Использование электронной цифровой подписи в корпоративной информационной системе

Когда корпоративные информационные системы не взаимодействуют с информационными системами общего пользования, ст. 6, 9—11 Федерального закона «Об электронной подписи» и ст. 160 ГК РФ разрешают самим участникам решать большинство вопросов функционирования таких систем. Применение ЭП в корпоративных информационных системах, в том числе и торговых, регулируется внутренними нормативными документами таких систем — соглашением между участниками такой системы или между владельцем системы и пользователями (клиентами).

Российское законодательство распространяет определение ЭП на связанные с сообщением символы, коды, пароли и т. д. Они могут рассматриваться как подпись, если они исполнены и приняты сторонами по взаимному соглашению и с явным намерением подтвердить подлинность соглашения.

В корпоративной информационной системе по соглашению участников системы функции удостоверяющего центра могут выполняться одним из участников, причем функционирование такого удостоверяющего центра также осуществляется по соглашению участников. При изготовлении удостоверяющим центром сертификатов ключей подписей сертификаты оформляются в форме документов на бумажных носителях. При интеграции корпоративной информационной системы с информационными системами общего пользования ЭДО и электронные расчеты должны соответствовать требованиям Федерального законодательства. В этом случае основанием для применения электронных документов, подписанных ЭП, в корпоративных информационных системах являются следующие законодательные и нормативные акты государственных органов РФ:

• • Гражданский кодекс РФ. В ст. 160 п. 2 утверждается, что использование при совершении сделок электронной подписи либо иного аналога собственноручной подписи допускается в случаях и в порядке, предусмотренных законом, иными правовыми актами или соглашением сторон;
• • Закон «Об информации, информатизации и защите информации», гл. 2, ст. 5, п. 3;
• • Федеральный закон «Об электронной подписи», ст. 6, 9—11;
• • Официальные материалы Высшего Арбитражного Суда РФ и СССР. К ним относятся инструктивные указания Госарбитража СССР от 29 июня 1979 г. № И-1−4 «Об использовании в качестве доказательств по арбитражным делам документов, подготовленных с помощью электронно-вычислительной техники» ;
• • Арбитражный процессуальный кодекс РФ от 24 июля 2007 г. № 95-ФЗ, ст. 75, п. 1;
• • Государственные стандарты, например, ГОСТ 6.10.4—84 «Придание юридической силы документам на машинном носителе и машинограмме, создаваемым средствами вычислительной техники. Основные положения» .

Алгоритм электронной цифровой подписи

Электронные квалифицированная и неквалифицированная подписи представляют собой небольшое количество информации, передаваемой вместе с подписываемым электронным сообщением. Алгоритм использования ЭП включает:

• • процедуру постановки подписи;
• • процедуру проверки подписи.

В процедуре подписания используется секретный ключ отправителя сообщения, в процедуре проверки — открытый ключ отправителя. Секретный ключ формируется с помощью датчика случайных чисел и представляет собой последовательность символов конечной определенной длины. Открытый ключ вычисляется из соответствующего ему секретного ключа. Обратное преобразование невозможно. Сообщение, отправляемое отправителем, кодируется закрытым ключом отправителя и затем раскодируется у получателя открытым ключом отправителя. Для проверки неизменности и целостности документа осуществляется подписание документа ЭЦП с последующей проверкой се подлинности.

Подписание электронного сообщения ЭП. Обозначим исходное сообщение символом М. Подписание электронного сообщения ЭП состоит в вычислении с помощью программы «подпись» некоторого числа т = h (M) и последующего шифрования числа т секретным ключом с использованием алгоритма шифрования. Процедура включает:

• вычисление свертки или хеш документа т. Число т получается в результате обработки исходного сообщения хеш-функцией /?. Оно называется сверткой сообщения Л/, его дайджестом или хеш документа, (от англ, hack — «хеш, путаница, мешанина»). Хеш-функция преобразует исходный текст произвольной длины (от пустого сообщения до файла в несколько мегабайт) в стандартное сообщение определенной длины. Хеш-функция должна удовлетворять определенным требованиям. Необходимо, чтобы результат обработки исходного текста хеш-функцией однозначно соответствовал исходному сообщению и изменялся при любой модификации последнего. Результат обработки исходного текста хеш-функцией должен вычисляться таким образом, чтобы для любого сообщения М было невозможно подобрать такое сообщение М для которого h (M) = Л (М').

К наиболее известным функциям хеширования относятся:

• • отечественный стандарт ГОСТ Р 34.11—2012 — функция хеширования «Стрибог» ;
• • MDx (message digest) — семейство алгоритмов хеширования, которые наиболее распространены за рубежом. Например, алгоритм MD5 применяется в последних версиях Microsoft Windows для преобразования пароля пользователя в 16-байтное число;
• • SHA-1 (secure hash algorithm) алгоритм вычисления 20-байтного хеш-значения входных данных. Он широко распространен в сетевых протоколах защиты информации

Процедура подписания. Процедуру подписания можно описать математической формулой.

где М — текст исходного сообщения; Ks — секретный ключ; h (M) — функция хеширования; / алгоритм шифрования; S цифровая подпись.

После шифрования числа т секретным ключом с использованием одного из алгоритмов шифрования получаем ЭЦП сообщения М. Она передается вместе с самим сообщением.

В качестве алгоритмов шифрования используются следующие алгоритмы:

• • RSA;
• • DSA (Digital Signature Algorithm), который предусматривает применение в качестве xem-функции алгоритма SHA.

С 1 января 2013 г. действует ГОСТ Р 34.10—2012 «Информационная технология. Криптографическая защита информации. Процессы формирования и проверки электронной цифровой подписи» .

Процедура проверки. Получатель сообщения, подписанного ЭП, осуществляет проверку подлинности и целостности документа. Для этого:

• • на основании принятого сообщения М выполняет его свертку (вычисление хеш документа), используя такую же функцию /г, и получает число т' = h (M)
• • с помощью открытого ключа отправителя расшифровывает ЭП и получает отправленное значение т = h (M)
• • из сопоставления принятого значения т и вычисленного т' делается заключение о подлинности электронного сообщения. При их совпадении делается заключение о неизменности и целостности документа.

Для подтверждения подлинности отправителя документа применяется электронный сертификат. Цифровой сертификат выдается авторитетной организацией. Он может содержать такие данные, как:

• • имя владельца сертификата;
• • адрес;
• • идентификатор алгоритма ЭП;
• • открытый ключ владельца сертификата;
• • срок действия сертификата;
• • название центра сертификации;
• • уникальный серийный номер сертификата и др.

Метод ЭП и методы асимметричных алгоритмов шифрования принципиально различаются. При асимметричном шифровании для шифрования сообщения используется открытый ключ получателя, а при расшифровке шифротекста получатель использует свой закрытый (секретный) ключ. В алгоритме ЭП для подписания хеш-функции требуется секретный ключ автора сообщения, а для проверки ЭП — открытый ключ автора сообщения.

Схема вычисления ЭП показана на рис. 13.2.

Рис. 13.2. Вычисление ЭЦП.

Генератор случайных чисел используется для генерирования открытого и секретного ключей. Секретный ключ хранится у отправителя сообщения. Сообщение М с помощью хеш-функции преобразуется в набор символов конечной длины — 32, 20 или 16 байт в соответствии с выражением т = И (М). Полученное хеш-значение преобразуется посредством секретного ключа отправителя 5 = (И (М), /С*). Полученный файл называется электронной подписью. Этот файл прикрепляется к сообщению и пересылается получателю совместно с самим сообщением. У получателя производится преобразование файла 5 с помощью открытого ключа Кр. В результате получаем файл т. Переданное сообщение М преобразуется посредством хеш-функции т' = И (М). Далее производится сравнение полученных значений т и т'. Их равенство свидетельствует о целостности переданного документа.

В технологии электронной подписи используются ключ электронной подписи и ключ проверки электронной подписи. Для создания ЭП применяется ключ ЭП (открытый ключ), представляющий собой уникальную последовательность символов. Для проверки подлинности ЭП необходим ключ проверки подлинности ЭП (секретный ключ). Он представляет собой уникальную последовательность символов, которая однозначно связана с ключом ЭП. Принадлежность ключа проверки ЭП владельцу подтверждается сертификатом ключа проверки ЭП. Он выдается удостоверяющим центром. Квалифицированный сертификат ключа проверки ЭП выдается аккредитованным удостоверяющим центром, доверенным лицом аккредитованного удостоверяющего центра или федеральным органом исполнительной власти, уполномоченным в сфере использования электронной подписи. Удостоверяющий центр — это юридическое лицо или ИП, которые создают и выдают сертификаты ключей проверки электронных подписей. Центр должен быть аккредитован и признан уполномоченным федеральным органом.

Информационные технологии по созданию и проверке ЭИ в Российской Федерации стандартизованы. Для этого используются стандарты ГОСТ 34.10—2012 и ГОСТ 34.11—2012. Оба стандарта разработаны и приняты к использованию в 2012 г. Согласно стандарту ГОСТ 34.10—2012, понятия «электронная подпись», «цифровая подпись» и «электронная цифровая подпись» являются синонимами. В соответствии с этими стандартами, подписываемая ЭП информация преобразуется в результате математических преобразований в двоичный вектор. Длина вектора фиксирована и равна 512 или 1024 бит. Этот вектор является ЭЦП. Он прикрепляется к файлу с информацией, которую надо подписать.

К основным преимуществам ЭП относится то, что она:

• • удостоверяет подлинность владельца сертификата ключа подписи;
• • не дает возможности отказаться от обязательств, связанных с подписанным текстом;
• • гарантирует целостность подписанного текста.