной подписи.

4. Электронный обмен данными.

Заключение

Введение

При обмене электронными документами по сети связи существенно снижаются затраты на обработку и хранение документов, убыстряется их поиск. Но при этом возникает проблема аутентификации автора документа и самого документа, т.е. установления подлинности автора и отсутствия изменений в полученном документе. В обычной (бумажной) информатике эти проблемы решаются за счет того, что информация в документе и рукописная подпись автора жестко связаны с физическим носителем (бумагой). В электронных документах на машинных носителях такой связи нет.

При обработке документов в электронной форме совершенно непригодны традиционные способы установления подлинности по рукописной подписи и оттиску печати на бумажном документе. Принципиально новым решением является электронная цифровая подпись (ЭЦП).

Назначение и применение электронной подписи.

Электронная цифровая подпись - реквизит электронного документа, позволяющий установить отсутствие искажения информации в электронном документе с момента формирования ЭП и проверить принадлежность подписи владельцу сертификата ключа ЭП. Значение реквизита получается в результате криптографического преобразования информации с использованием закрытого ключа ЭП.

В России федеральным законом № 63-ФЗ от 6 апреля 2011 г. наименование «электронная цифровая подпись» заменено словами «электронная подпись » (аббревиатура - «ЭП »).

Электронная подпись предназначена для идентификации лица, подписавшего электронный документ. Кроме этого, использование электронной подписи позволяет осуществить:

Контроль целостности передаваемого документа: при любом случайном или преднамеренном изменении документа подпись станет недействительной, потому что вычислена она на основании исходного состояния документа и соответствует лишь ему;

Защиту от изменений (подделки) документа: гарантия выявления подделки при контроле целостности делает подделывание нецелесообразным в большинстве случаев;

Доказательное подтверждение авторства документа: Так как создать корректную подпись можно, лишь зная закрытый ключ, а он должен быть известен только владельцу, то владелец пары ключей может доказать своё авторство подписи под документом. В зависимости от деталей определения документа могут быть подписаны такие поля, как «автор», «внесённые изменения», «метка времени» и т. д.

Все эти свойства ЭП позволяют использовать её для следующих целей:

· Декларирование товаров и услуг (таможенные декларации).

· Регистрация сделок по объектам недвижимости.

· Использование в банковских системах.

· Электронная торговля и госзаказы.

· Контроль исполнения государственного бюджета.

· В системах обращения к органам власти.

· Для обязательной отчетности перед государственными учреждениями.

· Организация юридически значимого электронного документооборота.

· В расчетных и трейдинговых системах.

История возникновения

В 1976 году Уитфилдом Диффи и Мартином Хеллманом было впервые предложено понятие «электронная цифровая подпись», хотя они всего лишь предполагали, что схемы ЭЦП могут существовать.

В 1977 году, Рональд Ривест, Ади Шамир и Леонард Адлеман разработали криптографический алгоритм RSA, который без дополнительных модификаций можно использовать для создания примитивных цифровых подписей.

Вскоре после RSA были разработаны другие ЭЦП, такие как алгоритмы цифровой подписи Рабина, Меркле.

В 1984 году Шафи Гольдвассер, Сильвио Микали и Рональд Ривест первыми строго определили требования безопасности к алгоритмам цифровой подписи. Ими были описаны модели атак на алгоритмы ЭЦП, а также предложена схема GMR, отвечающая описанным требованиям.

Россия

В 1994 году Главным управлением безопасности связи Федерального агентства правительственной связи и информации при Президенте Российской Федерации был разработан первый российский стандарт ЭЦП - ГОСТ Р 34.10-94 «Информационная технология. Криптографическая защита информации. Процедуры выработки и проверки электронной цифровой подписи на базе асимметричного криптографического алгоритма» .

В 2002 году для обеспечения большей криптостойкости алгоритма взамен ГОСТ Р 34.10-94 был введен стандарт одноименный стандарт ГОСТ Р 34.10-2001, основанный на вычислениях в группе точек эллиптической кривой. В соответствии с этим стандартом, термины «электронная цифровая подпись» и «цифровая подпись » являются синонимами.

1 января 2013 года одноименный ГОСТ Р 34.10-2001 заменён на ГОСТ Р 34.10-2012 «Информационная технология. Криптографическая защита информации. Процессы формирования и проверки электронной цифровой подписи».

Федеральным законом «Об электронной подписи» № 63-ФЗ от 06.04.2011 регулируются отношения в области:

использования электронных подписей при совершении гражданско-правовых сделок;

оказании государственных и муниципальных услуг;

исполнении государственных и муниципальных функций;

при совершении иных юридически значимых действий.

Федеральным законом определяется понятие электронной подписи:

1. Устанавливаются её виды, требования к средствам электронной подписи, с помощью которых создаются и проверяются:

электронная подпись,

ключ электронной подписи

и ключ проверки электронной подписи

2. Требования к удостоверяющим центрам, осуществляющим функции по созданию и выдаче сертификатов ключей проверки электронных подписей

В пояснительной записке к проекту закона об электронной подписи была приведена неутешительная статистика, свидетельствующая о слабой распространенности ЭЦП в российском деловом обороте.

По состоянию на февраль 2007 г. в России было выдано около 200 000 сертификатов ключа ЭЦП, что составляет лишь 0,2 % от населения страны.

При этом отмечается, что в Европе за аналогичный период времени от введения в действие Директивы ЕС от 13.12.1999 N 1999/93/ЕС «Об общих принципах электронных подписей» усиленные электронные подписи использовало около 70 % населения.

Новый Федеральный закон «Об электронной подписи» (ЭП) призван смягчить слишком серьезные требования к ЭЦП, регламентированные Федеральным законом от 10 января 2002 года «Об электронно-цифровой подписи» (ЭЦП).

В частности, допускалось применение только одной технологии идентификации (асимметричных электронных ключей подписи), которая к тому же требовала обязательного наличия сертификата от удостоверяющего центра.

Согласно положениям нового закона от удостоверяющих центров не требуется лицензирования - они могут пройти аккредитацию и то лишь на добровольной основе. Аккредитацией будет заниматься назначенный правительством уполномоченный орган, он же организует работу корневого центра

Для аккредитации российское или иностранное юридическое лицо обязано обладать чистыми активами на сумму не менее 1 млн. руб. и финансовыми гарантиями для выплат компенсаций пострадавшим клиентам в размере 1,5 млн. руб., иметь не менее двух IT-специалистов с высшим профессиональным образованием и пройти процедуру подтверждения в ФСБ.

Подробно о том, что такое электронная цифровая подпись, зачем она нужна бизнесу и обычным граждан, где её используют, какими преимуществами обладает и в чём суть применения ЭЦП.

Электронная подпись (ЭП или ЭЦП) – это цифровой аналог подписи человека и особый реквизит документа, удостоверяющий его принадлежность владельцу подписи.

Электронный документ, подписанный ЭП, имеет такую же юридическую силу, как и традиционный бумажный вариант. Цифровой реквизит получают с помощью криптографического преобразования информации.

Криптографическое преобразование информации – это преобразование составных частей информации (букв, цифр, слов, символов) в неестественный вид. Осуществляется это с помощью специального алгоритма. Преобразованный текст невозможно прочитать, так как он напоминает набор несвязанных между собой букв и цифр.

Метод криптографического преобразования информации применяют для повышения уровня защиты передачи и хранения данных.

Электронную подпись используют для:

• контроля целостности электронного документа;
• подтверждения авторства документа;
• защиты документа от его подделки или внесения изменений.

Если в документ вносятся изменения, то подпись становится недействительной, а документ теряет свою силу.

Владельца подписи определяет сертификат – документ, подтверждающий принадлежность ключа проверки подписи владельцу сертификата.

Владельцем сертификата может быть любой человек. Чтобы его получить, достаточно обратиться в удостоверяющий центр. Он выдаст 2 ключа – открытый и закрытый.

Открытый ключ необходим для проверки подлинности подписи, а закрытый – для генерации подписи и подписания электронного документа.

Виды электронной подписи

ЭП бывает трёх видов:

1. Простая – факт формирования подписи определяется через использование специальных паролей и кодов.
2. Усиленная неквалифицированная – ЭП создаётся с помощью криптографического преобразования информации и с использованием закрытого ключа.
3. Усиленная квалифицированная – отличается от неквалифицированной наличием криптозащиты.

По закону большинства стран, в том числе СНГ, электронная подпись имеет такую же юридическую силу, как и просто роспись человека с печатью.

Области применения электронной цифровой подписи

Электронный документооборот между юридическими и физическими лицами

ЭЦП используют в различных сферах бизнеса сегмента B2B и B2C для обмена документами. Электронная подпись позволяет подтверждать достоверность, юридическую силу документа и отправлять его, по средствам электронной почты или программы, клиенту, покупателю или подразделению компании, находящемуся в другом городе или стране.

Использование ЭП позволяет моментально подписывать и передавать готовые документы в проверяющие инстанции.

Физические лица могут использовать ЭП для заверения подлинности документов, удалённой подписи договоров или актов приёма-сдачи работ.

Электронная отчётность

ЭЦП используют для сдачи отчётности в электронном формате в налоговую, ФНС, ФСС и другие контролирующие органы. Например, в Беларуси с 2015 года индивидуальных предпринимателей активно переводят на электронное декларирование. Для этого налогоплательщику выдаётся специальное программное обеспечение и ключ на съёмном носителе.

Судебная практика

В процессе разногласий между компаниями в качестве доказательств в арбитражном суде могут использоваться документы, заверенные электронной подписью.

Интернет-торги

При оптовых закупках или продаже товаров поставщики и покупатели могут подписывать любые документы ЭП. Такую подпись сейчас активно используют на государственных и коммерческих торговых интернет-площадках.

Государственные услуги

Любой человек может получить электронную подпись для подписания заявлений, писем, документов и договоров.

При электронном обращении в государственный орган, путём подачи документа, подписанного ЭП, человек получает ответ о принятии обращения также с электронной подписью, что даёт определённые гарантии – документ официально принят и будет рассмотрен.

Преимущества электронного документооборота с ЭЦП

Электронный документооборот имеет массу преимуществ по сравнению с бумажным вариантом.

Главные преимущества, это:

• Быстрая доставка документов.
• Сокращение издержек на подготовку и отправку документов.
• Ускорение бизнес-процессов.
• Гарантии, что документ не затеряется на почте.
• Возможность автоматизации обработки документации.

Электронные документы передаются между контрагентами практически моментально, ведь в основном задействуется электронная почта.

Организации намного быстрее обрабатывают электронные документы, соответственно в кратчайшие сроки получают деньги и имеют возможность увеличить заработок за счёт снижения временных затрат на подготовку и доставку документов.

Если организация постоянно сталкивается с большим потоком документов, то электронный документооборот позволяет автоматизировать большинство процессов по обработке договоров, актов, отчётов и др.

Применение электронной документации для сдачи отчётности упрощает жизнь компаний и предпринимателей. Нет необходимости лично ехать в контролирующую инстанцию – можно просто отправить документ через специальное ПО или электронной почтой.

«Ко мне на согласование, по системе электронного документооборота, приходит какой-то документ. Я вставляю в компьютер носитель (флешку – прим. автора) с моей электронной цифровой подписью. Предлагается ввести пароль. Ввожу его и подписываю документ. Всё, документ согласован.»

Валерий Сабатович – замначальника РУП «Национальный центр электронных услуг»

Электронная подпись упрощает ряд процедур связанных с документооборотом. Поэтому её уже активно используют в бизнесе и в государственных органах. Среди граждан она пока не пользуется популярностью. В основном из-за слабой осведомлённости людей о доступности и возможности использования такой подписи.