Генерация Ключа эцп
Существует следующий вариант генерации (создания) ЭЦП:
генерирование закрытого ключа в УЦ;
Если закрытый ключ генерируется в УЦ, то уполномоченный сотрудник идет в УЦ, где в обязательном порядке предъявляет документ, удостоверяющий личность (как правило, паспорт) и передает администратору УЦ полный пакет документов, требуемый его регламентом. После этого администратор генерирует закрытый и открытый ключи клиента в специально оборудованном помещении. Далее администратор выдает единственный ключ, который должен обязательно выдаваться на защищенном носителе, и регистрирует сертификат, т.е. вносит его в реестр действующих СКП УЦ.
Срок действия ЭЦП
Срок действия ЭЦП всех УЦ составляет 1 год. Каждый год ЭЦП необходимо перевыпускать.
Продление, замена, отзыв сертификата ключа подписи
Для продления срока действия ключей ЭЦП сотрудник РЦ ДИТ должен выполнить следующие действия:
Предоставить весь комплект документов в УУЦ ФК за 20 рабочих дней до окончания срока действия ЭЦП Пользователя ГУ-ВШЭ для получения новых сертификатов ЭЦП.
Получив подтверждение продления срока действия ключей ЭЦП от УУЦ ФК, зарегистрировать эту информацию и оповестить об это Пользователя посредством сообщения корпоративной электронной почты, включающего информацию о факте продления действия ключей и сроке продления.
Отзыв сертификата или приостановка текущего сертификата ключа подписи возникает, если:
сменились реквизиты у вашей организации (например, название или ИНН);
сменилось уполномоченное лицо, владеющее ЭЦП;
сломался ключ или носитель, на котором хранился секретный ключ;
произошла компрометация вашего ключа ЭЦП.
В любом случае, необходимо аннулировать прежний сертификат и получить новый. Как правило, вся процедура отзыва завершается в течение суток.
Подделка подписей
Анализ возможностей подделки подписей называется криптоанализ. Попытку сфальсифицировать подпись или подписанный документ криптоаналитики называют «атака».
Модели атак и их возможные результаты
Атака с использованием открытого ключа. Криптоаналитик обладает только открытым ключом.
Атака на основе известных сообщений. Противник обладает допустимыми подписями набора электронных документов, известных ему, но не выбираемых им.
Адаптивная атака на основе выбранных сообщений. Криптоаналитик может получить подписи электронных документов, которые он выбирает сам.
Возможные исходы атак:
Полный взлом цифровой подписи. Получение закрытого ключа, что означает полный взлом алгоритма.
Универсальная подделка цифровой подписи. Нахождение алгоритма, аналогичного алгоритму подписи, что позволяет подделывать подписи для любого электронного документа.
Выборочная подделка цифровой подписи. Возможность подделывать подписи для документов, выбранных криптоаналитиком.
Экзистенциальная подделка цифровой подписи. Возможность получения допустимой подписи для какого-то документа, не выбираемого криптоаналитиком.
История
С того момента, как в 1976 г. Уитфрид Диффи, один из основоположников криптографии с открытым ключом, высказал идею использования электронно-цифровой подписи (ЭЦП), прошло уже больше 30 лет.
В 1977 году, Рональд Ривест, Ади Шамир и Леонард Адлеман разработали криптографический алгоритм RSA, который без дополнительных модификаций можно использовать для создания примитивных цифровых подписей.
Вскоре после RSA были разработаны другие ЭЦП, такие как алгоритмы цифровой подписи Рабина, Меркле.
В 1984 году Шафи Гольдвассер, Сильвио Микали и Рональд Ривест первыми строго определили требования безопасности к алгоритмам цифровой подписи. Ими были описаны модели атак на алгоритмы ЭЦП, а также предложена схема GMR, отвечающая описанным требованиям.[5] См. Криптосистема Голдвассера-Микали.
Российский бизнес использует ЭЦП в том или ином виде с начала 90-х, то есть уже как минимум 15 лет.
В 1994 году Главным управлением безопасности связи Федерального агентства правительственной связи и информации при Президенте Российской Федерации был разработан первый российский стандарт ЭЦП — ГОСТ Р 34.10-94.
В 2002 году для обеспечения большей криптостойкости алгоритма взамен ГОСТ Р 34.10-94 был введен стандарт ГОСТ Р 34.10-2001, основанный на вычислениях в группе точек эллиптической кривой. В соответствии с этим стандартом, термины «электронная цифровая подпись» и «цифровая подпись» являются синонимами.
Первыми ЭЦП взяли на вооружение отечественные банки, в том числе Банк России, и кредитные организации, которые использовали ее, в первую очередь, как инструмент информационной безопасности в своих корпоративных информационных системах (ИС), а чуть позже и для безопасной работы в системах «банк-клиент». В хозяйствующих субъектах также применялась ЭЦП, но там она получила значительно меньшее распространение. Так или иначе, до 2002 г. основной задачей ЭЦП была защита информации.
Федеральный закон «Об ЭЦП» вступил в силу 10 января 2002 г. и вводил правовые условия для использования ЭЦП в Российской Федерации, определял права и обязанности лиц, оказывающих услуги, связанные с использованием ЭЦП.
Правовые аспекты использования электронной цифровой подписи
Использование электронных документов и электронной цифровой подписи (ЭЦП) регламентируется во многих законах и подзаконных актах. В большинстве взаимоотношения сторон по применения ЭЦП складываются в рамках гражданско-правовых отношений, и регулируются Гражданским кодексом РФ и принятыми в соответствии с ним законами.
Гражданский кодекс РФ разрешает использование электронных документов, заверенных ЭЦП, во всех случаях, когда требуется письменная форма сделки, за исключением тех, при которых установлены специальные требования к форме документа. При этом следует обратить внимание, что ни статья 160 ГК РФ, ни статья 434 ГК РФ не выдвигает в качестве обязательного требования скрепления документов печатями.
Федеральный Закон №149-ФЗ от 27.07.2006 г. «Об информации, информатизации и защите информации» определяет критерий отнесения компьютерной информации к электронным документам. Так, согласно ч.3 ст.11 Закона: «Электронное сообщение, подписанное электронной цифровой подписью или иным аналогом собственноручной подписи, признается электронным документом, равнозначным документу, подписанному собственноручной подписью, в случаях, если федеральными законами или иными нормативными правовыми актами не устанавливается или не подразумевается требование о составлении такого документа на бумажном носителе». При этом в ч.4 ст.11 Закона установлено: «В целях заключения гражданско-правовых договоров или оформления иных правоотношений, в которых участвуют лица, обменивающиеся электронными сообщениями, обмен электронными сообщениями, каждое из которых подписано электронной цифровой подписью или иным аналогом собственноручной подписи отправителя такого сообщения, в порядке, установленном федеральными законами, иными нормативными правовыми актами или соглашением сторон, рассматривается как обмен документами».
Такими законодательными актами, которые регулируют использование ЭЦП, являются, в частности, Налоговый кодекс РФ, Арбитражный процессуальный кодекс РФ, Федеральный закон РФ от 21.11.1996 № 129-ФЗ «О бухгалтерском учете». Так, согласно статье 80 Налогового кодекса РФ налогоплательщик вправе подать декларацию, подписанную ЭЦП. Законодательство о бухгалтерском учете в Российской Федерации позволяет использовать в первичных учетных документах ЭЦП лиц, ответственных за совершение хозяйственных операций и правильность их оформления (статья 9 Федерального закона РФ от 21.11.1996 № 129-ФЗ «О бухгалтерском учете» и письмо Министерства Финансов РФ от 26 мая 2004 года № 04-02-05/2/28).
Статьей 75 АПК РФ предусмотрено что, документы, полученные посредством факсимильной, электронной или иной связи, а также документы, подписанные электронной цифровой подписью или иным аналогом собственноручной подписи, допускаются в качестве письменных доказательств в случаях и в порядке, которые установлены федеральным законом, иным нормативным правовым актом или договором.
Высший арбитражный суд РФ дал оценку доказательств изготовленных и подписанных с помощью средств электронно-вычислительной техники, в которых использована система цифровой (электронной) подписи. Это было сделано в письме ВАС РФ от 19 августа 1994 г. № С1-7/ОП-587 «Об отдельных рекомендациях, принятых на совещаниях по судебно-арбитражной практике»: «В том случае, когда стороны изготовили и подписали договор с помощью электронно-вычислительной техники, в которой использована система цифровой (электронной) подписи, они могут представлять в арбитражный суд доказательства по спору, вытекающему из этого договора, также заверенные цифровой (электронной) подписью».
Судебная практика по делам, в которых в качестве доказательств присутствуют документы, подписанные ЭЦП, говорит о том, что суды во всех случаях рассматривают подобные документы как доказательства.
С 1 июля 2013 года Федеральный закон от 10 января 2002 г. № 1-ФЗ утратит силу, на смену ему придет Федеральный закон от 6 апреля 2011 г. № 63-ФЗ «Об электронной подписи».