Название: Использование цифровой подписи в документах - umotnas.ru o_O
Название: Использование цифровой подписи в документах - umotnas.ru o_O
|
страница 1страница 2
|
|||||||||||||||||||||||||||||||||||||||||||||||
|
Похожие работы
|
Название: Использование цифровой подписи в документах - страница №2/2
Добавление прозрачной или невидимой цифровой подписиВ процедуре далее приводится пример добавления прозрачной цифровой подписи к документу Система Office 2007.
Рис. 2. Диалоговое окно Office с данными о цифровых подписях
Рис. 3. Диалоговое окно Office с данными о типе документов, необходимых для использования цифровых подписей
Рис. 4. Выбор расположения для сохранения документа
Рис. 5. Цель подписания документа
Рис. 6. Возможность выбора другого сертификата
Рис. 7. Подтверждение подписания документа
Рис. 8. На панели задач "Подписи" сообщается о проблемах с сертификатом
Рис. 9. Изучение проблем с цифровым сертификатом
Рис. 10. Оценка проблем с цифровым сертификатом
Рис. 11. Проверка действительности подписи
Рис. 12. Просмотр дополнительных сведений о подписанном документе
Рис. 13. Индикатор цифровой подписи и включение панели задач "Подпись" Добавление строки цифровой подписиДругой способ внести цифровую подпись в документ — добавить одну или несколько строк цифровой подписи. В следующей процедуре показан пример создания строки цифровой подписи.
Рис. 14. Настройка подписи
Рис. 15. Строка цифровой подписи
Рис. 16. Вставка цифровой подписи
Рис. 17. Выбор графической подписи
Рис. 18. Указание цели подписания документа
Рис. 19. Подтверждение применения цифрового сертификата
Рис. 20. Предупреждение о том, что подпись может быть недействительна
Рис. 21. Изменение статуса цифрового удостоверения на "надежный"
Рис. 22. В окне "Сведения о подписи" подтверждается, что подпись надежна
Рис. 23. Теперь в строке подписи указано надежное цифровое удостоверение http://technet.microsoft.com/ru-ru/library/cc545902%28office.12%29.aspx Использование цифровой подписи в Office 2000/XPЗдесь есть три элемента: создание и удаление сертификата, подключение цифровой подписи к документу, признание подписи в качестве «надежной». Рассмотрим их последовательно. Создание и удаление сертификата.Каждый пользователь может создать один или несколько сертификатов. Это делается тремя способами: создать собственный сертификат, получить сертификат у администратора сети (если на предприятии разработаны собственные стандарты) и получить фирменный сертификат в специализированном центре (например, у той же компании Microsoft). Собственный сертификат создается утилитой Рис. 1. SelfCert.exe, которая входит в состав пакета. В первом варианте русской версии MS Office 2000 в этой программе была ошибка (не раскрывалось диалоговое окно), но уже в первом сервисном наборе обновления дефект был исправлен. Удаление же сертификата выполняется довольно хитрым способом, с помощью (кто бы мог ожидать?) Internet Explorer. Для этого в IE нужно выбрать команду «Сервис|Свойства обозревателя», затем выделить вкладку «Содержание», нажать кнопку «Сертификатов…», открыть вкладку «Личные» в окне «Диспетчер Сертификатов» и уже там проводить Рис. 2. операции с сертификатами. Подключение цифровой подписи.Электронная подпись подключается к VBA-проекту в среде VBA с помощью команды Tools|Digital Signature, которая выводит соответствующее окно « Рис. 3. Цифровая подпись». Для выбора нужного сертификата нужно нажать кнопку «Выбрать», после чего выдается окно Рис. 4. Select Certificate со списком имеющихся сертификатов. Нажав кнопку, можно ознакомиться с более детальной информацией о сертификате в окне Рис. 5. Certificate с тремя вкладками. К этой же информации можно получить доступ из других диалоговых окон при работе с сертификатами (обычно они называются «Подробности»). При желании можно в любой момент поменять подпись проекта или удалить ее совсем. Признание подписи в качестве надежной.Эта операция выполняется только в момент загрузки проекта с наличием макросов, имеющих подписи, в режиме среднего и высокого уровней безопасности. В этом случае выдается Рис. 6. окно предупреждения. В этот момент можно посмотреть более детальную информацию о данном сертификате (кнопка Details). Если вы считаете данный источник надежным, то нужно установить флажок Always trust macros from this source [Всегда доверять макросам этого источника] — и данный сертификат автоматически попадет в список надежных. Эти можно увидеть во вкладке Рис. 7. Trusted Source окна Security. Здесь же можно удалить ненужные подписи. Обратите внимание, что при использовании среднего уровня безопасности вы можете разрешить использование макросов проекта даже без занесения подписей в список доверенных (в том числе загружать проекты без подписей, например созданных в Office 97). При работе с высоким уровнем это можно сделать, только признав подпись (установив флажок «Всегда доверять»), то есть макросы проектов без подписей вообще нельзя использовать. http://www.microsoft.com/Rus/Msdn/Activ/MSVB/Archive/VBA/Security/424.mspx
http://inc.istu.ru/index.php?option=com_content&view=article&id=2186&Itemid=178 Электронная цифровая подпись для чайников: с чем ее есть, и как не подавиться. Часть 1 Итак, все чаще в кругах, работающих с документами все чаще звучат слова «электронный документ» и, связанное с ним почти неразрывно «электронная цифровая подпись», иначе — ЭЦП. Данный цикл статей предназначен для того, чтобы раскрыть «тайное знание» о том, что это такое, когда и как это можно и нужно использовать, какие есть плюсы и минусы. Естественно, статьи пишутся не для специалистов по криптографии, а для тех, кто эту самую криптографию будет использовать, или же только начинает ее изучение, желая стать специалистом, поэтому я старался максимально упростить понимание всего процесса, приводя аналогии и рассматривая примеры. Зачем нам вообще что-то подписывать? Естественно, чтобы удостоверить, что мы ознакомились с содержимым, согласны (а иногда наоборот, не согласны) с ним. А электронная подпись еще и защищает наше содержимое от подмены. Итак, начать, естественно, стоит с того, что такое электронная цифровая подпись. Итак, мы читаем файлик в память, хэшируем прочитанное. И что, уже получаем ЭЦП? Почти. Наш результат с большой натяжкой можно назвать подписью, но, все же, полноценной подписью он не является, потому что: 1. Мы не знаем, кто сделал данную подпись 2. Мы не знаем, когда была сделана подпись 3. Сама подпись не защищена от подмены никак. 4. Ну и да, хэш функций много, какая из них использовалась для создания этого конкретного хэша? Поэтому применять к хэшу слово «подпись» еще нехорошо, будем называть его дальше просто хэш. Вы посылаете ваш файл другому человеку, допустим, по почте, будучи уверенными, что он точно получит и прочитает именно то, что вы послали. Он же, в свою очередь, тоже должен хэшировать ваши данные и сравнить свой результат с вашим. Если они совпали — все хорошо. Это значит что данные защищены? Нет. Ведь хэшировать может кто угодно и когда угодно, и вы никогда не докажете, что он хэшировал не то, что вы послали. То есть, если данные будут перехвачены по дороге злоумышленником, или же тот, кому вы посылаете данные — не очень хороший человек, то данные могут быть спокойно подменены и прохэшированы. А ваш получатель (ну или вы, если получатель — тот самый нехороший человек) никогда не узнает, что он получил не то, что вы отправляли, или сам подменил информацию от вас для дальнейшего использования в своих нехороших целях. Посему, место для использование чистой хэш функции — транспорт данных в пределах программы или программ, если они умеют общаться между собой. Собственно, с помощью хэш функций вычисляются контрольные суммы. И эти механизмы защищают от случайной подмены данных, но не защищают от специальной. Но, пойдем дальше. Нам хочется защитить наш результат хеширования от подмены, чтобы каждый встречный не мог утверждать, что это у него правильный результат. Для этого самое очевидное что (помимо мер административного характера)? Правильно, зашифровать. А ведь с помощью шифрования же можно и удостоверить личность того, кто хэшировал данные! И сделать это сравнительно просто, ведь есть ассиметричное шифрование. Да, оно медленное и тяжелое, но ведь нам всего-то и надо — зашифровать маленькую последовательность байт. Плюсы такого действия очевидны — для того, чтобы проверить нашу подпись, надо будет иметь наш открытый ключ, по которому личность зашифровавшего (а значит, и создавшего хэш) можно легко установить. Суть этого шифрования в следующем: у вас есть закрытый ключ, который вы храните у себя. И есть открытый ключ. Открытый ключ вы можете всем показывать и раздавать, а закрытый — нет. Шифрование происходит с помощью закрытого ключа, а расшифровывание — с помощью открытого. Приводя аналогию, у вас есть отличный замок и два ключа к нему. Один ключ замок открывает (открытый), второй — закрывает (закрытый). Вы берете коробочку, кладете в нее какую-то вещь и закрываете ее своим замком. Так, как вы хотите, чтобы закрытую вашим замком коробочку открыл ее получатель, то вы открытый, открывающий замок, ключик спокойно отдаете ему. Но вы не хотите, чтобы вашим замком кто-то закрывал коробочку заново, ведь это ваш личный замок, и все знают, что он именно ваш. Поэтому закрывающий ключик вы всегда держите при себе, чтобы кто-нибудь не положил в вашу коробочку мерзкую гадость и не говорил потом, что это вы ее положили и закрыли своим замком. И все бы хорошо, но тут сразу же возникает проблема, а, на самом деле, даже не одна. 1. Надо как-то передать наш открытый ключ, при этом его должна понять принимающая сторона. 2. Надо как-то связать этот открытый ключ с нами, чтобы нельзя было его присвоить. 3. Мало того, что ключ надо связать с нами, надо еще и понять, какой зашифрованный хэш каким ключом расшифровывать. А если хэш не один, а их, скажем, сто? Хранить отдельный реестр — очень тяжелая задача. Все это приводит нас к тому, что и закрытый ключ, и наш хэш надо хранить в каких-то форматах, которые нужно стандартизировать, распространить как можно шире и уже тогда использовать, чтобы у отправителя и получателя не возникало «трудностей перевода». http://habrahabr.ru/blogs/infosecurity/97066/ Важным примером криптографических алгоритмов (с открытым ключом) является электронно-цифровая подпись (ЭЦП). ЭЦП используется физическими и юридическими лицами в качестве аналога собственноручной подписи для придания электронному документу юридической силы, равной юридической силе документа на бумажном носителе, подписанного собственноручной подписью правомочного лица и скрепленного печатью. Порядок использования ЭЦП на территории Российской Федерации определен Федеральным Законом «О электронно-цифровой подписи» от 10.01.2002 № 1-ФЗ [18]. В соответствии с этим законом, ЭЦП – это программно-криптографическое средство, которое обеспечивает: - проверку целостности документов; - конфиденциальность документов; - установление лица, отправившего документ. Использование ЭЦП позволяет: - значительно сократить время, затрачиваемое на оформление сделки и обмен документацией; - гарантировать достоверность документации; - минимизировать риск финансовых потерь за счет повышения конфиденциальности информационного обмена; - построить корпоративную систему обмена документами. Фактически, ЭЦП представляет собой совокупность закрытого ключа - контейнера, обладателем которого может быть только владелец сертификата, и однозначно соответствующего этому закрытому ключу открытого ключа – сертификата. Сертификат представим в виде файла формата X.509 (см. рис 2.8). Рис. 2.8. Внешний вид сертификата ЭЦП Схема шифрования данных с использованием открытого ключа состоит из двух этапов. На первом из них производится обмен по несекретному каналу открытыми ключами. При этом необходимо обеспечить подлинность передачи ключевой информации. На втором этапе, собственно, реализуется шифрование сообщений, при котором отправитель зашифровывает сообщение открытым ключом получателя. Зашифрованный файл может быть прочитан только владельцем секретного ключа, т. е. получателем. Схема расшифрования, реализуемая получателем сообщения, использует для этого секретный ключ получателя. Реализация схемы ЭЦП связана с вычислением хэш-функции (дайджеста) данных, которая представляет собой уникальное число, полученное из исходных данных путем его сжатия (свертки) с помощью сложного, но известного алгоритма. Хэш-функция является однонаправленной функцией, т. е. по хэш-значению невозможно восстановить исходные данные. Хэш-функция чувствительна к всевозможным искажениям данных. Кроме того, очень трудно отыскать два набора данных, обладающих одним и тем же значением хэш-функции [6]. Схема формирования подписи электронного документа его отправителем включает вычисление хэш-функции электронного документа и шифрование этого значения посредством секретного ключа отправителя. Результатом шифрования является значение ЭЦП электронного документа (реквизит электронного документа), которое пересылается вместе с самим электронным документом получателю. При этом получателю сообщения должен быть предварительно передан открытый ключ отправителя сообщения Схема проверки (верификации) ЭЦП, осуществляемая получателем, сообщения состоит из следующих этапов. На первом из них производится расшифрование блока ЭЦП посредством открытого ключа отправителя. Затем вычисляется хэш-функция электронного документа. Результат вычисления сравнивается с результатом расшифрования блока ЭЦП. В случае совпадения принимается решение о соответствии ЭЦП электронного документа заявленным данным. Несовпадение результатов расшифрования с результатом вычисления хэш-функции электронного документа может объясняться следующими причинами: - в процессе передачи по каналу связи была потеряна целостность электронного документа - при формировании ЭЦП был использован не тот (поддельный) секретный ключ; - при проверке ЭЦП был использован не тот открытый ключ (в процессе передачи по каналу связи или при дальнейшем его хранении был модифицирован или подменен). Реализация криптографических алгоритмов с открытыми ключами, требует по сравнению с симметричными алгоритмами, больших затрат процессорного времени. Поэтому криптография с открытыми ключами обычно используется для решения задач распределения ключей и ЭЦП, а симметричная криптография для шифрования [10]. Широко известна схема комбинированного шифрования, сочетающая высокую безопасность криптосистем с открытым ключом с преимуществами высокой скорости работы симметричных криптосистем. В этой схеме для шифрования используется случайно вырабатываемый симметричный (сеансовый) ключ, который, в свою очередь зашифровывается посредством открытой криптосистемы для его последующей передачи в начале сеанса связи. Центральным вопросом схемы открытого распределения ключей является вопрос доверия к полученному открытому ключу партнера, который в процессе передачи или хранения может быть модифицирован или подменен. Для широкого класса практических систем (системы электронного документооборота, системы Клиент-Банк, межбанковские системы электронных расчетов), в которых возможна личная встреча партнеров до начала обмена электронными документами, эта задача имеет относительно простое решение – взаимная сертификация открытых ключей [6]. Эта процедура заключается в том, что каждая сторона при личной встрече удостоверяет подписью уполномоченного лица и печатью бумажный документ – распечатку содержимого открытого ключа другой стороны. Этот бумажный сертификат является, во-первых, обязательством стороны использовать для проверки подписи под входящими сообщениями данный ключ, и, во-вторых, обеспечивает юридическую значимость взаимодействия. Действительно, рассмотренные бумажные сертификаты позволяют однозначно идентифицировать мошенника среди двух партнеров, если один из них захочет подменить ключи. Таким образом, для реализации юридически значимого электронного взаимодействия двух сторон необходимо заключить договор, предусматривающий обмен сертификатами. Сертификат представляет собой документ, связывающий личностные данные владельца и его открытый ключ. В бумажном виде он должен содержать рукописные подписи уполномоченных лиц и печати. В системах, где отсутствует возможность предварительного личного контакта партнеров, необходимо использовать цифровые сертификаты, выданные и заверенные ЭЦП доверенного посредника – удостоверяющего или сертификационного центра. После посещения ЦС каждый из партнеров становится обладателем пары открытого и закрытого ключей. Открытый ключ ЦС позволяет его обладателю проверить подлинность открытого партнера путем проверки подлинности ЭЦП удостоверяющего центра под сертификатом открытого ключа партнера. В соответствии с Федеральным законом «Об Электронно-цифровой подписи» цифровой сертификат содержит следующие сведения: уникальный регистрационный номер сертификата ключа подписи, даты начала и окончания срока действия сертификата ключа подписи, находящегося в реестре удостоверяющего центра; фамилия, имя и отчество владельца сертификата ключа подписи или псевдоним владельца. В случае использования псевдонима удостоверяющим центром вносится запись об этом в сертификат ключа подписи; открытый ключ ЭЦП; наименование средства ЭЦП, с которым используется данный открытый ключ ЭЦП; наименование и местонахождение удостоверяющего центра, выдавшего сертификат ключа подписи; сведения об отношениях, при осуществлении которых электронный документ с ЭЦП будет иметь юридическое значение. Этот цифровой сертификат подписан на секретном ключе ЦС, поэтому любой обладатель открытого ключа ЦС может проверить его подлинность. Таким образом, использование цифрового сертификата предполагает следующую схему электронного взаимодействия партнеров. Один из партнеров посылает другому собственный сертификат, полученный из ЦС, и сообщение, подписанное ЭЦП. Получатель сообщения осуществляет проверку подлинности сертификата партнера, которая включает три обязательных этапа: 1. Проверку доверия эмитенту сертификата и срока его действия; 2. Проверку ЭЦП эмитента под сертификатом; 3. Проверку аннулирования сертификата. В случае если сертификат партнера не утратил свою силу, а ЭЦП используется в отношениях, в которых она имеет юридическое значение, открытый ключ партнера извлекается из сертификата. На основании этого открытого ключа может быть проверена ЭЦП партнера под электронным документом. Важно отметить, что, в соответствии с Федеральным законом «Об Электронной цифровой подписи», подтверждением подлинности ЭЦП в ЭД является положительный результат проверки соответствующим сертифицированным средством ЭЦП с использованием сертификата ключа подписи ЦС. ЦС, обеспечивая безопасность взаимодействия партнеров, выполняет следующие функции регистрирует ключи ЭЦП; создает по обращению пользователей закрытые и открытые ключи; приостанавливает и возобновляет действие сертификатов ключей, а также аннулирует их; ведет реестр сертификатов ключей подписей, обеспечивает актуальность реестра и возможность свободного доступа пользователей к реестру; выдает сертификаты ключей подписей на бумажных носителях; электронные документы с информацией об их действительности. проводит, по обращениям пользователей, подтверждение подлинности или недействительности подписи в электронных документах в отношении зарегистрированных ЭЦП. В ЦС создаются условия безопасного хранения секретных ключей на дорогом защищенном оборудовании, а также условия администрирования доступа к секретным ключам. Регистрация каждой ЭЦП осуществляется на основе заявления, содержащего сведения, необходимые для выдачи сертификата, а также сведения, необходимые для идентификации ЭЦП обладателя и передачи ему сообщений. Заявление подписывается собственноручной подписью обладателя ЭЦП, содержащиеся в нем сведения подтверждаются предъявлением соответствующих документов. При регистрации проверяется уникальность открытых ключей ЭЦП в реестре и архиве ЦС. Важно отметить, что в соответствии с законом «Об ЭЦП» владелец сертификата подписи – исключительно физическое лицо, на имя которого удостоверяющим центром выдан сертификат ключа и которое владеет соответствующим закрытым ключом. Кроме того, сертификат ключа подписи – электронный документ с ЭЦП уполномоченного лица удостоверяющего центра. Поэтому устойчивость всей инфраструктуры открытых ключей связана с сертификатом, выданным на уполномоченное физическое лицо. Смена работы или завершение земного пути уполномоченного лица УЦ приведет к компрометации всех сертификатов, сформированных данным УЦ. При регистрации в ЦС оформляются на бумажных носителях два экземпляра сертификата ключа подписи, которые заверяются собственноручными подписями обладателя ЭЦП и уполномоченного лица удостоверяющего центра и печатью удостоверяющего центра. Один экземпляр выдается обладателю ЭЦП, второй остается в удостоверяющем центре. В реальных системах каждым партнером может использоваться несколько сертификатов, выданных различными ЦС. Различные ЦС могут быть объединены инфраструктурой открытых ключей или PKI (Public Key Infrastructure). ЦС в рамках PKI обеспечивает не только хранение сертификатов, но и управление ими (выпуск, отзыв, проверку доверия). Наиболее распространенная модель PKI – иерархическая. Фундаментальное преимущество этой модели состоит в том, что проверка сертификатов требует доверия только относительно малому числу корневых ЦС. В то же время эта модель позволяет иметь различное число ЦС, выдающих сертификаты. Отметим, что для использования ЭЦП при электронном документообороте с государственными органами, в соответствии с законодательством РФ, должны использоваться только сертифицированные средства, реализующие стандартные алгоритмы хэширования (в соответствии с ГОСТ 34.11–94), шифрования (в соответствии с ГОСТ 28147–89) и подписи (в соответствии с ГОСТ Р 34.11/34.10–2001). Наиболее распространенным средством, удовлетворяющим этим условиям, является программа КриптоПро CSP (Версии 2.0, 3.0, 3,6). На рис. 2.9 представлен ее интерфейс. Рис. 2.9. Внешний вид программы КриптоПро
Структурно КриптоПро CSP реализован таким образом, что его алгоритмы «встраиваются» в ядро операционной системы и заменяют стандартные алгоритмы шифрования. Благодаря этому в сторонних программах, использующих ЭЦП, становится ненужной реализация алгоритмов шифрования/ подписи и, соответственно, сертификация этих программ. Программы, подобные КриптоПро CSP, называют «криптопровайдерами». http://www.sernam.ru/ss_228.php Поисковая система: www.google.ru Ключевые слова: цифровая подпись Результатов: примерно 81 200 Что такое цифровая подпись? Цифровую подпись в цифровых документах ставят в тех же случаях, что и в бумажных. Цифровая подпись используется для аутентификации (Проверка подлинности. Процесс выяснения, кем (чем) в действительности являются те или иные люди (или продукты) и в качестве кого (или чего) они хотели бы выступать. Таким процессом является, например, подтверждение источника и целостности опубликованного кода программного обеспечения с помощью проверки цифровой подписи, использованной для подписания этого кода.)цифровой информации — например, документов, сообщений электронной почты и макросов — с помощью методов компьютерной криптографии. Цифровые подписи помогают удостоверить следующее:
Для выполнения этих гарантий создатель документа должен заверить его содержимое цифровой подписью, которая удовлетворяет следующим требованиям:
Приложения выпуска 2007 системы Microsoft Office проверяют эти требования и предупреждают о наличии проблем с цифровой подписью. Дополнительную информацию см. в разделе Как определить достоверность цифровой подписи. К началу страницы Как цифровые подписи используются в документах Office? Цифровыми подписями можно воспользоваться для подписи документов Office двумя различными способами:
Различия между этими способами и подробности введения цифровой подписи в документ каждым из них описаны в следующих разделах. К началу страницы Добавление одной или более строк подписи в документ Приложение выпуска 2007 системы Microsoft Office позволяет вставить в документ строку для цифровой подписи. Такие строки можно добавлять только в документы Word или книги Excel. Строка подписи выглядит как обычное место для подписи в печатном документе, но действует по-другому. Когда строка подписи вставлена в документ Office, автор документа может предоставить сведения о предполагаемом лице, которое будет подписывать документ, а также поместить инструкции для этого лица. Когда электронная копия документа отправлена лицу, которое будет его подписывать, последний видит строку подписи и уведомление о том, что требуется его подпись. Можно щелкнуть строку подписи и поставить цифровую подпись в документе. Затем можно впечатать подпись, выбрать цифровое изображение своей подписи или подписать документ вручную, используя графические возможности планшетного компьютера. Одновременно с появлением в документе видимого представления подписи добавляется цифровая подпись для удостоверения личности подписавшего. После того как в документе появилась цифровая подпись, он становится доступен только для чтения, чтобы не допустить внесение изменений. Возможность сбора цифровых подписей с помощью строк подписи в документах Office позволяет организациям использовать безбумажные процессы заверения таких документов, как контракты или другие соглашения. В отличие от подписи бумажных документов, цифровые подписи могут предоставить сведения о том, что именно было подписано, а также позволяют проверять подпись в будущем. Для добавления строки подписи в документ выполните следующие действия.
К началу страницы Подписывание строки подписи в документе При введении подписи в строку подписи в документе Office можно добавить как видимую подпись, так и цифровую.
К началу страницы Добавление невидимой цифровой подписи в документ Если нет необходимости вставлять видимые строки подписи в документ, но требуется гарантировать подлинность, целостность и происхождение документа, добавьте невидимую цифровую подпись в документ. Такие подписи можно добавить в документы Word, книги Excel и презентации PowerPoint. В отличие от строки подписи невидимая цифровая подпись не видна в содержимом документа, но позволяет получателю документа определить, что документ имеет цифровую подпись, отобразив ее или отыскав кнопку подписи в строке состояния внизу экрана. После того как в документе появилась цифровая подпись, он становится доступен только для чтения, чтобы не допустить внесение изменений.
http://office.microsoft.com/ru-ru/excel-help/HA010099768.aspx последнее время электронно-цифровая подпись (ЭЦП) получает все большее распространение в отечественных корпоративных информационных системах. Однако однобокое, как правило, техническое освещение вопросов применения ЭЦП не позволяет увидеть картину в целом, в силу чего возникла необходимость рассмотреть эту область “с высоты птичьего полета”. Не вдаваясь в детали, интересные только специалистам, мы постараемся рассказать о том, что позволяет и чего не позволяет реализовать электронно-цифровая подпись, а также дать практические рекомендации по применению ЭЦП в системах электронного документооборота, потребность в которых сегодня ощущается все сильнее. По общему мнению собственноручная подпись на бумажном документе решает следующие задачи:
Однако, как показывает практика, собственноручная подпись на бумажном документе по самой своей природе оставляет лазейки для мошенников. Недаром для затруднения их действий на бланки документов наносят специальные защитные знаки, применяют нумерацию и скрепление листов, а кроме того, наряду с самой подписью используют собственноручное написание фамилии, имени, отчества на документе и т. п. Одним словом, при всех ее достоинствах собственноручная подпись обладает и целым рядом недостатков. Как результат проникновения компьютерных технологий во все сферы человеческой деятельности возникла потребность реализовать аналог собственноручной подписи человека в электронном виде. Эта задача была успешно решена. В основе решения лежат разработанные в середине 1970-х гг. криптографические алгоритмы с открытым ключом, которые базируются на сложном математическом аппарате. При этом ЭЦП устранила большинство проблем, свойственных подписи на бумажном документе, и обеспечила электронному документу следующие важнейшие характеристики:
Наиболее широкое применение сегодня ЭЦП находит в документационном обеспечении управления (ДОУ), в платежных системах, электронной торговле и бухгалтерии. Из перечисленных направлений наиболее востребованной и сложной является задача автоматизации ДОУ организаций — главная цель создания систем электронного документооборота (СЭД). Именно на нем мы и сосредоточим свое внимание в статье. Однако прежде необходимо уточнить, что понимается под использованием ЭЦП, имея в виду две основные его схемы:
Далее будем рассматривать юридически значимые СЭД. Такие системы наиболее востребованы в крупных холдингах, государственных структурах управления, кредитных учреждениях, биржах, страховых компаниях — там, где необходимо в электронном виде документировать принятые решения и нести материальную ответственность в связи с ними. СЭД с поддержкой ЭЦП: в чем выгоды Основная отличительная черта СЭД с поддержкой ЭЦП от СЭД без таковой поддержки состоит в том, что электронные документы, снабженные ЭЦП, являются доказательствами: они документируют решение или какой-либо Электронный документ — это документ, подготовленный с использованием системы электронного документооборота, зафиксированный на материальном носителе в виде объекта СЭД и снабженный реквизитами, с помощью которых можно идентифицировать место, время создания и автора документа. факт. Если при возникновении конфликтной ситуации существует электронный документ, подписанный ЭЦП, то на его основе можно провести расследование внутри организации, а при необходимости — и с привлечением третьей стороны (например, в арбитражном суде). СЭД, не предусматривающие ЭЦП, такой возможности не предоставляют. Пользователи СЭД без ЭЦП вынуждены доверять системе, системным администраторам, другим участникам работы с документами, причем без каких-либо веских на то оснований. При наличии же ЭЦП основания для доверия есть — это криптографические алгоритмы и протоколы. Доказательность электронных документов имеет два важных следствия:
Принятие федерального закона “Об электронно-цифровой подписи” стало точкой отсчета для введения в оборот термина “юридически значимый электронный документооборот”. Сейчас этот термин трактуется весьма широко, что часто вызывает недоразумения во взаимоотношениях заказчиков и разработчиков СЭД. Чтобы лучше понять этот термин, необходимо развеять некоторые заблуждения, касающиеся применения ЭЦП в СЭД и обеспечения юридической значимости документа: по сути электронный документ без ЭЦП существовать не может. Если ЭЦП не применяется, то можно говорить лишь об электронном образе документа и не более того. Никакие графические образы подписи на документе (например, отсканированный бумажный оригинал) не могут рассматриваться как аналог собственноручной подписи. Более того, подобная практика вредна, поскольку создает иллюзию защищенности системы и ее участников; Важно понимать, что ЭЦП не обеспечивает конфиденциальность электронного документа. Эту задачу решает шифрование, которое, в свою очередь, никакого отношения к обеспечению юридической значимости документа не имеет. В случае совместного использования ЭЦП и шифрования нужно учитывать, что для того, чтобы ЭЦП была юридически значимой, пользователь должен видеть и понимать, чт? он подписывает. Поэтому необходимо вначале создать ЭЦП, а уж затем зашифровать документ, который перед проверкой подписи должен быть расшифрован; С определенностью можно констатировать, что на сегодняшний день нормативно-правовая и техническая база для реализации юридически значимого электронного документооборота в масштабах государства в нашей стране еще не создана. Тем не менее даже в рамках имеющегося законодательства и технической базы можно реализовать внутренний юридически значимый электронный документооборот в работе отдельно взятой организации или нескольких компаний, входящих в одну структуру, — корпоративный электронный документооборот. Уже сегодня многие внутренние документы организации можно перевести в электронный вид (например, служебные записки, заявки на выделение денежных средств, различные внутренние отчеты, поручения и т. п.). Необходимо разработать нормативно-правовую базу организации, регламентирующую применение ЭЦП. Такой регламент обеспечит электронным документам юридическую силу — возможность представлять их в суде в качестве доказательства. Безусловно, небольшая правоприменительная практика вносит некоторые ограничения в применение ЭЦП, но не является принципиальным барьером для построения в отдельной компании внутреннего юридически значимого электронного документооборота. Действующие лица и исполнители Как следует из вышеизложенного, ЭЦП — это аналог собственноручной подписи человека, применяемый в электронных документах. Электронно-цифровая подпись создается с помощью закрытого ключа — уникальной последовательности символов, которая известна его владельцу и предназначена для создания ЭЦП в электронных документах с использованием соответствующих средств. Получатели электронного документа, подписанного ЭЦП, имеют возможность проверить действительность подписи посредством открытого ключа и убедиться в том, что документ подлинный, а ЭЦП принадлежит именно тому лицу, которое в нем указано. Открытый ключ — это уникальная последовательность символов, которая математически связана с закрытым ключом ЭЦП. Открытый и закрытый ключи образуют так называемую ключевую пару. Открытый ключ доступен любому пользователю информационной системы в составе сертификата ключа. Сертификат ключа является аналогом документа, удостоверяющего личность (например, паспорта). Это документ на бумажном носителе либо электронный документ с ЭЦП уполномоченного лица (сотрудника) удостоверяющего центра. Сертификат ключа помимо открытого ключа ЭЦП содержит идентификационные данные владельца. Сертификат передается пользователю СЭД и выполняет две задачи: подтверждает подлинность ЭЦП и идентифицирует владельца сертификата ключа подписи. И в том и в другом случае используются средства электронно-цифровой подписи — программно-аппаратный комплекс, обеспечивающий реализацию хотя бы одной из следующих функций: создание ЭЦП в электронном документе с использованием закрытого ключа ЭЦП; подтверждение с использованием открытого ключа ЭЦП подлинности ЭЦП в электронном документе; создание закрытых и открытых ключей ЭЦП. Аналогом третейского судьи, которому доверяют все участники документооборота, является удостоверяющий центр — организационная структура, осуществляющая деятельность по управлению сертификатами ключей и поддержке их использования в различных подсистемах корпоративной информационной системы. Удостоверяющий центр может быть внешней организацией или подразделением той или иной компании. Еще один участник процесса — криптопровайдер. Это программный или аппаратно-программный модуль, реализующий один или несколько криптографических алгоритмов и предоставляющий свои функции внешним системам. Аналогом даты на бумажном документе, которую собственноручно проставляет лицо, подписывающее документ, является штамп времени. Речь идет о свидетельстве третьей доверенной стороны — организационной единицы, носящей название службы штампов времени. СЭД передает туда так называемое хеш-сообщение, которое получается в результате криптографического преобразования документа. На это сообщение служба ставит штамп (средствами своего программно-аппаратного обеспечения), удостоверяющий, что электронный документ существовал на данный момент времени. В результате к хеш-сообщению добавляется значение, указывающее, когда службой штампов времени был получен запрос на проставление штампа времени. Проставляемое значение служба штампов времени подписывает собственной ЭЦП и возвращает документ обратно в СЭД. Совокупность аппаратно-программного обеспечения, а также персонала, политик и процедур, необходимых для создания, хранения, распределения, управления жизненным циклом и использования сертификатов открытых и связанных закрытых ключей называется инфраструктурой открытых ключей (ИОК). Поисковая система: www.rambler.ru Ключевые слова: использование цифровой подписи По запросу найдено 69 тыс. сайтов, 1 млн. документов Нормативные акты, регламентирующие использование цифровых подписей. Перечисленные ниже нормативные акты регламентируют использование цифровых подписей и работу сертификационных органов. Статей, регламентирующих конкретно электронные торги для государственных нужд, в этих документах нет. I. США Здесь основным документом, регламентирующим применение электронной подписи, является Постановление об электронной подписи в мировой и национальной торговле, подписанный Президентом 30 июня 2000 года. В первой части Постановления - «Электронные записи и подписи в торговле» - признается юридическая сила электронной формы документов, относящихся к сделкам в мировой и национальной торговле: в пункте (1) статьи (a) говорится, что «подпись, контракт или другая запись, относящаяся к такой сделке, не может быть лишена юридической силы, действительности или осуществимости на том лишь основании, что составлена в электронной форме»; пункт (2) статьи (a) – «контракт, относящийся к подобной сделке, не может быть лишен юридической силы, действительности или осуществимости на том лишь основании, что в нем использовалась электронная подпись или электронная запись». Следующие статьи определяют отношения сторон, а также их права и обязанности. В третьей части «Стимулирование международной электронной торговли» определяются обязанности Министра торговли: Пункт (1) статьи (a): «Министру торговли следует поддерживать (стимулировать, активизировать) принятие (одобрение) и использование на международном уровне электронных подписей в соответствии с принципами, определенными в параграфе (2), и согласующимися с разделом 101 настоящего Постановления. Министру торговли следует предпринимать необходимые действия, согласующиеся с этими принципами, для устранения или максимально возможного уменьшения препятствий торговли с использованием электронных подписей с целью содействия развитию внутренней и зарубежной торговли.» Принципы: (А) Устранить препятствия электронным сделкам, приняв соответствующие положения из «Типового закона об электронной торговле», принятого в 1996 году Комиссией Организации Объединенных Наций по праву международной торговли (ЮНСИТРАЛ). (В) Позволить участникам сделок определять соответствующие технологии идентификации и модели осуществления сделок с гарантией, что их технологии и модели будут признаны и осуществлены. (С) Предоставить участникам сделок возможность доказать в суде или других судебных разбирательствах, что их методы идентификации и их сделки действительны. II. Европейский Союз. 13 декабря 1999 года была подписана Директива 1999/93/EC об электронных подписях, которая вступила в силу (согласно статье 14 Директивы) со дня публикации в Официальном журнале Европейского Сообщества, т.е. с 19 января 2000 года. Согласно статье 1, цель Директивы – «содействовать применению электронных подписей и способствовать признанию их юридической силы. Она (Директива) определяет юридические рамки для электронных подписей и определенные сертификационные услуги для обеспечения надлежащего развития внутреннего рынка.» Директива определяет двухуровневую систему электронных подписей: электронная подпись (п.1 ст.2) и квалифицированная электронная подпись (п.2 ст.2). Статья 5 посвящена определению юридической силы электронных подписей. По мнению профессора Криса Рида «такое различие важно, потому что главной целью Директивы является не обеспечение законности электронной подписи, а гарантия, что национальные законы не создают препятствий для свободного течения сертификационных услуг в Европейском Сообществе». Остальная часть Директивы и приложения определяют порядок работы провайдеров сертификационных услуг, а также определяют требования к сертификатам. Статья 13 Директивы обязывает государства - члены Сообщества до 19 июля 2001 года ввести в действие законы и другие нормативные акты, необходимые для исполнения этой Директивы, о которых следует немедленно сообщить Комиссии. III. Великобритания. 25 мая 2000 года в Великобритании получило Королевское одобрение Постановление об электронном сообщении 2000. Постановление состоит из 3-х частей. В первой части «Провайдеры криптографических услуг» определяются условия регистрации провайдеров. Во второй части «Содействие электронной торговли, хранению данных и т.д.» признается юридическая сила электронной подписи. Также уделяется внимание «содействию электронным сообщениям или электронному хранению данных как альтернативе традиционным средствам сообщения и хранения». Третья часть в основном посвящена изменениям телекоммуникационных лицензий и является поправками к Телекоммуникационному Акту 1984. В самом Постановлении об электронном сообщении 2000 способы защиты информации не описываются, но в Комментариях отмечается, что «криптография и электронные подписи важны для электронных сделок.» Далее даются понятия криптографии, процесса шифрования и электронной подписи, а также понятия закрытого и открытого криптографических ключей (private and public keys cryptography). IV. На сайте http// www. europa. Eu. Int / comm. / index_en. htm (конфиденциальность и безопасность) есть ссылки на множество количество документов. В основном это различные информационные статьи, в которых проблема безопасности и конфиденциальности сводится к описанию существующих способов шифрования информации. Нормативные документы по применению электронных подписей в электронных торгах не указаны. Существуют нормативные акты, связанные с телекоммуникационными лицензиями и услугами. Информация Национального Института Стандартов и Технологий о Передовом Шифровальном Стандарте [Advanced Encryption Standard (AES)]. 2 октября 2000 года Министр торговли США Норман Микета объявил название нового предлагаемого Передового Шифровального Стандарта. Таким образом, завершилось 3-летние соревнование с участием всемирно известных ведущих шифровальщиков в целях развития новых шифровальных методов, которые могут быть использованы для защиты компьютерной информации. Победителем была объявлена формула Райндол, разработанная бельгийскими специалистами. "Будучи окончательным, этот стандарт послужит крайне необходимым инструментом компьютерной безопасности, способствующей росту электронной торговли," – сказал Микета. "Это очень значительный шаг к созданию более безопасной (надежной) цифровой экономики. Это позволит электронной торговле и электронному правительству процветать (преуспевать) безопасно, открывая новые возможности для всех американцев," – сказал он. Возможность применения AES в электронной торговле отметил еще 9 августа 1999 года Министр торговли США Ульям Делэй, объявляя финалистов: "Это решающая веха в развитии AES. AES будет служить важным инструментом безопасности в поддержании динамичного роста электронной торговли." Специалисты Национального Института Стандартов и технологий, агентства Департамента Администрации Технологии организовали международное соревнование с целью развития надёжной формулы шифрования информации, чтобы защитить наиболее важную информацию в федеральных компьютерных системах. Предполагается, что многие фирмы и торговые предприятия также будут использовать AES. Агентства и шифровальные общества оценивали формулы по таким критериям, как безопасность (надёжность), скорость и гибкость. Соревнования проходили в тесном сотрудничестве с частным сектором. После одобрения AES станет публичным алгоритмом, созданным для защиты важной правительственной информации в 21 веке. Он заменит существующий Стандарт Шифровки Данных [Data Encryption Standard (DES)], который НИСТ принял в 1977 году как Федеральный Стандарт обработки информации [Federal Information Processing Standard (FIPS)], используемый федеральными органами для защиты важной информации. DES и его разновидность – тройной DES [Triple DES], широко используется в частном секторе, особенно в финансовой сфере. В первую очередь требовалась надежность, но учитывались и такие факторы как скорость и гибкость, т.е возможность применения на больших компьютерах, настольных (переносных) и даже на смат-картах. Райндол имел наилучшую комбинацию безопасности (надежности), исполнения, эффективности и гибкости. После изучения общественного мнения НИСТ представит материалы Министру торговли для принятия в качестве официального стандарта. Завершение этого процесса ожидается к весне 2001 года. Ключевые слова: использование цифровой подписи Нашлось 2 млн ответов О цифровых подписяхMicrosoft Office XP использует технологию Microsoft Authenticode, позволяющую снабжать проекты макросов и файлы цифровой подписью с использованием цифрового сертификата. Сертификат, используемый для создания подписи, подтверждает, что макрос или документ получен от владельца подписи, а подпись подтверждает, что макрос или документ не был изменен. Установив уровень безопасности, можно разрешить или запретить выполнение макроса в зависимости от того, входит ли подписавший его разработчик в список надежных источников. Центры выдачи цифровых сертификатов Цифровой сертификат можно получить в коммерческом центре сертификации, таком как VeriSign, Inc., у администратора внутренней безопасности или у специалиста по информационным технологиям. Цифровую подпись также можно создать самостоятельно с помощью программы Selfcert.exe. Для получения цифрового сертификата от коммерческого центра сертификации, такого как VeriSign, Inc., необходимо подать заявку в этот центр. Дополнительные сведения о центрах сертификации, обслуживающих продукты корпорации Майкрософт, см. на веб-узле Microsoft Security Advisor. В зависимости от статуса разработчика макросов может быть выдан сертификат для разработчиков макросов класса 2 или класса 3.
При выдаче цифрового сертификата даются инструкции по его установке на компьютер, используемый для подписания разрабатываемых решений для Microsoft Office. Внутренние центры сертификации В некоторых организациях и корпорациях может иметься администратор безопасности или отдел, выполняющий функции собственного центра сертификации и создающий или распространяющий цифровые сертификаты с помощью таких инструментов как Microsoft Certificate Server. Microsoft Certificate Server может работать как автономный центр сертификации или как часть существующей иерархии центров сертификации. В зависимости от того, как возможности цифровых подписей Microsoft Office используются в данной организации, разработчику может быть разрешено подписывать макросы, используя цифровой сертификат внутреннего центра сертификации компании, либо это за него должен будет делать администратор, используя утвержденный сертификат. Сведения о политике организации можно получить у сетевого администратора или в отделе информационных технологий. Подписание собственных файлов и макросов После установки цифрового сертификата можно подписывать файлы и макросы. Цифровая подпись файла подтверждает, что файл допустим для использования и не был изменен с момента подписания. Пока файл не будет изменен, пользователи могут снабжать его подписями. Цифровую подпись можно использовать для важных файлов. Цифровая подпись макроса гарантирует безопасность этого макроса. Макрос сохраняет подпись до тех пор, пока не будет изменен его текст.
http://cyfra05.ru/index.php?option=com_content&view=article&id=60&Itemid=55<< предыдущая страница |
|
|