Организационно-технические аспекты применения цифровой подписи

Согласно Закону РФ «Об электронно-цифровой подписи», для обеспечения юридической значимости электронного документа необходимо одновременное соблюдение следующих условий:

• сертификат ключа подписи, относящейся к данной цифровой подписи, не утратил силу (действует) на момент проверки или подписания электронного документа при наличии доказательств, определяющих момент подписания;

• подтверждена подлинность электронной цифровой подписи;

• электронная подпись используется в соответствии со сведениями, указанными в сертификате ключа подписи.

При этом под сертификатом ключа подписи понимается «документ, на бумажном носителе или электронный документ с электронной цифровой подписью уполномоченного лица удостоверяющего центра, которые включают в себя открытый ключ электронной цифровой подписи и которые выдаются удостоверяющим центром участнику информационной системы для подтверждения подлинности электронной цифровой подписи и идентификации владельца сертификата ключа подписи», а подтверждение подлинности электронной цифровой подписи в электронном документе предполагает «положительный результат проверки соответствующим сертифицированным средством электронной цифровой подписи с использованием сертификата ключа подписи принадлежности электронной цифровой подписи в электронном документе владельцу сертификата ключа подписи и отсутствия искажений в подписанном данной электронной цифровой подписью электронном документе».

Ключевое место в законодательстве, регламентирующем вопросы использования цифровых подписей отводится Удостоверяющим центрам. Суть проблемы состоит в том, что участники системы электронного документооборота, в которой используются документы с ЭЦП, должны обмениваться открытыми ключами. В общем случае обмен производится заочно, без личного контакта, путём передачи по сетям связи. Абонент А, получив ключ абонента Б, не может быть уверен, что этот ключ послал именно абонент Б. Поэтому возможно, что некто, от имени Б, будет получать информацию от А.

Для снижения риска подобного «маскарада» в системах электронного документооборота создаются Центры сертификации, или Удостоверяющие центры. Во всех национальных законодательствах есть указания о системе сертификации. Центр сертификации может не только удостоверять принадлежность открытого ключа конкретному лицу, но может также принимать на себя функции формирования, хранения и рассылки секретных и открытых ключей.

В общем виде процесс сертификации открытых ключей можно описать следующим образом:

1. Лицо А, желающее организовать документооборот с использованием электронной цифровой подписи, предоставляет в Центр свой открытый ключ;

2. Удостоверяющий центр регистрирует это лицо и его ключ;

3. Удостоверяющий центр добавляет к полученному ключу свою подпись и всё это шифрует собственным закрытым ключом. В результате получается «сертификат» открытого ключа лица А;

4. Открытый ключ для чтения таких сертификатов Центр выдаёт всем лицам, который будут обращаться для проверки факта принадлежности открытого ключа лицу А;

5. Лицо Б, получив открытый ключ от лица А, проверяет его принадлежность лицу А, обратившись в Удостоверяющий центр. Последний по запросу Б направляет ему сообщение – сертификат открытого ключа лица А. Прочитав сообщение с помощью открытого ключа Удостоверяющего центра, лицо Б сверяет ранее полученный от имени А ключ с ключом, указанным в «сертификате». Совпадение ключей свидетельствует о том, что полученный от имени А ключ действительно принадлежит лицу А.

Другими словами, сертификационный или удостоверяющий центр служит главным образом для того, чтобы удостоверять, что тот или иной открытый ключ принадлежит именно Иванову Петру Сергеевичу. Этим достигается гарантия, что подписанный текст исходит от лица, поставившего подпись и не даёт самому этому лицу возможности отказаться от обязательств, связанных с подписанным текстом

Структура электронного сертификата закреплена Международным союзом связи с соответствующем стандарте. В соответствии с этим стандартом сертификат содержит следующие сведения:

Версия – версия стандарта;

Серийный номер – уникальный номер, присвоенный сертификату организацией, которая его выписывала. Он используется для учёта выданных сертификатов внутри центра сертификации;

Алгоритм подписи – указание на метод асимметричного шифрования при формировании подписи данного сертификата;

Поставщик – сведения, идентифицирующие издателя сертификата (кто выдал сертификат);

Даты начала и завершения действия сертификата;

Субъект – сведения, идентифицирующие того, кто выдал сертификат;

Открытый ключ – сертифицируемый открытый ключ с указанием метода его получения;

Идентификатор ключа – внутренний идентификатор ключа;

Алгоритм печати – алгоритм хеш-функции;

Печать – электронная печать, или дайджест (хеш-функция сертификата).

Наряду с международным, существуют также национальные и отраслевые стандарты на формат электронного сертификата.