Как сделать электронную подпись? Ключ электронной подписи. Цифровые электронные подписи

что это такое? Электронная цифровая подпись: инструкция для начинающих

Электронная подпись - это математическая схема, предназначенная для отображения подлинности электронных сообщений либо документов. Действительная цифровая подпись предоставляет все основания для получателя полагать, что сообщение было создано с помощью известного отправителя, что оно действительно отправлено (аутентификация и безотказность), а также то, что письмо не изменили в процессе передачи (целостность).

эцп что это такое

Отвечая на вопрос: «ЭЦП – что это такое?» - стоит отметить, что цифровые подписи являются стандартным элементом большинства криптографических наборов протоколов и обычно используются для распространения ПО, совершения финансовых операций, а также во многих иных случаях, когда это важно для определения подделки или фальсификации.

Цифровые подписи зачастую применяются для реализации электронных подписей. Это более широкий термин, который относится к любым данным электронного типа. Вместе с тем не каждая электронная подпись является цифровой.

Цифровые подписи используют асимметричную криптографию. Во многих случаях они обеспечивают определенный уровень проверки и безопасности для сообщений, которые были отправлены по незащищенному каналу. Будучи правильно реализованной, цифровая подпись позволяет полагать, что сообщение было отправлено с помощью заявленного отправителя. Цифровые печати и подписи эквивалентны собственноручным подписям и реальным печатям.

электронная подпись

ЭЦП – что это такое?

Цифровые подписи подобны традиционным собственноручным подписям во многих отношениях, при этом их труднее подделать, чем рукописные. Цифровые схемы подписи имеют криптографические основы и должны быть выполнены должным образом, чтобы не потерять эффективность. Как подписать документ ЭЦП? Нужно использовать 2 парных криптоключа.

ЭЦП могут также реализовать принцип безотказности. Это означает, что подписчик не может успешно утверждать, что он не подписывал сообщение. Кроме того, некоторые схемы предлагают временную метку для цифровой подписи и даже если закрытый ключ подвергается воздействию, подпись остается действительной. ЭЦП могут быть представлены в виде битовой строки и могут быть применены в электронной почте, контрактах или сообщении, отправленном с помощью какого-либо криптографического протокола.

ключ эцп

Криптография с открытым ключом или структура ЭЦП

Что это такое? Цифровая схема подписи включает в себя одновременно три алгоритма.

Алгоритм генерации ключа, выбирающий секретный ключ равномерным и случайным образом из множества возможных частных. Он выдает ключ секретный и идущий с ним в паре открытый.

Алгоритм подписи, который, учитывая сообщение и закрытый ключ, собственно и производит подпись.

Проверочный алгоритм подписи, который учитывает сообщение, открытый ключ и подпись и принимает или же отклоняет отправку письма, определяя подлинность.

Как установить ЭЦП?

Для того чтобы использовать цифровую подпись, необходимо наделить ее двумя основными свойствами. Что же нужно учитывать перед тем, как подписать документ ЭЦП?

как подписать документ эцп

Во-первых, подлинность подписи, генерируемой из фиксированного сообщения и секретного ключа, может быть проверена с помощью соответствующей открытой информации.

Во-вторых, должно быть вычислительно неосуществимо подобрать правильную подпись не зная секретного ключа. ЭЦП представляет собой механизм аутентификации, который позволяет создателю сообщения прикрепить код, который действует в качестве подписи.

Применение цифровых подписей

Поскольку современные организации постепенно отходят от бумажных документов с подписями, выполненными чернилами, ЭЦП могут обеспечить дополнительное заверение подлинности и доказательство авторства, идентичности и статуса документа. Кроме того, цифровая подпись может быть средством, подтверждающим информированное согласие и одобрение подписавшей стороны. Таким образом, ЭЦП для физических лиц – реальность.

проверка эцп

Аутентификация

Несмотря на то что письма могут включать в себя подробную информацию, не всегда можно достоверно определить отправителя. Цифровые подписи могут быть использованы для аутентификации источника сообщений. Когда секретный ключ ЭЦП привязан к конкретному пользователю, это подтверждает, что сообщение было отправлено именно им. Значение уверенности в том, что отправитель подлинный, особенно очевидна в финансовых сферах.

Целостность

Во многих сценариях отправитель и получатель письма нуждаются в точном подтверждении, что оно не было изменено при передаче. Хотя шифрование скрывает содержимое отправленного объекта, возможно лишь изменить зашифрованное сообщение, без понимания его смысла. Некоторые алгоритмы шифрования способны предотвратить это, но не во всех случаях. В любом случае проверка ЭЦП при расшифровке обнаружит нарушение целостности письма.

Однако если сообщение подписано цифровой подписью, любое изменение в нем после подписания дезавуирует подпись. Кроме того, не существует эффективного метода изменить сообщение и произвести новое с действительной подписью, потому что это считается вычислительно невозможным.

эцп для физических лиц

Неотрекаемость

Неотрекаемость или невозможность отрицания происхождения письма является важным аспектом в развитии ЭЦП. Что это такое? Это означает, что юридическое лицо, отправившее некоторую информацию, не может в дальнейшем отрицать, что подписало ее. Аналогичным образом доступ к открытому ключу не позволяет злоумышленникам подделывать действительную подпись. Такие же последствия несет и применение ЭЦП для физических лиц.

При этом следует акцентировать внимание на том, что все свойства подлинности, безотказности и т.д. зависят от секретного ключа, который не должен быть отозван до его использования. Открытые ключи также должны быть аннулированы в паре с секретными после использования. Проверка ЭЦП на предмет «отзыва» происходит по определенному запросу.

Ввод секретного ключа на смарт-карте

Все криптосистемы, функционирующие на принципах использования открытого/закрытого ключа, полностью зависят от содержания данных в секрете. Секретный ключ ЭЦП может храниться на компьютере пользователя и быть защищен локальным паролем. Однако такой способ имеет два недостатка:

пользователь может подписывать документы исключительно на данном конкретном компьютере;
безопасность секретного ключа полностью зависит от безопасности компьютера.

Более надежная альтернатива для хранения секретного ключа - смарт-карта. Многие смарт-карты оснащены защитой от несанкционированного вмешательства.

Как правило, пользователь должен активировать свою смарт-карту, введя персональный идентификационный номер или PIN-код (таким образом обеспечивая двухфакторную аутентификацию). Это может быть устроено так, что закрытый ключ никогда не покидает смарт-карту, хотя это не всегда реализуется в криптопро ЭЦП.

Если смарт-карта украдена, злоумышленнику будет по-прежнему нужен PIN-код для создания цифровой подписи. Это несколько снижает безопасность данной схемы. Смягчающим фактором является то, что сгенерированные ключи, если они хранятся на смарт-картах, как правило, трудно скопировать, предполагается, что они существуют только в одном экземпляре. Таким образом, когда потеря смарт-карты будет обнаружена владельцем, соответствующий сертификат может быть немедленно отозван. Закрытые ключи, защищенные только программным обеспечением, проще скопировать, и такие утечки гораздо труднее обнаружить. Поэтому использование ЭЦП без дополнительной защиты небезопасно.

fb.ru

Какую электронную подпись выбрать (все виды цифровых подписей)

На сегодняшний день электронно-цифровая подпись используется для разных целей. Для того, чтобы определить какую электронную подпись выбрать, необходимо определиться с ее видами, а также целями использования.

Электронная подпись

Важно! ЭЦП или электронная подпись представляет собой аналог личной подписи, которую можно использовать для подписи электронных документов. ЭЦП является доказательством того, что документ подписан конкретным лицом.

Электронные подписи бывают следующих видов:

простая;
усиленная неквалифицированная;
усиленная квалифицированная.

Отличаются между собой они надежностью и возможностью их применения. Для того, чтобы определиться с выбором какая именно подпись компании требуется, необходимо знать, что каждая из них представляет (Читайте также ⇒ Электронно-цифровая подпись (ЭЦП) для онлайн-касс. Как получить?).

Простая подпись

К простой электронной подписи относят пары логин – пароль, код подтверждения и скретч-карта. Задачей подписи является подтверждение подписанта. Например, при оплате через интернет банк должен получить подтверждение, что перевод средств осуществляет конкретное лицо. При этом этому лицу приходит на телефон смс, содержащая одноразовый код. Если этот код введен, то это означает, что платежный документ подписан, но не рукой, а электронной подписью, после чего платеж прошел.

Простую подпись формирует та программа, в которой физлицо работает. Такая подпись не имеет юридической силы и работает просто от имени физлица. Такая подпись совершенно не подойдет для того, чтобы подписать документ, например, договор.

В некоторых случаях законодательство может предусматривать простую электронную подпись равноценной личной подписи. Но для этого потребуется составить «Соглашение о простой электронной подписи». Это соглашение следует подписать со всеми, с кем планируется обмен документами. При этом специальной формы такого соглашения нет, главное, чтобы в нем указывались два следующих пункта:

обязательство по соблюдению конфиденциальности;
правила по определению лица, подписавшего документ.

Под обязательством соблюдения конфиденциальности понимают, что владелец подписи соблюдает меры безопасности для того, чтобы злоумышленники не имели доступ к информации. Другими словами, он не должен сообщать кому-либо свой логин, пароль, а также показывать коды.

Существуют следующие правила для определения подписывающего лица:

договориться об однозначной идентификации;
использовать шифрование.

В соответствии с первым способом, в соглашении необходимо указать, что конкретный электронный адрес или телефон идентифицирует отправителя, а владелец подписи обязан содержать данные для доступа в секрете. При втором способе используется код для подписи в виде сочетания букв, цифр или штрих-кода.

Что можно подписать простой электронной подписью

Важно! Как уже можно догадаться, простая подпись по сравнению с другими является менее защищенной. Подходит она для внутреннего документооборота, для заказа услуг или оплаты товара. Однако подписать ею электронный документ для государственных органов уже не получится.

Для коммерческих организаций возможно использование простой электронной подписи с юридической силой. К примеру, обмен рабочими документами происходит между несколькими сотрудниками. Для того, чтобы такая переписка получила юридическую силу, необходимо подписать соглашение о простой электронной подписи, после во все документы нужно будет вписывать код подписи. Такой способ является наиболее простым и доступным.

Неквалифицированная электронная подпись

Неквалифицированная подпись (НЭП) является более сложной и защищенной подписью. Она является подтверждением того, что документ подписан конкретным лицом и дает гарантию того, что в последствии изменения в документ никто не вносил.

Такой вид подписи создает система, в которой происходит подписание документов. К примеру, если физлицо направляет в налоговый орган декларацию о доходах, то ФНС совершенно бесплатно создаст такою подпись на своем сайте.

Юрлицо, желающее направлять по системе электронного документооборота служебные записки, сможет создать подпись через систему. В этом случае платить за нее не потребуется, ее стоимость войдет в оплату за соответствующую программу. Документ такой подписью можно подписывать даже в ворде, однако распознавать такую подпись сможет только система, которая выпустила ее.

Неквалифицированная подпись является аналогом подписи на документах без проставления печати. Другими словами документов, подписываемых физлицами и участвующими во внутреннем документообороте компании.

Важно! НЭП работает только в системе, в которой она создана. Это означает, что при получении подписи на сайте налогового органа, она может быть использована только для взаимодействия с ИФНС. Если в компании установлена система, в которой происходит подписание документов, то это можно организовывать только внутри системы.

Квалифицированная электронная подпись

Усиленная квалифицированная подпись (КЭП) представляет собой подпись, которая требуется в госорганы для подачи отчетности. КЭП является самой защищенной подписью, которая зашифрована специальными сертификатами. Именно поэтому государственные органы могут принять ее на документах юрлиц.

Для получения КЭП обратиться потребуется в удостоверяющий центр, который аккредитован Минкомсвязи (в настоящее время их в России — 456). При этом за КЭП нужно будет заплатить. Такие центры используют специальные средства шифрования, утвержденные ФСБ, которые являются гарантом того, что взломать подпись невозможно.

Удостоверяющий центр выдает сертификат подписи, а также ключ. Именно сертификат является подтверждением того, что ключ принадлежит конкретному лицу. Он содержит данные владельца, ключ подписи, а также сфера применения подписи, то есть те площадки, которые данную подпись принимают. Установить электронный сертификат необходимо на компьютер.

Ключ представляет собой код, который записан на электронный носитель. При этом в качестве носителя может использоваться флешка, карта памяти или банковская карта, содержащая чип.

Для того, чтобы у владельца подписи появилась возможность подписывать документы, на компьютере необходимо установить криптопровайдер, который представляет собой посредническую программу между электронной подписью и ОС. Наиболее известными из них являются: КриптоПро, CSP.

Что можно подписывать квалифицированной электронной подписью

Квалифицированной цифровой подписью подписывать можно любые документы внутри компании, либо для иных компании и госорганов. Квалифицированная ЭЦП имеет больше прав по сравнению с неквалифицированной.При этом если законодательство разрешает использование неквалифицированной подписи, то можно воспользоваться квалифицированной.

В некоторых удостоверяющих центрах предусматривается продажа комплексной услуги: электронной подписи и программы подачи отчетности. В этой программе предусмотрены готовые шаблоны документов, она также напоминает о том, что необходимо сдать отчет. Кроме того, программа позволяет направить отчеты в государственные органы.

Какую электронную подпись выбрать

При выборе электронной подписи, действовать можно следующим образом:

Определить для чего именно необходима электронная подпись. Если для внутреннего документооборота, то можно использовать простую или неквалифицированную подпись, а если для обмена с госорганами, то потребуется квалифицированная подпись.
Следует учитывать в какие органы компания подает отчеты и выяснить в удостоверяющем центре есть ли у них один сертификат, который позволяет работать со всеми госорганами.

Если одновременно подается множество документов в различные органы, то в удостоверяющем центре следует выяснить о программе передачи отчетов.

Оцените качество статьи. Мы хотим стать лучше для вас:

Вы можете получить ответ на свой вопрос позвонив по номерам ⇓Консультация бесплатная Москва, Московская область звоните: +7 (499) 288-17-58

Звонок в один клик Санкт-Петербург, Ленинградская область звоните: +7 (812) 317-60-16

Звонок в один клик

online-buhuchet.ru

Как работает Электронно Цифровая Подпись / Новичкам / PKI Guru

Много-много лет назад, работая админом на одном из градообразующих предприятий российской глубинки, мне пришлось впервые столкнуться с понятием «электронно-цифровая подпись» (далее ЭЦП). В головах руководства, на тот момент, укоренилась мысль, что ЭЦП — это обычная подпись, отсканированная и добавляемая на все документы, которые должны быть «подписаны».

Давайте разбёрмся, что же такое ЭЦП и как она работает. Для работы с ЭЦП нам, прежде всего, необходим цифровой сертификат и закрытый ключ.

Сначала, нам необходимо установить ЭЦП под документом. Установка ЭЦП происходит в два шага: 1. Берём документ, который мы хотим подписать и вычисляем хэш от этого документа. (Упрощённо, хэш — это односторонняя математическая функция преобразования документа произвольной длинны, в документ фиксированной длинны). 2. Затем, этот полученный хэш шифруем нашим закрытым ключом. Установка электронно-цифровой подписи

Теперь документ, с прикреплённой к нему ЭЦП и нашим сертификатом, отправляем получателям. Отправляем подписанный документ

Получив подписанный документ, нам необходимо проверить подпись — действительна она или нет. Проверка ЭЦП происходит несколько сложнее: 1. Берём документ, подпись под которым необходимо проверить, вычисляем хэш от этого документа. 2. Берём цифровой сертификат пользователя, который подписал документ и прикреплённую к документу ЭЦП (которая является зашифрованым на закрытом ключе подписсанда хэшом оригинального документа) и расшифровываем с помощью открытого ключа. Таким образом, у нас есть два хэша — тот, который мы вычислили сами и тот, который мы получили вместе с документом и расшифровали открытым ключом подписанта. 3. Теперь сравниываем эти хэши. Если хэши совпадают, значит подпись действительна, если хэши различаются, значит подпись неделйствительна. Проверка электронно-цифровой подписи

В заключении определим, что нам даёт использование цифровой подписи: 1. Неизменяемость в процессе передачи или хранения — если документ был изменён, то хэш, который мы вычислим, и который был прикрёплён к документу, буду разные, следовательно, подпись будет неделйстительная, из чего можно сделать вывод, что документ был изменён; 2. Неотказуемость от авторства — если подпись верна, значит подписант, сертификат (точнее открытый ключ из сертификата) которого используется для расшифрования хэша и является автором документа;

Для того, чтобы было невозможно подделать ЭЦП, закрытый ключ должен быть в единственном экземпляре и доступ к нему должен быть только у владельца. Это можно реализовать используя смарт-карты, но это уже совсем другая история.

pkiguru.ru

Цифровая подпись - это... Что такое Цифровая подпись?

Управлением ключами занимаются центры распространения сертификатов. Обратившись к такому центру пользователь может получить сертификат какого-либо пользователя, а также проверить, не отозван ли ещё тот или иной открытый ключ.

Юридические аспекты

В России юридически значимый сертификат электронной подписи выдаёт удостоверяющий центр. Правовые условия использования электронной цифровой подписи в электронных документах регламентирует ФЕДЕРАЛЬНЫЙ ЗАКОН ОТ 10.01.2002 N 1-ФЗ «ОБ ЭЛЕКТРОННОЙ ЦИФРОВОЙ ПОДПИСИ»

Использование ЭЦП в России

После становления ЭЦП при использовании в электронном документообороте между кредитными организациями и кредитными бюро в 2005 году активно стала развиваться инфраструктура электронного ДОУ между налоговыми органами и налогоплательщиками. Начал работать приказ Министерства по налогам и сборам Российской Федерации от 2 апреля 2002 г. N БГ-3-32/169 «Порядок представления налоговой декларации в электронном виде по телекоммуникационным каналам связи». Порядок представления налоговой декларации в электронном виде по телекоммуникационным каналам связи определяет общие принципы организации информационного обмена при представлении налогоплательщиками налоговой декларации в электронном виде по телекоммуникационным каналам связи.

В Законе РФ от 10.01.2002 № 1-ФЗ «ОБ ЭЛЕКТРОННОЙ ЦИФРОВОЙ ПОДПИСИ» прописаны условия использования электронной цифровой подписи, особенности ее использования в сферах государственоого управления и в корпоративной информационной системе. Благодаря электронной цифровой подписи теперь, в частности, многие российские компании осуществляют свою торгово-закупочную деятельность в Интернете, через «Системы электронной торговли», обмениваясь с контрагентами необходимыми документами в электронном виде, подписанными ЭЦП. Это значительно упрощает и ускоряет проведение конкурсных торговых процедур.

В Москве в рамках реализации ГЦП (Городской целевой программы) "Электронная Москва" был образован Уполномоченный удостоверяющий Центр ОАО "Электронная Москва" (http://www.uc-em.ru) для решения задач координации работ и привлечения инвестиций при выполнении Городской целевой программы.

Использование ЭЦП в других странах

Система электронных подписей широко используется в Эстонской Республике, где введена программа ID-карт, которыми снабжены 3/4 населения страны. При помощи электронной подписи в марте 2007 года были проведены выборы в местный парламент — Рийгикогу. При голосовании электронную подпись использовали 400 000 человек. Кроме того, при помощи электронной подписи можно отправить налоговую декларацию, таможенную декларацию, различные анкеты как в местные самоуправления, так и в государственные органы. В крупных городах при помощи ID-карты возможна покупка месячных автобусных билетов. Все это осуществляется через центральный гражданский портал Eesti.ee [1]. Эстонская ID-карта является обязательной для всех жителей с 15 лет, проживающих временно или постоянно на территории Эстонии.

Примечания

Федеральный закон №149 - ФЗ от 27 июля 2006г. "Об информации, информационных технологиях и о защите информации" - http://uc-em.ru/download/02.doc

Федеральный закон № 126 - ФЗ от 07 июля 2003г. "О связи" - http://uc-em.ru/download/03.doc

Постановление Правительства РФ №319 от 30 июня 2004г. "Об утверждении Положения о Федеральном агентстве по информационным технологиям" - http://uc-em.ru/download/05.doc

Постановление Правительства Москвы №495 - ПП от 19 июня 2007г. "Об утверждении Положения о Головном удостоверяющем центре города Москвы" - http://uc-em.ru/download/06.doc

Постановление Правительства Москвы №249 - ПП от 10 апреля 2007г. "Об утверждении порядка работы органов исполнительной власти города Москвы, государственных учреждений и государственных унитарных предприятий города Москвы с электронными документами, подписанными электронной цифровой подписью" - http://uc-em.ru/download/07.doc

Постановление Правительства Москвы №997 - ПП от 19 декабря 2006г. "Об утверждении порядка использования электронной цифровой подписи органами исполнительной власти города Москвы и государственными заказчиками при размещении государственного заказа города Москвы" - http://uc-em.ru/download/08.doc

Постановление Правительства Москвы №544 - ПП "Об утверждении Положения о Системе уполномоченных удостоверяющих центров органов исполнительной власти города Москвы" - http://uc-em.ru/download/09.doc

Постановление Правительства Москвы №450 - ПП от 6 июля 2004г. "О дополнительных мерах по обеспечению эффективного использования бюджетных средств при формировании, размещении и исполнении городского государственного заказа и создании Единого реестра контрактов и торгов города Москвы" - http://uc-em.ru/download/10.doc

Постановление Правительства Москвы №299-ПП от 11 мая 2004г. "Об утверждении Положения о порядке организации выдачи и отзыва сертификатов ключей электронных цифровых подписей уполномоченных лиц органов исполнительной власти города Москвы" - http://uc-em.ru/download/11.doc

Постановление Правительства Москвы №1079-ПП от 30 декабря 2003г. "Об уполномоченном органе в области использования электронной цифровой подписи в информационных системах органов исполнительной власти города Москвы" - http://uc-em.ru/download/12.doc

Об определении уполномоченных удостоверяющих центров - http://uc-em.ru/download/14.doc

Ссылки

www.ECM-Journal.ru — Блоги и статьи. Просто об электронном документообороте

См. также

dikc.academic.ru

Электронная подпись - это... Что такое Электронная подпись?

Юридические аспекты

Использование ЭЦП в России

Использование ЭЦП в других странах

Примечания

Федеральный закон № 126 - ФЗ от 07 июля 2003г. "О связи" - http://uc-em.ru/download/03.doc

Об определении уполномоченных удостоверяющих центров - http://uc-em.ru/download/14.doc

Ссылки

www.ECM-Journal.ru — Блоги и статьи. Просто об электронном документообороте

См. также

muller.academic.ru

Электронная подпись Википедия

Электро́нная по́дпись (ЭП), Электро́нная цифровая по́дпись (ЭЦП), Цифровая подпись (ЦП) — реквизит электронного документа, полученный в результате криптографического преобразования информации с использованием закрытого ключа подписи и позволяющий проверить отсутствие искажения информации в электронном документе с момента формирования подписи (целостность), принадлежность подписи владельцу сертификата ключа подписи (авторство), а в случае успешной проверки подтвердить факт подписания электронного документа (неотказуемость).

Назначение и применение

Квалифицированная электронная подпись предназначена для определения лица, подписавшего электронный документ, и является аналогом собственноручной подписи в случаях, предусмотренных законом[1].

Квалифицированная электронная подпись применяется при совершении гражданско-правовых сделок, оказании государственных и муниципальных услуг, исполнении государственных и муниципальных функций, при совершении иных юридически значимых действий[2].

Использование ЭП предполагается для осуществления следующих важных направлений в электронной экономике:

Полный контроль целостности передаваемого электронного платежного документа: в случае любого случайного или преднамеренного изменения документа цифровая подпись станет недействительной, потому как вычисляется она по специальному алгоритму на основании исходного состояния документа и соответствует лишь ему.

Эффективная защита от изменений (подделки) документа. ЭП даёт гарантию, что при осуществлении контроля целостности будут выявлены всякого рода подделки. Как следствие, подделывание документов становится нецелесообразным в большинстве случаев.

Фиксирование невозможности отказа от авторства данного документа. Это аспект вытекает из того, что вновь создать правильную электронную подпись можно лишь в случае обладания так называемым закрытым ключом, который, в свою очередь, должен быть известен только владельцу этого самого ключа (автору документа). В этом случае владелец не сможет сформировать отказ от своей подписи, а значит — от документа.

Формирование доказательств подтверждения авторства документа: исходя из того, что создать корректную электронную подпись можно, как указывалось выше, лишь зная Закрытый ключ, а он по определению должен быть известен только владельцу-автору документа, то владелец ключей может однозначно доказать своё авторство подписи под документом. Более того, в документе могут быть подписаны только отдельные поля документа, такие как «автор», «внесённые изменения», «метка времени» и т. д. То есть, может быть доказательно подтверждено авторство не на весь документ.

Перечисленные выше свойства электронной цифровой подписи позволяют использовать её в следующих основных целях электронной экономики и электронного документального и денежного обращения:

Таможенное декларирование товаров и услуг (таможенные декларации).
Электронная регистрация сделок по объектам недвижимости.
Использование в банковских платежных системах.
Электронная коммерция (торговля).
Контролирующие функции исполнения государственного бюджета (если речь идет о стране) и исполнения сметных назначений и лимитов бюджетных обязательств (в данном случае если разговор идет об отрасли или о конкретном бюджетном учреждении).
Управление государственными заказами.
В электронных системах обращения граждан к органам власти, в т.ч. и по экономическим вопросам (в рамках таких проектов как «электронное правительство» и «электронный гражданин»).
Формирование обязательной налоговой (фискальной), бюджетной, статистической и прочей отчетности перед государственными учреждениями и внебюджетными фондами.
Организация юридически легитимного внутрикорпоративного, внутриотраслевого или национального электронного документооборота.
Применение ЭЦП в различных расчетных и трейдинговых системах.
Управление акционерным капиталом и долевым участием.
Контроль над объёмом производства и оборота этилового спирта, алкогольной продукции и пива посредством системы ЕГАИС.
В глобальных системах межбанковского рынка обмена валют по определенному курсу (Forex).

История возникновения

В 1976 году Уитфилдом Диффи и Мартином Хеллманом было впервые предложено понятие «электронная цифровая подпись», хотя они всего лишь предполагали, что схемы ЭЦП могут существовать.[3]

В 1977 году Рональд Ривест, Ади Шамир и Леонард Адлеман разработали криптографический алгоритм RSA, который без дополнительных модификаций можно использовать для создания примитивных цифровых подписей.[4]

Вскоре после RSA были разработаны другие ЭЦП, такие, как алгоритмы цифровой подписи Рабина, Меркле.

В 1984 году Шафи Гольдвассер, Сильвио Микали и Рональд Ривест первыми строго определили требования безопасности к алгоритмам цифровой подписи. Ими были описаны модели атак на алгоритмы ЭЦП, а также предложена схема GMR, отвечающая описанным требованиям (Криптосистема Гольдвассер — Микали).[5]

Россия

В 1994 году Главным управлением безопасности связи ФАПСИ был разработан первый российский стандарт ЭЦП — ГОСТ Р 34.10-94 «Информационная технология. Криптографическая защита информации. Процедуры выработки и проверки электронной цифровой подписи на базе асимметричного криптографического алгоритма».

В 2002 году для обеспечения большей криптостойкости алгоритма взамен ГОСТ Р 34.10-94 был введён одноимённый стандарт ГОСТ Р 34.10-2001, основанный на вычислениях в группе точек эллиптической кривой. В соответствии с этим стандартом, термины «электронная цифровая подпись» и «цифровая подпись» являются синонимами.

1 января 2013 года ГОСТ Р 34.10-2001 заменён на ГОСТ Р 34.10-2012 «Информационная технология. Криптографическая защита информации. Процессы формирования и проверки электронной цифровой подписи.»

Алгоритмы

Существует несколько схем построения цифровой подписи:

На основе алгоритмов симметричного шифрования. Данная схема предусматривает наличие в системе третьего лица — арбитра, пользующегося доверием обеих сторон. Авторизацией документа является сам факт зашифрования его секретным ключом и передача его арбитру.[6]
На основе алгоритмов асимметричного шифрования. На данный момент такие схемы ЭП наиболее распространены и находят широкое применение.

Кроме этого, существуют другие разновидности цифровых подписей (групповая подпись, неоспоримая подпись, доверенная подпись), которые являются модификациями описанных выше схем.[6] Их появление обусловлено разнообразием задач, решаемых с помощью ЭП.

Использование хэш-функций

Поскольку подписываемые документы — переменного (и как правило достаточно большого) объёма, в схемах ЭП зачастую подпись ставится не на сам документ, а на его хэш. Для вычисления хэша используются криптографические хэш-функции, что гарантирует выявление изменений документа при проверке подписи. Хэш-функции не являются частью алгоритма ЭП, поэтому в схеме может быть использована любая надёжная хэш-функция.

Использование хэш-функций даёт следующие преимущества:

Вычислительная сложность. Обычно хэш цифрового документа делается во много раз меньшего объёма, чем объём исходного документа, и алгоритмы вычисления хэша являются более быстрыми, чем алгоритмы ЭП. Поэтому формировать хэш документа и подписывать его получается намного быстрее, чем подписывать сам документ.
Совместимость. Большинство алгоритмов оперирует со строками бит данных, но некоторые используют другие представления. Хэш-функцию можно использовать для преобразования произвольного входного текста в подходящий формат.
Целостность. Без использования хэш-функции большой электронный документ в некоторых схемах нужно разделять на достаточно малые блоки для применения ЭП. При верификации невозможно определить, все ли блоки получены и в правильном ли они порядке.

Использование хэш-функции не обязательно при электронной подписи, а сама функция не является частью алгоритма ЭП, поэтому хэш-функция может использоваться любая или не использоваться вообще.

В большинстве ранних систем ЭП использовались функции с секретом, которые по своему назначению близки к односторонним функциям. Такие системы уязвимы к атакам с использованием открытого ключа (см. ниже), так как, выбрав произвольную цифровую подпись и применив к ней алгоритм верификации, можно получить исходный текст.[7] Чтобы избежать этого, вместе с цифровой подписью используется хэш-функция, то есть, вычисление подписи осуществляется не относительно самого документа, а относительно его хэша. В этом случае в результате верификации можно получить только хэш исходного текста, следовательно, если используемая хэш-функция криптографически стойкая, то получить исходный текст будет вычислительно сложно, а значит атака такого типа становится невозможной.

Симметричная схема

Симметричные схемы ЭП менее распространены, чем асимметричные, так как после появления концепции цифровой подписи не удалось реализовать эффективные алгоритмы подписи, основанные на известных в то время симметричных шифрах. Первыми, кто обратил внимание на возможность симметричной схемы цифровой подписи, были основоположники самого понятия ЭП Диффи и Хеллман, которые опубликовали описание алгоритма подписи одного бита с помощью блочного шифра.[3] Асимметричные схемы цифровой подписи опираются на вычислительно сложные задачи, сложность которых ещё не доказана, поэтому невозможно определить, будут ли эти схемы сломаны в ближайшее время, как это произошло со схемой, основанной на задаче об укладке ранца. Также для увеличения криптостойкости нужно увеличивать длину ключей, что приводит к необходимости переписывать программы, реализующие асимметричные схемы, и в некоторых случаях перепроектировать аппаратуру.[6] Симметричные схемы основаны на хорошо изученных блочных шифрах.

В связи с этим симметричные схемы имеют следующие преимущества:

Стойкость симметричных схем ЭП вытекает из стойкости используемых блочных шифров, надежность которых также хорошо изучена.
Если стойкость шифра окажется недостаточной, его легко можно будет заменить на более стойкий с минимальными изменениями в реализации.

Однако у симметричных ЭП есть и ряд недостатков:

Нужно подписывать отдельно каждый бит передаваемой информации, что приводит к значительному увеличению подписи. Подпись может превосходить сообщение по размеру на два порядка.
Сгенерированные для подписи ключи могут быть использованы только один раз, так как после подписывания раскрывается половина секретного ключа.

Из-за рассмотренных недостатков симметричная схема ЭЦП Диффи-Хелмана не применяется, а используется её модификация, разработанная Березиным и Дорошкевичем, в которой подписывается сразу группа из нескольких бит. Это приводит к уменьшению размеров подписи, но к увеличению объёма вычислений. Для преодоления проблемы «одноразовости» ключей используется генерация отдельных ключей из главного ключа.[6]

Асимметричная схема

Схема, поясняющая алгоритмы подписи и проверки

Асимметричные схемы ЭП относятся к криптосистемам с открытым ключом. В отличие от асимметричных алгоритмов шифрования, в которых шифрование производится с помощью открытого ключа, а расшифровка — с помощью закрытого, в асимметричных схемах цифровой подписи подписание производится с применением закрытого ключа, а проверка подписи — с применением открытого.

Общепризнанная схема цифровой подписи охватывает три процесса[источник не указан 669 дней]:

Генерация ключевой пары. При помощи алгоритма генерации ключа равновероятным образом из набора возможных закрытых ключей выбирается закрытый ключ, вычисляется соответствующий ему открытый ключ.
Формирование подписи. Для заданного электронного документа с помощью закрытого ключа вычисляется подпись.
Проверка (верификация) подписи. Для данных документа и подписи с помощью открытого ключа определяется действительность подписи.

Для того, чтобы использование цифровой подписи имело смысл, необходимо выполнение двух условий:

Верификация подписи должна производиться открытым ключом, соответствующим именно тому закрытому ключу, который использовался при подписании.
Без обладания закрытым ключом должно быть вычислительно сложно создать легитимную цифровую подпись.

Следует отличать электронную цифровую подпись от кода аутентичности сообщения (MAC).

Виды асимметричных алгоритмов

Как было сказано выше, чтобы применение ЭП имело смысл, необходимо, чтобы вычисление легитимной подписи без знания закрытого ключа было вычислительно сложным процессом.

Обеспечение этого во всех асимметричных алгоритмах цифровой подписи опирается на следующие вычислительные задачи:

Вычисления тоже могут производиться двумя способами: на базе математического аппарата эллиптических кривых (ГОСТ Р 34.10-2012, ECDSA) и на базе полей Галуа (ГОСТ Р 34.10-94, DSA)[8]. В настоящее время самые быстрые алгоритмы дискретного логарифмирования и факторизации являются субэкспоненциальными. Принадлежность самих задач к классу NP-полных не доказана.

Алгоритмы ЭП подразделяются на обычные цифровые подписи и на цифровые подписи с восстановлением документа[9]. При верификации цифровых подписей с восстановлением документа тело документа восстанавливается автоматически, его не нужно прикреплять к подписи. Обычные цифровые подписи требуют присоединение документа к подписи. Ясно, что все алгоритмы, подписывающие хэш документа, относятся к обычным ЭП. К ЭП с восстановлением документа относится, в частности, RSA.

Схемы электронной подписи могут быть одноразовыми и многоразовыми. В одноразовых схемах после проверки подлинности подписи необходимо провести замену ключей, в многоразовых схемах это делать не требуется.

Также алгоритмы ЭП делятся на детерминированные и вероятностные[9]. Детерминированные ЭП при одинаковых входных данных вычисляют одинаковую подпись. Реализация вероятностных алгоритмов более сложна, так как требует надежный источник энтропии, но при одинаковых входных данных подписи могут быть различны, что увеличивает криптостойкость. В настоящее время многие детерминированные схемы модифицированы в вероятностные.

В некоторых случаях, таких как потоковая передача данных, алгоритмы ЭП могут оказаться слишком медленными. В таких случаях применяется быстрая цифровая подпись. Ускорение подписи достигается алгоритмами с меньшим количеством модульных вычислений и переходом к принципиально другим методам расчёта.

Перечень алгоритмов ЭП

Асимметричные схемы:

На основе асимметричных схем созданы модификации цифровой подписи, отвечающие различным требованиям:

Групповая цифровая подпись
Неоспоримая цифровая подпись
«Слепая» цифровая подпись и справедливая «слепая» подпись
Конфиденциальная цифровая подпись
Цифровая подпись с доказуемостью подделки
Доверенная цифровая подпись
Разовая цифровая подпись

Подделка подписей

Анализ возможностей подделки подписей — задача криптоанализа. Попытку сфальсифицировать подпись или подписанный документ криптоаналитики называют «атака».

Модели атак и их возможные результаты

В своей работе Гольдвассер, Микали и Ривест описывают следующие модели атак, которые актуальны и в настоящее время[5]:

Атака с использованием открытого ключа. Криптоаналитик обладает только открытым ключом.
Атака на основе известных сообщений. Противник обладает допустимыми подписями набора электронных документов, известных ему, но не выбираемых им.
Адаптивная атака на основе выбранных сообщений. Криптоаналитик может получить подписи электронных документов, которые он выбирает сам.

Также в работе описана классификация возможных результатов атак:

Полный взлом цифровой подписи. Получение закрытого ключа, что означает полный взлом алгоритма.
Универсальная подделка цифровой подписи. Нахождение алгоритма, аналогичного алгоритму подписи, что позволяет подделывать подписи для любого электронного документа.
Выборочная подделка цифровой подписи. Возможность подделывать подписи для документов, выбранных криптоаналитиком.
Экзистенциальная подделка цифровой подписи. Возможность получения допустимой подписи для какого-то документа, не выбираемого криптоаналитиком.

Ясно, что самой «опасной» атакой является адаптивная атака на основе выбранных сообщений, и при анализе алгоритмов ЭП на криптостойкость нужно рассматривать именно её (если нет каких-либо особых условий).

При безошибочной реализации современных алгоритмов ЭП получение закрытого ключа алгоритма является практически невозможной задачей из-за вычислительной сложности задач, на которых ЭП построена. Гораздо более вероятен поиск криптоаналитиком коллизий первого и второго родов. Коллизия первого рода эквивалентна экзистенциальной подделке, а коллизия второго рода — выборочной. С учётом применения хэш-функций, нахождение коллизий для алгоритма подписи эквивалентно нахождению коллизий для самих хэш-функций.

Подделка документа (коллизия первого рода)

Злоумышленник может попытаться подобрать документ к данной подписи, чтобы подпись к нему подходила. Однако в подавляющем большинстве случаев такой документ может быть только один. Причина в следующем:

документ представляет из себя осмысленный текст;
текст документа оформлен по установленной форме;
документы редко оформляют в виде txt-файла, чаще всего в формате DOC или HTML.

Если у фальшивого набора байт и произойдет коллизия с хэшем исходного документа, то должны выполниться три следующих условия:

случайный набор байт должен подойти под сложно структурированный формат файла;
то, что текстовый редактор прочитает в случайном наборе байт, должно образовывать текст, оформленный по установленной форме;
текст должен быть осмысленным, грамотным и соответствующим теме документа.

Впрочем, во многих структурированных наборах данных можно вставить произвольные данные в некоторые служебные поля, не изменив вид документа для пользователя. Именно этим пользуются злоумышленники, подделывая документы. Некоторые форматы подписи даже защищают целостность текста, но не служебных полей.[11]

Вероятность подобного происшествия также ничтожно мала. Можно считать, что на практике такого случиться не может даже с ненадёжными хэш-функциями, так как документы обычно большого объёма — килобайты.

Получение двух документов с одинаковой подписью (коллизия второго рода)

Куда более вероятна атака второго рода. В этом случае злоумышленник фабрикует два документа с одинаковой подписью, и в нужный момент подменяет один другим. При использовании надёжной хэш-функции такая атака должна быть также вычислительно сложной. Однако эти угрозы могут реализоваться из-за слабостей конкретных алгоритмов хэширования, подписи, или ошибок в их реализациях. В частности, таким образом можно провести атаку на SSL-сертификаты и алгоритм хэширования MD5.[12]

Социальные атаки

Социальные атаки направлены не на взлом алгоритмов цифровой подписи, а на манипуляции с открытым и закрытым ключами[13].

Злоумышленник, укравший закрытый ключ, может подписать любой документ от имени владельца ключа.
Злоумышленник может обманом заставить владельца подписать какой-либо документ, например, используя протокол слепой подписи.
Злоумышленник может подменить открытый ключ владельца на свой собственный, выдавая себя за него.

Использование протоколов обмена ключами и защита закрытого ключа от несанкционированного доступа позволяет снизить опасность социальных атак.

Управление ключами

Управление открытыми ключами

Важной проблемой всей криптографии с открытым ключом, в том числе и систем ЭП, является управление открытыми ключами. Так как открытый ключ доступен любому пользователю, то необходим механизм проверки того, что этот ключ принадлежит именно своему владельцу. Необходимо обеспечить доступ любого пользователя к подлинному открытому ключу любого другого пользователя, защитить эти ключи от подмены злоумышленником, а также организовать отзы́в ключа в случае его компрометации.

Задача защиты ключей от подмены решается с помощью сертификатов. Сертификат позволяет удостоверить заключённые в нём данные о владельце и его открытый ключ подписью какого-либо доверенного лица. Существуют системы сертификатов двух типов: централизованные и децентрализованные. В децентрализованных системах путём перекрёстного подписывания сертификатов знакомых и доверенных людей каждым пользователем строится сеть доверия. В централизованных системах сертификатов используются центры сертификации, поддерживаемые доверенными организациями.

Центр сертификации формирует закрытый ключ и собственный сертификат, формирует сертификаты конечных пользователей и удостоверяет их аутентичность своей цифровой подписью. Также центр проводит отзы́в истекших и компрометированных сертификатов и ведёт базы (списки) выданных и отозванных сертификатов. Обратившись в сертификационный центр, можно получить собственный сертификат открытого ключа, сертификат другого пользователя и узнать, какие ключи отозваны.

Хранение закрытого ключа

Смарт-карта и USB-брелоки

Закрытый ключ является наиболее уязвимым компонентом всей криптосистемы цифровой подписи. Злоумышленник, укравший закрытый ключ пользователя, может создать действительную цифровую подпись любого электронного документа от лица этого пользователя. Поэтому особое внимание нужно уделять способу хранения закрытого ключа. Пользователь может хранить закрытый ключ на своем персональном компьютере, защитив его с помощью пароля. Однако такой способ хранения имеет ряд недостатков, в частности, защищённость ключа полностью зависит от защищённости компьютера, и пользователь может подписывать документы только на этом компьютере.

В настоящее время существуют следующие устройства хранения закрытого ключа:

Кража или потеря одного из таких устройств хранения может быть легко замечена пользователем, после чего соответствующий сертификат должен/может быть немедленно отозван.

Наиболее защищённый способ хранения закрытого ключа — хранение на смарт-карте. Для того, чтобы использовать смарт-карту, пользователю необходимо не только её иметь, но и ввести PIN-код, то есть, получается двухфакторная аутентификация. После этого подписываемый документ или его хэш передаётся в карту, её процессор осуществляет подписывание хэша и передаёт подпись обратно. В процессе формирования подписи таким способом не происходит копирования закрытого ключа, поэтому все время существует только единственная копия ключа. Кроме того, произвести копирование информации со смарт-карты немного сложнее, чем с других устройств хранения.

В соответствии с законом «Об электронной подписи», ответственность за хранение закрытого ключа владелец несёт сам.

Использование ЭП

В России

В России юридически значимый сертификат электронной подписи выдаёт удостоверяющий центр. Правовые условия использования электронной цифровой подписи в электронных документах регламентирует Федеральный закон Российской Федерации от 6 апреля 2011 года № 63-ФЗ «Об электронной подписи».

После становления ЭП при использовании в электронном документообороте между кредитными организациями и кредитными бюро в 2005 году активно стала развиваться инфраструктура электронного документооборота между налоговыми органами и налогоплательщиками. Начал работать приказ Министерства по налогам и сборам РФ от 2 апреля 2002 года № БГ-3-32/169 «Порядок представления налоговой декларации в электронном виде по телекоммуникационным каналам связи». Он определяет общие принципы информационного обмена при представлении налоговой декларации в электронном виде по телекоммуникационным каналам связи.

В законе РФ от 10 января 2002 года № 1-ФЗ «Об электронной цифровой подписи» описаны условия использования ЭП, особенности её использования в сферах государственного управления и в корпоративной информационной системе.

Благодаря ЭП теперь, в частности, многие российские компании осуществляют свою торгово-закупочную деятельность в Интернете через системы электронной торговли, обмениваясь с контрагентами необходимыми документами в электронном виде, подписанными ЭП. Это значительно упрощает и ускоряет проведение конкурсных торговых процедур[14]. В силу требований Федерального закона от 5 апреля 2013 года № 44-ФЗ «О контрактной системе...» государственные контракты, заключаемые в электронном виде, должны быть подписаны усиленной электронной подписью[15].

С 13 июля 2012 согласно Федеральному закону № 108-ФЗ официально вступила в действие правовая норма, продлевающая действие 1-ФЗ «Об электронной цифровой подписи» до 1 июля 2013 года. В частности, решено в части 2 статьи 20 Федерального закона от 6 апреля 2011 года № 63-ФЗ «Об электронной подписи» (Собрание законодательства Российской Федерации, 2011, № 15, ст. 2036) слова «с 1 июля 2012 года» заменить словами «с 1 июля 2013 года».[16].

Однако Федеральным законом от 02.07.2013 № 171-ФЗ внесены изменения в статью 19 Федерального закона от 06.04.11 № 63-ФЗ «Об электронной подписи». В соответствии с этим электронный документ, подписанный электронной подписью, сертификат ключа проверки которой выдан в период действия федерального закона № 1-ФЗ, признаётся подписанным квалифицированной электронной подписью. При этом использовать старый сертификат можно до 31 декабря 2013 года включительно. Это значит, что в указанный период документы могут подписываться электронной цифровой подписью, сертификат ключа проверки которой выдан до 1 июля 2013 года.

С 1 июля 2013 года Федеральный закон от 10 января 2002 года № 1-ФЗ утратил силу, на смену ему пришёл Федеральный закон от 6 апреля 2011 года № 63-ФЗ «Об электронной подписи». В результате было введено определение трех видов электронных подписей:

Простой электронной подписью является электронная подпись, которая посредством использования кодов, паролей или иных средств подтверждает факт формирования электронной подписи определенным лицом.

Усиленной неквалифицированной электронной подписью является электронная подпись, которая:

получена в результате криптографического преобразования информации с использованием ключа электронной подписи;
позволяет определить лицо, подписавшее электронный документ;
позволяет обнаружить факт внесения изменений в электронный документ после момента его подписания;
создается с использованием средств электронной подписи.

Усиленной квалифицированной электронной подписью является электронная подпись, которая соответствует всем признакам неквалифицированной электронной подписи и следующим дополнительным признакам:

ключ проверки электронной подписи указан в квалифицированном сертификате;
для создания и проверки электронной подписи используются средства электронной подписи, получившие подтверждение соответствия требованиям, установленным в соответствии с 63-ФЗ

С 1 января 2013 года гражданам выдаётся универсальная электронная карта, в которую встроена усиленная квалифицированная электронная подпись (выпуск карт прекращён с 1 января 2017 года[17]).

8 сентября 2015 года в Крымском федеральном округе (КФО) аккредитован первый удостоверяющий центр на базе Государственного унитарного предприятия «Крымтехнологии». Соответствующие полномочия утверждены приказом Министерства связи и массовых коммуникаций Российской Федерации №298 «Об аккредитации удостоверяющих центров» от 11 августа 2015 года.[18]

Манипуляции с электронными подписями в России

Известны незаконные действия с электронными подписями через центры сертификации РФ[19]. Коллегия Счетной палаты под председательством Татьяны Голиковой выявила участие некоторых УЦ в неправомерном применении электронной подписи застрахованного лица в интересах негосударственных пенсионных фондов, а также оформления документов без участия гражданина[20]. «Проверка Счетной палаты в очередной раз выявила массовые нарушения даже при наличии усиленных мер защиты электронной подписи», прокомментировал ситуацию президент НАПФ Сергей Беляков[21], его советник утверждает, что массовая фальсификация электронных подписей в повторных заявлениях производилась путем повторного использования удостоверяющим центром электронной подписи клиента[22].

Другой способ манипуляции с электронными подписями заключается в том, что клиенту предлагают дистанционный выпуск квалифицированного сертификата без личного контакта заявителя и сотрудника регистрационного отдела удостоверяющего центра, в этом случае оформление электронной подписи производится удаленно, на основании документов заявителя, представленных через интернет центру сертификации[23]. В результате подобных действий, вызванных, по мнению специалистов правовой системы «Гарант», тем что «IT-функции в деятельности УЦ преобладают над его юридической сущностью», электронная подпись может быть использована недобросовестными третьими лицами[24]. Однако, в 2017 году предложение Минкомсвязи передать функции выдачи усиленной квалифицированной электронной подписи (УКЭП) от частных компаний государству не нашло понимания других министерств и ведомств[25].

На Украине

На Украине использование ЭЦП регулируется законом, изданным в 2003 году. Он координирует отношения, появляющиеся вследствие применения ЭЦП. Система функционирования ЭЦП на Украине состоит из центрального удостоверяющего органа, выдающего разрешения центрам сертификации ключей (ЦСК) и обеспечивающего доступ к электронным каталогам, контролирующего органа и центров сертификации ключей, которые выдают ЭЦП конечному потребителю.

19 апреля 2007 года было принято Постановление «Об утверждении порядка представления отчетов в Пенсионный фонд Украины в электронной форме». А 10 апреля 2008 года — приказ № 233 ГНА Украины «О подаче электронной цифровой отчётности». В результате активной разъяснительной деятельности налоговых служб, в 2008 г. количество субъектов, подающих отчётность по НДС в электронном виде, возросло с 43 % до 71 %.

С 16 июля 2015 года начал действовать закон № 643-VIII «О внесении изменений в Налоговый кодекс Украины касательно усовершенствования администрирования налога на добавленную стоимость». 31 августа 2015 года зарегистрирован проект закона № 2544а «Об электронных доверительных услугах».

16 июня 2015 года на Украине заработал сайт электронных государственных услуг iGov.org.ua. Здесь можно заказать справку о несудимости для предъявления в МРЭО, оформить заявку на получение субсидии, справки о доходах, а также заполнить документы на загранпаспорт.

В Эстонии

Система электронных подписей широко используется в Эстонии, где введена программа ID-карт, которыми снабжены 3/4 населения страны. При помощи электронной подписи в марте 2007 года были проведены выборы в местный парламент — Рийгикогу. При голосовании электронную подпись использовали 400 000 человек. Кроме того, при помощи электронной подписи можно от налоговую декларацию, таможенную декларацию, различные анкеты как в местные органы самоуправления, так и в государственные органы. В крупных городах при помощи ID-карты возможна покупка месячных автобусных билетов. Всё это осуществляется через центральный гражданский портал Eesti.ee. Эстонская ID-карта является обязательной для всех жителей с 15 лет, проживающих временно или постоянно на территории Эстонии. Это, в свою очередь, нарушает анонимность покупки проездных билетов.

Примечания

↑ Гражданский кодекс Российской Федерации, часть 1, глава 9, статья 160
↑ Федеральный закон Российской Федерации от 6 апреля 2011 г. N 63-ФЗ, статья 1
↑ 1 2 Diffie W., Hellman M. E. New Directions in Cryptography // IEEE Trans. Inf. Theory / F. Kschischang — IEEE, 1976. — Vol. 22, Iss. 6. — P. 644–654. — ISSN 0018-9448 — doi:10.1109/TIT.1976.1055638
↑ Rivest R., Shamir A., Adleman L. A method for obtaining digital signatures and public-key cryptosystems // Commun. ACM — New York City: ACM, 1978. — Vol. 21, Iss. 2. — P. 120–126. — ISSN 0001-0782; 1557-7317 — doi:10.1145/359340.359342
↑ 1 2 «A digital signature scheme secure against adaptive chosen-message attacks.», Shafi Goldwasser, Silvio Micali, and Ronald Rivest. SIAM Journal on Computing, 17(2):281—308, Apr. 1988.
↑ 1 2 3 4 http://eregex.ru/2009/06/electronic-signature/
↑ «Modern Cryptography: Theory & Practice», Wenbo Mao, Prentice Hall Professional Technical Reference, New Jersey, 2004, pg. 308. ISBN 0-13-066943-1
↑ Анализ алгоритмов ЭЦП
↑ 1 2 Электронная цифровая подпись — Компания «Криптомаш»
↑ - МГС. www.easc.org.by. Проверено 29 декабря 2015.
↑ Inline PGP signatures considered harmful
↑ Creating a rogue CA certificate<
↑ Электронная цифровая подпись
↑ Область применения электронной подписи
↑ Федеральный закон о контрактной системе в сфере закупок товаров, работ, услуг для обеспечения государственных и муниципальных нужд. КонсультантПлюс.
↑ Федеральный закон Российской Федерации от 10 июля 2012 года № 108-ФЗ
↑ АО «УЭК» сообщает о закрытии проекта по выпуску универсальных электронных карт
↑ krtech.ru. В Крыму зарегистрирован первый удостоверяющий центр (04.09.2015).
↑ «Порядок перевода пенсионных накоплений из ПФР несет риски, считают в СП» МИА «Россия сегодня» от 27.06.2017.
↑ «Граждане не имеют возможности получить актуальную информацию при заключении договора с НПФ» «Счетная палата Российской Федерации», 27 июня 2017
↑ «Простая электронная подпись не защитит накопления» gazeta.ru от 31.07.2017,
↑ «Электронная подпись вышла из доверия» «РБК» № 108 (2604) (2306) 23 июня 2017: «По словам советника НАПФ Валерия Виноградова, электронная подпись, формирующаяся в удостоверяющем центре, должна использоваться единоразово. После ее использования центр должен ее удалить, говорит он. «Однако в конце декабря эти электронные подписи клиентов использовались вторично», — констатирует эксперт».
↑ «Выпуск электронной подписи без личного присутствия заявителя нарушает закон» «Гарант» от 7 декабря 2017
↑ «Оформление электронной подписи без личного присутствия нарушает закон» «Электронный экспресс», 2018.
↑ «ЦБ и Минэкономразвития предупредили о коллапсе рынка электронных подписей» «РБК» от 21 июля 2017.

Литература

Рябко Б. Я., Фионов А. Н. Основы современной криптографии для специалистов в информационных технологиях — Научный мир, 2004. — 173 с. — ISBN 978-5-89176-233-6
Алферов А. П., Зубов А. Ю., Кузьмин А. С., Черемушкин А. В. Основы криптографии. — «Гелиос АРВ», 2002. — 480 с. — ISBN 5-85438-137-0.
Нильс Фергюсон, Брюс Шнайер. Практическая криптография = Practical Cryptography: Designing and Implementing Secure Cryptographic Systems. — М. : Диалектика, 2004. — 432 с. — 3000 экз. — ISBN 5-8459-0733-0, ISBN 0-4712-2357-3.
Б. А. Фороузан. Схема цифровой подписи Эль-Гамаля // Управление ключами шифрования и безопасность сети / Пер. А. Н. Берлин. — Курс лекций.
Menezes A. J., Oorschot P. v., Vanstone S. A. Handbook of Applied Cryptography — CRC Press, 1996. — 816 p. — (Discrete Mathematics and Its Applications) — ISBN 978-0-8493-8523-0
Мао В. Современная криптография: Теория и практика — М.: Вильямс, 2005. — 768 с. — ISBN 978-5-8459-0847-6

Ссылки

wikiredia.ru

Как сделать электронную подпись? Ключ электронной подписи :: SYL.ru

Многие из нас, кто постоянно работает с электронными документами, наверняка не раз сталкивались с понятием «электронная подпись». Однако для кого-то данная тема так и оставалась дремучим лесом, а кто-то разобрался с этим и точно не пожалел. Если объяснять простым языком, то электронная подпись является аналогом собственноручной подписи. Она зачастую используется в системах документооборота. Это может быть организационно-распорядительная, кадровая или любая другая сфера. Давайте посмотрим, как сделать электронную подпись, которая будет подтверждать все ваши права на документ.

Немного общих сведений

Можно говорить о том, что электронная подпись может подтвердить надежность отправителя писем по почте, так как она гарантирует целостность содержимого. Это исключает занесение на ПК вредоносных программ и другого мусора. Кроме того, с ее помощью определяется авторство статей, размещенных в интернете, а также можно будет узнать дату публикации материала. В принципе, каждый сам определяет для себя, нужна ему электронная подпись или нет. Но так как интернет постоянно развивает свои возможности, и количество людей, втянутых во Всемирную паутину, с каждым годом становится больше, то можно смело говорить о ее необходимости. Только так вы можете защитить собственные права. Ну а сейчас давайте более подробно углубимся в данную тему и посмотрим, как сделать электронную подпись.

Что же это такое?

Электронная подпись – универсальное и мощное средство, позволяющее контролировать подлинность документа в сети. Она также подтверждает целостность, указывает на дату публикации и говорит об актуальности материала. По большому счету это информационный объект, который был создан специально для подписываемых документов. Он состоит из различных реквизитов. Некоторые из них являются обязательными (основными), другие – необязательными (дополнительными). В число обязательных входит криптографическая часть, которая ответственна за идентификацию данных и надежность источника. Тут же содержится небольшое количество информации о подписавшем, дата и время подписи, графические файлы и многое другое. На сегодняшний день это единственная защита от подделок в сети.

Вкратце о разновидностях

Перед тем как мы разберемся, как сделать электронную подпись, хотелось бы немного сказать о ее разновидностях. На сегодняшний день существует три больших группы:

Присоединенная электронная подпись. В этом случае сначала создается файл электронной подписи, а уже в него помещаются подписываемые данные. Если проводить аналогию, то этот процесс можно сравнить с помещением документа в конверт и дальнейшим его запечатыванием. Перед тем как извлечь документ из конверта, всегда стоит проверить целостность печати.
Отсоединенная электронная подпись. В этом случае файл подписи создается отдельно от подписываемого файла. Сам же подписываемый файл изменениям не подвергается. Такой метод обладает явным преимуществом, которое заключается в возможности чтения без средства криптографической защиты информации (СКЗИ).
Подпись внутри данных. Данный метод целиком и полностью зависит от приложения, в котором находится защищаемый файл. Вне этого приложения проверка подлинности документа является весьма затруднительной.

Электронная цифровая подпись: как сделать?

Непосредственно перед началом работы с электронной подписью понадобится выполнить ряд действий, которые являются обязательными для всех. Во-первых, создаются файлы сертификата, а также закрытого ключа. Сертификат нужен для проверки подлинности документа любым человеком, который пользуется этой информацией. Закрытый же ключ необходим непосредственно для формирования подписи. Но можно с уверенностью говорить о том, что уровень доверия в этом случае ограничится одним компьютером, на котором и создавалась подпись. Для того чтобы любая компания в сети или частное лицо могли проверить подлинность данных, необходимо прибегнуть к услугам компании. Последняя нужна для обеспечения нормативных и правовых основ выпущенных сертификатов. Такой организацией является Удостоверяющий центр. В любом случае вам придется иметь с ним дело.

Подписание соответствующего договора

Естественно, что нам придется обратиться в Удостоверяющий центр. Как было отмечено выше, электронная подпись является аналогом собственноручной подписи человека. По этой простой причине из Удостоверяющего центра документ отправляется к нотариусу. Там проверяется и утверждается дееспособность человека, а затем удостоверяется собственноручная подпись на бумагах различного назначения. Тут важно понимать, что организация, в которую вы обратитесь, должна иметь аттестат. Он станет гарантом того, что ваша электронная подпись будет действующей вне пределов Удостоверяющего центра.

Закрытый ключ электронной подписи и сертификат

Мы уже разобрались с тем, что компания должна иметь аттестат. Для этого каждому сотруднику генерируется закрытый ключ. Сертификат, равно как и ключ, хранится в файлах, обычно на съемном носителе. Для обеспечения надежной защиты он снабжается секретным кодом, который знает только владелец. Его нельзя никому показывать. В принципе, это можно сравнить с ПИН-кодом от пластиковой карточки.

Сертификат же содержит внутри себя всю информацию, которая нужна для проверки электронной подписи. Естественно, что в этом случае все данные сертификата находятся в открытом доступе, и их может прочесть каждый. Сертификат находится в Удостоверяющем центре. Это как и ценные бумаги, которые нотариус хранит у себя. Конечно, имеет смысл сказать о том, что компания, в которую вы обратились, имеет все необходимые данные для восстановления утраченной подписи, потерянного ключа и т. п. В целом же алгоритм похож на банковскую систему.

Установка криптопровайдера

А вот сейчас наступило время ответить на вопрос о том, где сделать электронную подпись. Так как процедура весьма сложная и объемная, то она выполняется специальными программами. Как вы уже догадались, именуются они криптопровайдерами. Современные операционные системы уже содержат инсталлированные программы, поэтому вам практически ничего не нужно делать. Но тут нужно понимать, что стоит использовать только сертифицированные криптопровайдеры. В этом случае подразумевается их установка на всех машинах, где будут создаваться или проверяться документы и электронные подписи. После того как вы установите криптопровайдер и подпишете договор с Удостоверяющим центром, вы можете получить электронную подпись. Ярким примером популярных криптопровайдеров является «Сигнал-КОМ», но есть и другие компании, предоставляющие такие услуги.

Несколько интересных деталей

Все мы знаем, что для того, чтобы отправить почтовый документ из точки А в точку Б, используется бандероль - упаковка, выполняющая две ключевые функции: сохранение целостности содержимого и указание адрес, куда нужно доставить. Когда вы начнете работать с электронной подписью, то для их отправки будет использоваться ее аналог. К примеру, система «КАРМА» позволяет сначала зашифровать данные, а затем отправить их получателю. Это будет квалифицированная электронная подпись, проверка которой будет проходить быстро и без проблем. Такие «бандероли» вы можете отправлять по электронной почте и не бояться, что данные будут подменены и фальсифицированы. Причем далее, если совершенно случайно посылка попадет не по адресу, открыть и прочесть ее будет невозможно.

Заключение

Вот мы и поговорили с вами на о том, как сделать электронную подпись. Сложного тут ничего нет, вам нужно лишь обратиться в Удостоверяющий центр. Там будет создан сертификат электронной подписи и закрытый ключ. Это обеспечит взаимное доверие между отправителем и получателем, чего, собственно, и нужно добиться. Выбор криптопровайдера – это уже ваше личное дело. Главное – это убедиться в том, что организация имеет соответствующие сертификаты и подписи. После этого можно приступать к сотрудничеству с ней. Как было отмечено выше, такая защита показывает крайне высокую эффективность, потеря или подмена информации практически невозможна.

В любом случае, если вы часто обмениваетесь ценными данными, имеет смысл использовать такого рода защиту. Более того, проверка электронной подписи осуществляется автоматически, специальной программой с заданным алгоритмом, поэтому человеческий фактор полностью исключается. Теперь вы знакомы со всеми важными аспектами этого вопроса и сможете сами сделать первые шаги к созданию собственной подписи.