Создание удостоверяющего центра под ключ. О конференции. Приказ ФСБ о требованиях к средствам электронной подписи и УЦ

Удостоверяющий центр сайт предлагает комплекс услуг по организации и развитию удостоверяющих центров. Мы работаем на рынке ЭЦП и аутсорсинга удостоверяющих центров с 2002 года - года принятия федерального закона об ЭЦП. За это время мы реализовали ряд сложных проектов по внедрению ЭЦП и построению УЦ, тщательно изучили российский и международный опыт в области PKI, разработали ряд собственных методик и технологий. Сеть регистрационных центров сайт работает на территории 70 регионов Российской Федерации.

В соответствии с федеральным законом "Об электронной цифровой подписи", под Удостоверяющим центром для информационных систем общего пользования понимается юридическое лицо, выполняющее функции, предусмотренные данным федеральным законом. Основные функции удостоверяющих центров связаны с изготовлением сертификатов ключей подписей, их приостановлением, возобновлением, аннулированием, ведением их реестра.

Комплекс услуг по организации удостоверяющего центра состоит из следующих компонентов:

составление бизнес-плана и расчеты экономической целесообразности создания собственного удостоверяющего центра;
разработка политики информационной безопасности;
сопровождение созданной системы защиты;
нормативно-правовая консультационная поддержка при организации и функционировании удостоверяющего центра;
разработка технологий функционирования удостоверяющего центра;
обучение сотрудников создаваемого удостоверяющего центра основам работы с данными и последующая консультационная поддержка.

Предложение разработано с целью поддержки компаний в период становления их собственного удостоверяющего центра с учетом нескольких принципов:

устранение типичных ошибок проектирования удостоверяющего центра;
снижение издержек на создание удостоверяющего центра и ликвидация нецелевых затрат;
кросс-сертификация создаваемого удостоверяющего центра с Удостоверяющим центром сайт;
разработка организационно-юридических документов для создания и функционирования создаваемых удостоверяющих центров различного уровня;

При создании Удостоверяющих центров разного уровня (корпоративного или публичного, внутриведомственного и регионального, независимо от его масштаба) решается пять задач:

1. Экономическая часть. Подготовка бизнес-плана и расчет экономической целесообразности создания удостоверяющего центра. Первичный анализ, цели создания Удостоверяющего центра и расчет затрат на создание Удостоверяющего центра, сметы. Для коммерческих проектов проводится исследование рынка и учет различных факторов, влияющих на целесообразность создания удостоверяющего центра, прежде всего количество потенциальных клиентов, период окупаемости удостоверяющего центра, штат сотрудников удостоверяющего центра и т.д.

2. Безопасность. Разработка политики информационной безопасности состоит в определение мер и процедур по обеспечению информационной безопасности и включает в себя разработку модели действий потенциального злоумышленника, концепции информационной безопасности, инструкций и других организационно-распорядительных документов по обеспечению информационной безопасности. Внедрение системы защиты информации заключается в установке и настройке выбранного комплекса средств. По мере развития информационной системы осуществляется модернизация системы защиты информации, направленная на отражение новых типов угроз.

3. Техническая часть. Удостоверяющий центр представляет собой сложную, многокомпонентную техническую систему. На рынке существует ряд продуктов, как сертифицированных, так и несертифицированных, пригодных для использования в качестве комплекса Удостоверяющего центра. При организации УЦ необходимо комплексно подойти к анализу существующих на рынке продуктов и выбрать оптимальное решение, правильно его установить, настроить и наладить поддержку функционирования.

4. Юридическая часть. Юридические аспекты организации и функционирования Удостоверяющего центра. Поскольку ЭЦП - это инструмент, который позволяет упростить процедуру аутентификации и идентификации документа при передаче его в электронном виде по каналам связи, а основные функции Удостоверяющих центров связаны с изготовлением сертификатов ключей подписей, их приостановлением, возобновлением, аннулированием, ведением их реестра, то при организации УЦ необходимо разработать:

Нормативные процедуры, описывающие типы документов, которые могут обращаться в электронном виде;
Способы и средства доставки этих документов;
Регламенты аутентификации отправителя документа;
Методы разбора конфликтных ситуаций и многое другое.

Как правило, УЦ начинает строится усилиями команды, состоящей только из технических специалистов. Создание же регламента работы УЦ и сопутствующих документов - нетривиальная задача. Ее должны решать профессиональные юристы.

5. Организационная часть. Для обеспечения эффективного функционирования сложного и критичного с точки зрения безопасности компонента инфраструктуры открытых ключей, как Удостоверяющий центр необходима разработка большого числа инструкций, нормативных актов и других организационных документов. Задачу разработки этих документов значительно осложняет неполнота существующего законодательства. Кроме того, призванная сократить электронный документооборот технология на первых же этапах внедрения многократно увеличивает его. Вот далеко не полный перечень инструкций и нормативных актов, которые требуется выработать, согласовать и принять в организации:

функции компонент (УЦ, каталогов сертификатов, конечных пользователей);
сферы ответственности;
режимы функционирования каталога сертификатов;
процедуры разрешения конфликтных ситуаций;
процедуры и порядок аудита;
процедуры собственной защиты;
регламент проведения операций с сертификатами;
процедуры и регламент защиты ключевого материала и параметров генерируемых ключей;
регламент приема и обработки запросов на сертификат;
порядок контроля физического доступа к оборудованию;
процедуры защиты ключей.

Использование ЭП позволяет:

значительно сократить время, затрачиваемое на оформление сделки и обмен документацией;
усовершенствовать и удешевить процедуру подготовки, доставки, учета и хранения документов;
гарантировать достоверность документации;
минимизировать риск финансовых потерь за счет повышения конфиденциальности информационного обмена;
построить корпоративную систему обмена документами.

Подделать ЭП невозможно - это требует огромного количества вычислений, которые не могут быть реализованы при современном уровне математики и вычислительной техники за приемлемое время, то есть пока информация, содержащаяся в подписанном документе, сохраняет актуальность. Дополнительная защита от подделки обеспечивается сертификацией Удостоверяющим центром открытого ключа подписи.

С использованием ЭП работа по схеме "разработка проекта в электронном виде - создание бумажной копии для подписи - пересылка бумажной копии с подписью - рассмотрение бумажной копии - перенос ее в электронном виде на компьютер" уходит в прошлое.

Три вида электронной подписи

Электронные подписи разделяются законом 2011 г. на три вида.

Простые подписи создаются с помощью кодов, паролей и других инструментов, которые позволяют идентифицировать автора документа, но не позволяют проверить его на предмет наличия изменений с момента подписания.
Усиленная неквалифицированная подпись создана с использованием криптографических средств и позволяет определить не только автора документа, но проверить его на наличие изменений. Для создания таких подписей может использоваться сертификат неаккредитованного центра, можно также вообще обойтись без сертификата, если технические средства позволяют выполнить требования закона.
Усиленная квалицифированная подпись является разновидностью усиленных, она имеет сертификат от аккредитованного центра и создана с помощью подтвержденных ФСБ средств.

Простые и неквалифицированные подписи заменяют подписанный бумажный документ в случаях, оговоренных законом или по согласию сторон. Например, простые подписи могут использовать граждане для отправки сообщений органам власти. Усиленная подпись также может рассматриваться как аналог документа с печатью.

Квалифицированные подписи заменяют бумажные документы во всех случаях, за исключением тех, когда закон требует наличие исключительно документа на бумаге. Например, с помощью таких подписей граждане могут получать госуслуги в электронном виде, а органы государственной власти могут отправлять сообщения гражданам и взаимодействовать друг с другом через информационные системы. Ранее выданные сертификаты ЭЦП и подписанные с их помощью документы приравниваются к квалифицированным подписям.

Иностранные электронные подписи приравниваются в России к тем видам подписей, которым они соответствуют.

Простая электронная подпись, в отличие от прежней электронно-цифровой подписи, не предназначена для защиты документа от подделки. Она не позволяет обнаружить возможное искажение содержания документа. Единственная ее функция - подтверждение факта формирования электронной подписи (а не самого документа!) определенным лицом.

Целям определения лица, подписавшего электронный документ, а также обнаружения факта внесения изменений в документ после его подписания служит усиленная электронная подпись. Именно эта подпись (в двух видах - неквалифицированная и квалифицированная) является аналогом прежней электронной цифровой подписи.

Поскольку простая электронная подпись требует использования кодов, паролей или иных средств, станет ясно, что можно считать электронной подписью, а что нет. Очевидно, что в случае электронного письма роль электронной подписи не может играть имя отправителя, вручную поставленное после текста, так как оно никак не зависит от пароля, используя который отправитель сформировал и отправил письмо. Информацией, указывающей на лицо, от имени которого был послан документ, может служить, вероятно, идентификатор сообщения в сочетании с IP-адресом компьютера отправителя, свидетельствующие о том, что сообщение было создано в результате доступа к почтовой системе, сопровождавшегося вводом пароля, принадлежащего определенному пользователю. Электронный адрес отправителя и имя отправителя можно считать подписью лишь в том случае, если оператор информационной системы обеспечивает их достоверность, ведь почтовый протокол позволяет указывать любое имя и любой обратный адрес, и некоторые почтовые системы не накладывают здесь никаких ограничений.

Средства ЭЦП

Доверие к удостоверяющим центрам основано на иерархическом принципе: сертификат удостоверяющего центра нижнего уровня заверяется электронной подписью удостоверяющего центра более высокого уровня. Высочайшим уровнем удостоверяющих центров является федеральный, который находится под управлением государственных органов. Вся система доверия, построенная на сертификатах, образует так называемую инфраструктуру открытых ключей (Public Key Infrastructure, PKI). При такой инфраструктуре требуется проверка не только легитимности ключа удостоверяющего центра, выдавшего сертификат, но и всех вышестоящих удостоверяющих центров. В частности, при формировании электронной транзакции необходимо проверить не только математическую корректность ЭЦП, но и валидность всей цепочки сертификатов, задействованных при изготовлении сертификата подписанта, на момент подписания им конкретного электронного документа.

Удостоверяющий центр (Центр сертификации) (англ. Certification authority, CA) - организация, выпускающая сертификаты ключей электронной цифровой подписи.

Электронная подпись для госзакупок

Для участия в закупочных процедурах необходимо наличие электронной подписи. Каких типов бывают ЭП, что влияет на стоимость подписи и какой пакет документов необходимо подготовить для её получения? Подробнее .

Электронная подпись для госуслуг

Хроника

2019: В России введут уголовную ответственность за неправильную выдачу электронной подписи

8 июля 2019 года стало известно, что Министр экономического развития Максим Орешкин выступил за скорейшее принятие законопроекта, ужесточающего требования к удостоверяющим центрам электронной подписи. Соответствующее заявление министр сделал в ходе парламентских слушаний в Госдуме , посвященных вопросам Цифровой экономики .

В Госдуму были внесены сразу два законопроекта с поправками в Закон «Об электронной подписи». Первый из них разработан сенаторами Владимиром Кравченко, Любовью Глебовой и Михаилом Пономаревым, второй - сенатором Людмилой Боковой.

Закон «Об электронно-цифровой подписи» был принят в России в 2003 г. К документу было множество нареканий, и в 2011 г. его заменили новым Законом – «Об электронной подписи».

В законе упоминается электронная подпись трех видов: простая, усиленная и квалифицированная. Усиленная электронная подпись выдается удостоверяющим центром, квалифицированная – удостоверяющим центром, прошедшим аккредитацию в Минкомсвязи . Квалифицированная электронная подпись признается аналогом собственноручной. В числе прочего она необходима для участия в госзакупках .

Изначально закон требовал, что для аккредитованных удостоверяющих центров минимальный размер чистых активов должен составлять 1 млн руб., а минимальный размер финансового обеспечения для покрытия возможных убытков третьим лицам 1,5 млн руб.

В 2015 г. по инициативе Минкомсвязи законодатели увеличили минимальный размер чистых активов до 7 млн руб., а минимальный размер финансового обеспечения – до 30 млн руб. Но власти хотели и дальше ужесточать требования к удостоверяющим центрам. Так, в 2017 г. Минкомсвязи разработало законопроект о монополизации выдачи квалифицированных электронных подписей государством , однако данный документ был раскритикован отраслью и не получил дальнейшего развития.

В представленных законопроектах речь идет о дальнейшем ужесточении требований к аккредитованным удостоверяющим центрам. Согласно обоим документам, минимальный размер чистых активов предлагается увеличить до 1 млрд руб., либо, если у удостоверяющего центра есть филиалы в как минимум двух третях российских регионов, до 500 млн руб.

Минимальный размер финансовой гарантии предлагается увеличить до 200 млн руб. Если число мест осуществления лицензируемого вида деятельности превышает 10, то за каждое такое место необходима дополнительная финансовая гарантия в размере 500 тыс. руб., но не более 300 млн руб. в совокупности.

Срок аккредитации удостоверяющих центров сокращается с пяти до трех лет. За нарушения в работе удостоверяющих центров технического характера вводится административная ответственность.

За заведомо умышленные действия сотрудников удостоверяющих центров помимо административной, вводится еще и уголовная ответственность.

Также вводятся требования к деловой репутации руководителей удостоверяющих центров и лиц, владеющих в них не менее чем 10% капитала. Если аккредитация удостоверяющего центра была отозвана, то центр сможет обратиться за новой аккредитацией не ранее чем через три года. Кроме того, аккредитованные удостоверяющие центры должны владеть лицензиями на разработку шифровальных средств и обладать правами собственности на аппаратные средства электронной подписи.

Другое важное требование состоит в использовании юридическими лицами электронных подписей, причем здесь подходы обоих документов расходятся. Законопроект Кравченко, Глебовой и Пономарева предполагает обязать использовать только квалифицированные электронные подписи, выданные удостоверяющим центром Федеральной налоговой службы (ФНС) . Дополнительно при заключении сделок будут применяться квалифицированные электронные подписи физических лиц, уполномоченных действовать от лица соответствующих юридических лиц.

В случаях с кредитными организациями, некредитными финансовыми организациями и платежными системами будут применять квалифицированные электронные подписи, выданные удостоверяющими центрами Центробанка . В случаях с органами государственной власти и местного самоуправления, а также их должностными лицами будут применяться квалифицированные электронные подписи, выданные удостоверяющими центрами Федерального казначейства .

Законопроект Боковой более либерален. Он позволит юридическим лицами продолжить использовать квалифицированные электронные подписи от любых аккредитованных удостоверяющих центров. ФНС сможет отзывать сертификаты электронных подписей юридических лиц и индивидуальных предпринимателей .

Аналогичным образом, Центробанк сможет отзывать сертификаты электронных подписей кредитных организаций, некредитных финансовых организаций и платежных систем. Как и в другом законопроекте, законопроект Боковой также требует от органов госвласти и их должностных лиц получать квалифицированные электронные подписи только в удостоверяющем центре Федерального казначейства.

В случае принятия обоих законопроектов они вступят в силу в течение 120 дней с момента их подписания. Сертификаты квалифицированных электронных подписей и аккредитации удостоверяющих центров, выданные до опубликования данного закона, будут действительны до конца срока их действия, но не более двух лет.

Норма законопроекта Кравченко, Глебовой и Пономарева об использовании юридическими лицами квалифицированных электронных подписей, выданных удостоверяющим центром ФНС и Центробанком, вступит в силу через два года после опубликования соответствующих законов. Норма законопроекта Боковой о возможности ФНС и Центробанка отзывать сертификаты квалифицированных электронных подписей также вступит в силу через два года после опубликования закона.

В то же время есть и некоторые послабления. Удостоверяющие центры смогут привлекать третьих лиц для приема заявлений на выдачу сертификатов электронных подписей и вручению данных сертификатов.

Кроме того, удостоверяющие центры смогут хранить ключи проверки электронных подписей, и по поручению их владельцев, создавать с их помощью электронные подписи. Как пояснил Орешкин, речь идет о возможности использования облачной электронной подписи.

Законопроект вводит понятие доверенной третей стороны. Она будет проверять подлинность электронной подписи в электронных документах в конкретный момент и проверять подлинность электронных подписей, выданных за рубежом. Доверенные третьи лица должны будут проходить аккредитацию в Минкомсвязи. Ожидается, что в России появится около 20 таких лиц.

В связи с этим вводится еще одно понятие – метка доверенного времени. Это достоверная информация в электронной форме о дате и времени подписания электронного документа электронной подписью, создаваемая и проверяемая доверенной третьей стороной, удостоверяющим центров либо операторов информационной системы .

Удостоверяющие центры должны будут выдавать сертификаты электронных подписей по цене, не превышающей установленное Правительством значение. Лицам, получившим сертификаты, безвозмездно должна быть предоставлена возможность зарегистрироваться в Единой системе идентификации и аутентификации . Кроме того, физическим лицам должны быть безвозмездно предоставлены технические средства для шифрования биометрических подписей.

Авторы законопроектов утверждают, что предложенные ими документы решат еще одну проблему. На июль 2019 года госведомства требуют наличия в сертификатах квалифицированных электронных подписей наличия тех или иных полномочий, закрепляемых за пользователем в рамках конкретной информационной системы. В результате сертификаты, выданные аккредитованными удостоверяющими центрами, не могут быть использованы в некоторых информационных системах, и удостоверяющие центры вынуждены предлагать квалифицированные электронные подписи для работы в конкретных информационных системах.

2018

В России работают над альтернативой ЭП для идентификации в интернете

Минкомсвязи предложило ввести для ЭЦП единый сертификат проверки ключей

В начале апреля 2018 года появилась информация о том, что полномочия пользователей электронных цифровых подписей могут быть закреплены в едином сертификате проверки ключа усиленной квалифицированной ЭЦП. Минкомсвязи России опубликовало на портале проектов правовых актов соответствующий законопроект.

В пояснении к проекту закона указывается, что согласно текущему положению дел пользователи ЭЦП - физические и юридические лица, государственные органы и чиновники - не могут получить доступ к информационным системам различных ведомств, так как они требуют наличия в квалифицированном сертификате объектных идентификаторов (OID).

В то же время, сертификаты, выданные аккредитованными Минкомсвязи России , как отмечают авторы законопроекта, не могут использоваться для проверки электронной подписи в информационных системах таких отдельных ведомств.

OID отсутствуют в единых сертификатах, так что на рынке работает множество компаний, продающих квалифицированные сертификаты проверки ключа, предназначенные для работы с единственным ведомством и, соответственно, не позволяющие работать с другими.

По сути, это «убивает» смысл в ЭЦП: ключевая идея электронной подписи - в универсальности её использования, - убежден Олег Галушкин, эксперт по информационной безопасности компании SEC Consult Services . - Унификация процедуры проверки ЭЦП назрела давно, но теперь встаёт вопрос, чем будут заниматься удостоверяющие центры, и не придётся ли им сворачивать деятельность, за право вести которую они платили существенные деньги.

Теперь Минкомсвязи предлагает ввести понятие «полномочный сертификат», в котором будут содержаться и OID пользователя, и сведения о его полномочиях. Тем самым проблема множества сертификатов - в случае принятия законопроекта - будет снята.

Ознакомиться с текстом законопроекта Минкомсвязи России «О внесении изменений в Федеральный закон "Об электронной подписи", Федеральный закон "О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля" и Федеральный закон "Об аккредитации в национальной системе аккредитации"» можно по ссылке .

2012

Ожидание распространения SIM-карты с ЭЦП

Согласно исследованию, опубликованному в сентябре 2012 года аналитической компанией TechNavio, рынок двухфакторных средств аутентификации будет ежегодно расти на 20,8% в год в 2011–2015 гг. Двухфакторная аутентификация подразумевает, что для доступа к информации пользователю нужно не только ввести пароль, но также обладать неким устройством или программой, с помощью которой проводится подтверждение права доступа. Классическим примером является онлайн-банкинг , где для подтверждения операции необходимо не только ввести пароль, но также набрать разовый код, присланный по sms или сгенерированный специальной программой на компьютере.

По мнению аналитиков, следующим этапом развития данных технологий станет аутентификации с помощью мобильных телефонов, когда в "симку" аппарата "зашивается" электронно-цифровая подпись, с помощью которой пользователь может осуществлять юридически значимые действия. Например, такой механизм уже реализован в Эстонии. Другой вариант развития технологий – это создание смарт-карт, которые представляют собой электронные удостоверения личности.

Распространению технологии будет способствовать внедрение в телефоны беспроводной связи короткого радиуса действия NFC . Таким образом, мобильный телефон можно будет использовать вместо банковской карты при оплате товаров в магазине или на проходной к территории с ограниченным доступом. Однако развитие рынка будут тормозить соображения безопасности и действия регуляторов, которые предъявляют определенные требования к передаче и защите конфиденциальных данных.

Среди ведущих производителей решений двухфакторной аутентификации исследователи TechNavio называют Entrust, Gemalto , RSA Security и VASCO Data Security.

Среди разработчиков второго эшелона можно отметить ActivIdentity, CryptoCard, Deepnet security, Equifax, PhoneFactor, SecureAuth, SecurEnvoy и SafeNet Inc.

Разрешение госорганам вносить документы в правительство в электронном виде при помощи ЭЦП

Согласно его сообщению, Правительство утвердило проект изменений, внесенных Министерством связи и массовых коммуникаций . Таким образом, документация между органами государственной и исполнительной власти, а также аппаратом правительства будут вноситься в электронном виде с помощью электронной цифровой подписи.

Генеральный директор аналитического агентства Telecom Daily Денис Кусков в беседе в корреспондентом TAdviser сообщил, что создание внутренней защищенной системы электронного документооборота сильно бы облегчила жизнь ведомствам и министерствам.

"Если говорить о проекте с точки зрения ИТ, то разработка, внедрение, настройка системы подобного масштаба и сложности, а также с подобными требованиями безопасности может стоить не одну сотню миллионов рублей. Это включая ключи ЭЦП ", - сказал Кусков. "Сейчас на рынке подобных систем довольно высокая конкуренция, поэтому государство может сократить расходы на проект довольно серьезно".

По мнению Кускова, приотсутствии каких-либо препятствий, то разработка, внедрение и отладка СЭД и ключей может занять около года.

Кусков уверен, что на каждое ведомство или учреждение необходимо будет максимум 20 ключей ЭЦП. Кабинет министров состоит из 21 члена.

В июле 2012 года стало известно, что осенью Совет Федерации намерен провести проверку подготовки нормативных актов, касающихся создания унифицированной электронно-цифровой подписи (ЭЦП). Как выяснили СМИ, в том случае, если сенаторы не будут удовлетворены итогами проверки, они выступят с законодательной инициативой о введении единой ЭЦП. (Ранее Правительство РФ продлило действие закона «Об электронной цифровой подписи» еще на год). Эксперты не уверены, что идея будет реализована: речь идет об огромном бизнесе, прикрывать который будет не выгодно ни удостоверяющим центрам, ни чиновникам .

Впервые вопрос о том, что действующий закон об ЭЦП необходимо дополнить поправками, позволяющими должностным лицам использовать одну подпись для всех информационных систем, поднимался сенаторами еще в апреле 2011 г. Совет Федерации в итоге предложение сенаторов одобрил, а правительство в свою очередь обещало, «что в нормативных актах о порядке применения электронной подписи данная новелла будет реализована», рассказал журналистам член комитета Совета Федерации по экономической политике Юрий Росляк. Однако почти за полтора года нормативные акты свет так и не увидели.

«На сегодня нормативные акты еще в разработке, поэтому по осени мы будем проверять, в каком виде все это реализовано. Если этот принцип не будет исполнен, то мы будем выходить с законодательной инициативой о законодательном побуждении правительства, в том числе Минкомсвязи, об использовании этой технологии – добавляет Ю. Росляк.

По мнению сенаторов, действующий закон об ЭЦП крайне неудобен: каждая информационная система требует индивидуальной цифровой подписи, поэтому госслужащим и бизнесменам приходится использовать сразу несколько ЭЦП.

Приказ ФСБ о требованиях к средствам электронной подписи и УЦ

17 февраля 2012 г., был опубликован приказ ФСБ РФ от 27 декабря 2011 г. № 796 «Об утверждении требований к средствам электронной подписи и требований к средствам удостоверяющего центра». Ранее появился приказ от 27 декабря 2011 г. № 795 «Об утверждении требований к форме квалифицированного сертификата ключа проверки электронной подписи».

В соответствии с новыми нормами, средство подписи при подписании документа должно показать электронный документ лицу, которое его подписывает, дождаться подтверждения от этого лица, а после подписания - показать ему, что подпись создана. При проверке подписи средство должно показать электронный документ, а также информацию о внесении изменений в подписанный документ и указать на лицо, подписавшее его.

Формат квалифицированного сертификата существенно отличается от формата сертификатов ЭЦП , которые выпускаются в это время (в соответствии с федеральным законом № ФЗ-1). Например, в квалифицированный сертификат необходимо включать наименование средств электронной подписи и средств удостоверяющего центра, использовавшихся для генерации ключа подписи и ключа проверки (закрытого и открытого ключей соответственно), а также для создания самого сертификата.

По сравнению с сертификатами ЭЦП изменился способ представления полномочий владельца сертификата. В сертификат ЭЦП по заявлению владельца могли включаться любые сведения, подтверждаемые соответствующими документами, а в квалифицированный сертификат нестандартные реквизиты (например, регистрационный номер страхователя) могут включаться только в том случае, если требования к их назначению и расположению в сертификате определены в документах, предоставляемых для подтверждения соответствия средств удостоверяющего центра требованиям ФСБ .

2011

За все время в России выдано 5-7 млн сертификатов ключей ЭП

За все время действия закона 2002 г. об ЭП в России было выдано 5-7 млн сертификатов ключей электронной подписи, приводит Минкомсвязи оценки экспертов. Действовать они будут до 1 июля 2012 г., затем их придется менять на новые.

В 2011 году в России начинает формироваться рынок услуг по выдаче носителей электронной подписи гражданам. Стоят они не дороже 500 руб., но оценить спрос в это время было трудно: еще не было решено, для каких документов какая подпись годится.

Подпись самого высокого уровня, защищенная от подделки, - так называемая усиленная квалифицированная. Средства, с помощью которых документы заверяются такой подписью, выдают специальные удостоверяющие центры , прошедшие сертификацию в ФСБ . По данным Минкомсвязи , Единый госреестр сертификатов ключей подписей содержит 284 таких центра.

Средства для оформления более простых подписей - усиленной неквалифицированной и простой - можно приобрести на рынке, обращаться в удостоверяющий центр для этого не придется.

В 2011 году удостоверяющие центры, тарифы которых изучил корреспондент «Ведомостей», берут за выдачу ЭП 2000-10 000 руб. (в зависимости от количества сопутствующих сервисов - например, за 10 000 руб. можно еще и поучаствовать в семинаре по использованию такой подписи). Но цена должна радикально снизиться, обещал пресс-секретарь министра связи Елена Лашкина , по сути, она сведется к стоимости носителя. За носитель усиленной ЭП, сертифицированной ФСБ , нужно будет заплатить 500-600 руб., а в перспективе - 300 руб. Для неквалифицированной усиленной ЭП можно купить любую USB -флешку (от 100 руб.).

Президент Медведев подписал закон "Об электронной подписи"

Необходимость нового закона была обусловлена тем, что положения действующего закона об электронной подписи (ФЗ-1) не соответствовали современным принципам регулирования электронных подписей, которые действуют в европейских государствах.

Выделяются три вида электронной подписи - простая электронная подпись, неквалифицированная электронная подпись и квалифицированная электронная подпись.

Квалифицированной электронной подписью является электронная подпись, которая:

получена в результате криптографического преобразования информации с использованием ключа подписи;
позволяет определить лицо, подписавшее документ;
позволяет обнаружить факт внесения изменений в документ после его подписания;
создается с использованием средств электронной подписи.

Кроме того, ключ проверки такой подписи указан в квалифицированном сертификате, а для создания и проверки электронной подписи используются средства, получившие подтверждение соответствия требованиям, установленным в соответствии с федеральным законом.

Перед началом использования ЭЦП центр должен был передать в бумажном и электронном виде копии сертификата уполномоченному органу. Сами удостоверяющие центры подлежали обязательному лицензированию и должны были быть выстроены в единую иерархическую структуру. Хотя закон вступил в силу в начале 2002 г., уполномоченный госорган (тогда это было Федеральное агентство по информационным технологиям) появился лишь в 2004 г., а корневой удостоверяющий центр, без которого невозможна работы всех остальных - в 2005. Лицензирование удостоверяющих центров вообще не заработало из-за противоречий с принятым позже законом «О лциензировании отдельных видов деятельности».

В результате, как отмечается в пояснительной записке к закону «Об ЭП», в России ЭЦП пользуются практические только юридические лица, а число выданных сертификатов составляет не более 0,2% от общего числа населения. В принятом сейчас законе от удостоверяющих центрах не требуется лицензирования - они могут пройти аккредитацию и то лишь на добровольной основе. Аккредитацией будет заниматься назначенный правительством уполномоченный орган, он же организует работу корневого центра.

Для аккредитации российское или иностранное юрлицо обязано обладать чистыми активами на сумму не менее 1 млн руб. и финансовыми гарантиями для выплат компенсаций пострадавшим клиентам в размере 1,5 млн руб., иметь не менее двух ИТ-специалистов с высшим профессиональным образованием и пройти процедуру подтверждения в ФСБ. Центры обязаны обеспечить свободный доступ любому лицу к реестрам действующих и аннулированных сертификатов, обязательная передача реестра сертификатов в корневой центр будет происходить только в случае прекращения аккредитации центра. Удостоверяющий центр также может организовать вокруг себя систему центров, по отношению к которым он будет корневым.

План подготовки правовых актов в целях реализации федеральных законов «Об электронной подписи» и «О внесении изменений в отдельные законодательные акты Российской Федерации в связи с принятием Федерального закона «Об электронной подписи» утвержден распоряжением Правительства Российской Федерации от 12 июля 2011 г. №1214-р. План устанавливает сроки разработки правовых актов Правительства РФ и правовых актов федеральных органов исполнительной власти, связанных с использованием электронной подписи. Минкомсвязи России является одним из ответственных исполнителей разработки правовых актов, большинство из которых будет разрабатываться совместно с ФСБ России, Минэкономразвития России, а также заинтересованными федеральными органами исполнительной власти.

Согласно плану, до 30 июля 2011 г. будет назначен федеральный орган исполнительной власти, уполномоченный в сфере использования электронной подписи, до 31 августа – утверждены требования к форме квалифицированного сертификата ключа проверки электронной подписи, требования к средствам электронной подписи, требования к средствам удостоверяющего центра и порядок аккредитации удостоверяющих центров. До 31 октября должны быть приняты постановления Правительства о видах электронной подписи, которые госорганы используют при организации электронного взаимодействия между собой, о видах электронной подписи, которые используются при обращении за госуслугами, и о порядке использования простой электронной подписи при оказании государственных и муниципальных услуг. До 30 ноября должен быть утвержден порядок использования электронной подписи при обращении за получением государственных и муниципальных услуг. Последний планируемый документ будет подписан в марте 2012 г.

В законе 2011 г. появилась возможность подписывать электронной подписью документы, обращение которых не регламентировано законами прямого действия, отмечает замруководителя Росреестра Сергей Сапельников . Под регламентацию подпадают немногие документы: выписки из кадастра недвижимости и Единого госреестра прав, счета-фактуры и др. Новый же закон в теории позволит заверять у нотариусов в электронном виде и выписки из свидетельства о браке, доверенности и т. п. Правда, пока не ясно, подписи какого из трех форматов будут принимать госструктуры и какие конкретно документы можно ими подписывать. Закон не установил, какой тип подписи может использовать то или иное ведомство, в каком формате должен подписываться гендиректор компании, в каком - главный бухгалтер, а в каком - гражданин, говорит Сапельников. Для органов власти виды ЭП определит правительство, а для делового и бытового общения граждане и юридические лица вправе сами выбирать вид подписи, говорит сотрудник Минкомсвязи .

30 марта 2011 г. на заседании Совета Федерации было решено внести поправки в закон об электронной цифровой подписи (ЭЦП), не приостанавливая действия закона в действующей редакции. Сейчас в документе не прописано правило о том, что ЭЦП у конкретного лица должна быть одна, так же как и его графическая личная подпись. Из-за этого чиновники и бизнесмены вынуждены в разных информационных системах использовать разные подписи.

«У нас каждая информационная система требует, чтобы должностное лицо оформляло для каждой конкретной системы индивидуальную цифровую подпись. Мы считаем это категорически недопустимым: во-первых, это дополнительный бюрократический барьер, во-вторых, это большая потеря времени и денег», – отметил один из инициаторов поправок, член комитета Совета Федерации по экономической политике Юрий Росляк.

По его словам, сейчас у чиновника, работающего в системе казначейства, имеется семь разных ЭЦП. «Может дойти до абсурда, когда у человека может быть 10–12 ЭЦП для того, чтобы не ограничивать свою дееспособность», – добавил он. По его словам, унифицированная цифровая подпись должна оформляться в системе удостоверяющих центров. Действовать она должна во всех публичных информационных системах, которые существуют в России . Столь же очевидно, что данный тезис не имеет ничего общего с идентификацией в закрытых информационных системах.

«Сейчас ведется работа по согласованию конструкции: в какую именно главу включить эту поправку. Я думаю, что в течение месяца мы эту работу закончим и согласительные процедуры начнем как минимум в начале июня», – поясняет Ю. Росляк.

Госдума утвердила законопроект "Об электронной подписи"

В марте 2011 года Госдума РФ одобрила в последнем чтении проект Федерального закона «Об электронной подписи», который призван заменить существующий с 2002 года №1-ФЗ «Об электронной цифровой подписи». Закон призван «регулировать отношения по использованию электронных подписей при совершении гражданско-правовых сделок, оказании государственных и муниципальных услуг, исполнении государственных и муниципальных функций, а также при совершении иных юридически значимых действий».

В соответствии со ст. 5 законопроекта определено три новых вида электронной подписи: простая, неквалифицированная и квалифицированная (наиболее защищенная). Использующиеся на данный момент сертификаты ключей ЭЦП приравниваются к квалифицированным сертификатам электронной подписи.

Законом регулируется выдача и использование сертификатов ключа подписи, проверка подлинности подписей, аккредитация и оказание услуг удостоверяющих центров, которые будут осуществлять выдачу сертификатов ключей электронной подписи. До 1 июля 2012 года такие центры продолжат работать в прежнем режиме, однако должны будут пройти обязательную аккредитацию в уполномоченном органе. Начиная с лета 2012 года право выдачи квалифицированных подписей предоставляется исключительно аккредитованным удостоверяющим центрам.

Ситуация с ЭЦП в Российской Федерации обстоит таким образом, что любому пользователю для работы с информационными системами, требующими применения электронно-цифровой подписи, приходится практически для каждой из них заводить отдельную ЭЦП. Для разрешения данной ситуации Совет Федерации РФ готовит поправку к закону «Об электронной цифровой подписи», которая призвана облегчить жизнь пользователям ЭЦП. В результате она должна стать единой для всех информационных систем и не ограничивать дееспособность их держателей.

Распоряжение В.Путина о переходе госорганов к 2012 году на безбумажный документооборот

В феврале 2011 года премьер-министр России Владимир Путин подписал распоряжение № 176-р «Об утверждении плана мероприятий по переходу федеральных органов исполнительной власти на безбумажный документооборот при организации внутренней деятельности». Данный документ утвердил план мероприятий по переходу федеральных органов власти на безбумажный документооборот и установил, что реализация мероприятий по переходу на безбумажный документооборот осуществляется «за счет средств, предусмотренных в федеральном бюджете».

К июню 2011 года планируется обеспечить «должностных лиц федеральных органов исполнительной власти средствами электронной цифровой подписи в целях использования в электронном документообороте», создать или модернизировать СЭД министерств и ведомств. С 1 января 2012 г., согласно плану, безбумажный документооборот должен заработать во всех федеральных органах власти.

2010: Доклад Минэка Президенту РФ о необходимости ЭЦП для электронных госуслуг

Электронная цифровая подпись наиболее активно используется в сфере финансов – этому способствует и рост проникновения систем интернет-банкинга, и инициативность Федеральной налоговой службы, подразделения которой принимают отчетность в электронном виде. Кроме того, Президент РФ Дмитрий Медведев недавно подписал Федеральный закон от 27.07.2010 № 229-ФЗ, который предусматривает внесение изменений в первую и вторую часть Налогового кодекса РФ. Среди них – возможность выставления счетов-фактур в электронном виде по взаимному согласию сторон сделки и при наличии у сторон совместимых технических средств и возможностей для приема и обработки счетов-фактур. Одним из обязательных условий такого процесса является подписание счетов-фактур с помощью ЭЦП.

По мнению экспертов рынка, создание любой финансовой документации и ведение отчетности – это один из самых простых примеров отрасли, где использование ЭЦП может принести прибыль. Сейчас организациям для хранения финансовой отчетности зачастую приходится арендовать склады – срок хранения документов может составлять 5 лет и даже более. На это тратятся достаточно существенные средства. Кроме того, у каждого обычного частного лица дома тоже есть своеобразный склад, в котором хранятся документы. Если все эти документы перенести в электронную форму, это существенно облегчит жизнь человека или компании и обеспечит большую сохранность документов – ведь бумажные документы не скопировать так просто, как электронные.

В США UETA и национальный закон об ЭП придают электронным документам тот же вес, что имеют традиционные бумажные обязательства, подписанные от руки.

Эти законодательные акты определяют ЭП как «электронный звук, символ или процесс, прилагаемый или логически связанный с контрактом или другой записью, присоединяемый к ней лицом с намерением подписать данную запись». Таким образом, любая деловая транзакция может быть выполнена электронным способом.

«В США люди используют электронные подписи во всех аспектах, касающихся их повседневной жизни. Вы можете оформить в электронном виде ипотеку или страховку в составе автокредита», - говорит Стивен Бисби (Stephen Bisbee), президент балтиморской компании eOriginal, которая владеет патентом на процесс создания, подписи и передачи документов электронным способом.

Наиболее прогрессивные предприятия больше не задаются вопросом, пользоваться ли электронной подписью - они сосредоточены на том, чтобы наилучшим образом встроить ее применение в собственные бизнес-процессы .

Следующим шагом станет управление любым «цифровым» бизнесом в режиме online. «Это движение вперед - от простых подписей к сложным финансовым операциям в электронной форме», - считает Бисби и предсказывает, что перелом в этой области произойдет в течение ближайших четырех лет.

Всем доброго времени суток! Открытие нового направления в бизнесе - это всегда интересно, но нельзя забывать о законе. Юристу необходимо быть предельно внимательным, а предпринимателю скорее всего не обойтись без юриста.

Введение

Вообще я юрист. Живу в небольшом городке Ставропольского края на юге России. По роду деятельности постоянно сталкиваюсь с информационными технологиями. Неожиданно для себя увлеклась web-программированием, пока делала сайт для своей фирмы. Тогда зачем то выбрала Битрикс, о чем ни раз пожалела, но как говорится - это совсем другая история.

Расширение бизнеса

Сначала хотели открывать удостоверяющий центр, но после долгих подсчетов стало понятно, что финансово не окупится. Решено было стать партнером удостоверяющего центра, ведь продавать электронную подпись очень хотелось. «Спрос рождает предложение» - у нас постоянно спрашивают не занимаемся ли мы электронными ключами. Видимо такие выводы делает клиент, который приходит к нам допустим, зарегистрировать свой бизнес. Ведь, что ему нужно, что бы бизнес начал свое существование? Допустим:

Документация для регистрации в налоговой;
Документация для открытия расчетного счета (обязательно, если это ООО);
Круглая печать;
Электронная подпись для сдачи отчетности;

Это самый минимальный список, для нормальной работы нужно гораздо больше. Конечно можно сдавать отчеты почтой (только не НДС), некоторым ИП можно работать без печати, даже счета не открывая, но мы все же о бизнесе, а не о выживании).
Три первые пункта мы предоставляем клиентам, осталось как то организовать работу с ЭП.

«Начать может и один человек, без лицензии»

Таким был ответ одного из удостоверяющих центров. Сразу как то не очень поверилось, пришлось проверять.
Партнерский договор был напичкан всякими терминами и сокращениями, читался сложно, но из смысла было понятно, что нами будут обрабатываться персональные данные. Соответственно нужно подать уведомление в Роскомнадзор. Перед тем как это делать - нужно все привести в соответствии с законом о защите персональных данных. А это финансовые затраты. Допустим:

Покупка межсетевого экрана и его настройка;
Покупка антивируса;
Покупка охранного оборудования;
Ежемесячные затраты на охрану;

Отлично, все сделано. Идем дальше - лицензия. Региональный менеджер удостоверяющего центра настаивал, что мы можем работать и без нее, но как говориться чувствовался подвох. «Она потом понадобиться» - звучала как то странно с юридической точки зрения. Бизнес должен быть законным с самого начала, иначе его существование будет не долгим, это я поняла из практики.

Из обзора судебной практики стало понятно, что никакого единого мнения нет. От штрафа в 2 000.00 рублей до тюремного заключения. Предусмотрена как административная, так и гражданская с уголовной ответственность.

Осуществление предпринимательской деятельности без специального разрешения (лицензии), если такое разрешение (такая лицензия) обязательно (обязательна), - влечет наложение административного штрафа:
на граждан в размере от двух тысяч до двух тысяч пятисот рублей с конфискацией изготовленной продукции, орудий производства и сырья или без таковой;

на должностных лиц - от четырех тысяч до пяти тысяч рублей с конфискацией изготовленной продукции, орудий производства и сырья или без таковой;

на юридических лиц - от четырехсот до пятисот минимальных размеров оплаты труда с конфискацией изготовленной продукции, орудий производства и сырья или без таковой.

Уголовная ответственность возникает в случае особо крупных размеров или причинения вреда. С точки зрения гражданского кодекса - все сделки не действительны, а значит и ключи эп, а это грозит судами и компенсациями.

Мы будем просто передавать документы

Региональный менеджер продолжал настаивать что наши действия законны, и мы можем начать работу без лицензии. Для себя то мы уже однозначно решили что делать, но настойчивый молодой человек все же до меня дозвонился и счастливым и жизнерадостным голосом стал уговаривать начать работу с клиентами до получения лицензии.

«Ну чего вы боитесь, вы же не будете выпускать электронную подпись, вы просто передаете документы и консультируете клиентов по вопросам нашего программного обеспечения!»- звучит неплохо, жаль только все равно попадает под лицензирование.

Постановление Правительства РФ от 16.04.2012 N 313 (ред. от 18.05.2017)
21. Передача шифровальных (криптографических) средств, за исключением шифровальных (криптографических) средств защиты фискальных данных, разработанных для применения в составе контрольно-кассовой техники, сертифицированных Федеральной службой безопасности Российской Федерации.
(п. 21 в ред. Постановления Правительства РФ от 18.05.2017 N 596)
(см. текст в предыдущей редакции)
22. Передача защищенных с использованием шифровальных (криптографических) средств информационных систем.
23. Передача защищенных с использованием шифровальных (криптографических) средств телекоммуникационных систем.
24. Передача средств изготовления ключевых документов.

С Вами говорит ФСБ

Звонок в Федеральную службу безопасности снял все сомнения и расставил все на свои места. В отделе лицензирования трубку взяла доброжелательная женщина, ответившая на мои вопросы:

Да, лицензия нужна;
Для ее получения нам необходимо обучить всего одного человека;
Необходимые виды деятельности для работы с УЦ "*******" в качестве партнера - 21, 22, 23, 24;

Этот вопрос кстати, уже не раз поднимался на обучении по информационной безопасности. Например озвучивалось, что фирма оказывает платные услуги по сопровождению регистрации на портале, а ЭП выдается клиенту в подарок. Наивно полагать, что работники контролируемых органов примут такие объяснения. Просто составят протокол о правонарушении, а вы потом бегайте по судам. Еще и компьютеры изымут и доказывайте потом что хотите.

Предпринимателям

Будьте бдительны. Особенно когда дело касается информационных технологий - все что с ними связано, сейчас основной вектор развития нашей страны. Эта сфера активно развивается, «дырок в законодательстве» много, можно легко попасть под штрафы и суды. Суды дело муторное, дорогое и рискованное - в эту систему лучше не попадать, плюс практики еще очень мало и надеяться на то, что судья станет разбираться во всех тонкостях и отменит протокол правонарушения ФСБ не стоит.

Ваш бизнес должен быть законным с самого начала, иначе это перечеркнет возможность заниматься им в будущем серьезно.

Не доверяйте слепо партнерам, у них уже устойчивый бизнес, от ваших проблем им не жарко не холодно.

Когда работал системным администратором, возникла у меня необходимость реализовать VPN на несколько десятков филиалов компании, интранет и почту на серверах в Москве с суровой защитой и доступом через VPN вообще отовсюду. При этом придумать всю систему и организовать её развёртывание предстояло в одно лицо. Бюджет был в тысячи полторы долларов, было это 4 года назад, некоторое время честно пытался найти более-менее приемлемое по цене ПО, потом нечестно пытался найти что-то на торрентах – пусто. В итоге – OpenSSL и OpenVPN. В этом вводном тексте хотелось бы поговорить об OpenSSL.

В конечном итоге были развёрнуты:

центр выдачи сертификатов (CA – Certificate Authority, он-же УЦ – Удостоверяющий Центр, в отечественной терминологии организация, уполномоченная выпускать сертификаты),
интранет-сайт с авторизацией доступа по клиентским сертификатам,
VPN с взаимной аутентификацией серверов, клиентов и динамической маршрутизацией,
Авторизация клиентов на корпоративном IM сервере с помощью тех-же сертификатов.

Судя по всему, к настоящему моменту система умерла… не знаю, как долго она продержалась после моего увольнения, скорее всего до момента истечения корневого сертификата (т.е. 2 года от момента запуска).

Описанное далее будет интересно скорее корпоративным технарям, нежели обычным пользователям. При условии, если: организация не государственная, есть цель сэкономить, есть желание попробовать некоторые «штуки» не вбухивая в R&D сумму с шестью нолями.

Предполагается, что читающие знакомы с понятиями VPN (в данном случае Virtual Private Network) и SSL (Secure Sockets Layer) и тем, что из себя представляют электронные сертификаты в формате x.509 .

СА

В полученной системе сертификаты можно было обновлять, отзывать, использовать для аутентификации, шифрования кода, файлов, почты, а в случае компрометации отозвать ветку, не убивая весь CA. Для этого пришлось очень внимательно отнестись к файлам настройки OpenSSL, построить процедуру генерации списка отозванных сертификатов (CRL – Certificate Revocation List) и корректную иерархию в CA. Только тогда выбранная реализация позволяла использовать сертификаты, в т.ч. и в автоматических процессах, где некому было нажимать кнопку «Да, я всё равно доверяю этому сертификату, хотя он и просрочен и выпущен неправильно и вообще не для этого предназначен ».

Важно помнить (как оказалось ), что выпуск и использование сертификатов электронной цифровой подписи это не только технический, но и организационный процесс, без которого преимущества использования подобного рода защиты сходят на нет. Диск с УЦ, к примеру, после выпуска всех сертификатов, лучше вынуть или отключить (если он USB ) и убрать в сейф. И журнал завести.

Сайт

Для интранет-сайта (первый эшелон – Apache, что там за ним было – не суть важно ) была реализована многофакторная аутентификация. Обычно первым и единственным фактором при аутентификации выступает знание логина и пароля или логина и пин-кода; представляется серверу только клиент, а серверу не нужно доказывать что он - это он, отсюда возможность воровства логина/пароля и/или подмены сервера. В моём случае это было неприемлемо, поэтому к знанию логина/пароля добавилась необходимость иметь сертификат. Выгружались сертификаты из CA в формате PKCS12 (PFX) с паролем.

В конфиг сервера было добавлено что-то вроде:

SSLVerifyClient require
SSLVerifyDepth 2
SSLRequire %{SSL_CLIENT_I_DN_CN} in {"My LTD OpenSSL CA"}

Т.е. разрешить всем, чей сертификат выдан My LTD OpenSSL CA (в реальности, конечно, название другое )

Также можно ограничить доступ по именам:

SSLOptions +FakeBasicAuth +StdEnvVars
SSLVerifyClient require
SSLVerifyDepth 2
SSLRequire %{SSL_CLIENT_S_DN_CN} in {"Ivan A Ivanov", \
"Petr B Petrov"}

В логи сервера пишется с помощью вот такой вот конструкции:

CustomLog ../logs/ssl/ssl_request.log \
"\"%t\",\"%h\",\"%{SSL_CLIENT_S_DN_CN}x\",\"%r\",\"%s\"" env=!dontlogit

Распространение сертификатов

Полученный сертификат вместе с ключами устанавливали на компьютере пользователя (в реестр, зашифрованным на пин-коде ), очень частый случай, при этом пользоваться сертификатом можно только на этом компьютере и в случае переустановки операционной системы сертификат, чаще всего, необходимо получать заново, если конечно закрытый ключ генерировался на компьютере, а не выдан вам на дискете при посещении УЦ, что можно считать профанацией с особым цинизмом, ведь по факту владельцами вашего якобы закрытого ключа становится (с возможностью проставлять за вас «электронную подпись» ) также и УЦ, а при определённом уровне разгильдяйства - все сменяющие друг друга админы в УЦ. Зато у УЦ появляется возможность предоставлять сервис по «восстановлению» сертификата.

Т.к. я был сам себе УЦ, то был избавлен и от такого «сервиса» и от копирования сертификатов «на память» техническими специалистами (и не очень).

Разъездным сотрудникам сертификаты выдавались на аппаратном носителе – USB-ключе Aladdin. Банки и УЦ предлагали (и предлагают) юридическим лицам для этой цели использовать дискеты или современный вариант - флешки. Это более удобно, но приводит к другой опасности - возможности сделать дубликат. В идеальном случае ключи и сертификаты должны храниться на смарт-карте, которая дополнительно защищена pin-кодом, имеет собственный крипто-процессор на борту, генератор случайных чисел, который, как считается, сильно понижает шансы потенциальных взломщиков, буде те решаться подобрать ваш ключ. Кроме того, смарт-карты практически не поддаются копированию.
USB-ключи Aladdin eToken как раз и являются такими картами, только в виде USB-брелка.
В случае аутентификации шифруется лишь небольшой объём данных, необходимый для процедуры, но при желании можно шифровать и весь трафик между клиентом и сервером. В случае, если сертификат нужно использовать для шифрования на сервере с большим количеством клиентов, в сервер нужно ставить уже что-то посерьёзнее например, крипто-плату, бесплатный IBM HTTP Server (тот-же Apache, фактически ), даже какое-то их количество поддерживает.
Никто конечно не мешает использовать смарт-карты, которые выглядят как обычные пластиковые карты, но тогда на каждом рабочем месте, на котором такую карту нужно будет использовать, должен стоять картридер.

После того, как мы получили у УЦ сертификат, поместили его на «токен», и закрыли токен пин-кодом, мы получаем возможность выполнить двухфакторную двустороннюю аутентификацию. Фактор первый - мы имеем токен, фактор второй - знаем от него пин-код. А имея сертификат можем выполнить проверку, что сервер действительно тот, за кого себя выдаёт, в этом случае bobik.ru и bоbik.ru уже спутать не получится, потому, что русская «о» во втором варианте даст несовпадение имени (для компьютера это всё-таки разные буквы ).

Списки отозванных сертификатов

Благодаря тому, что в настройках сервера был прописан (и регулярно обновлялся) список отозванных сертификатов (CRL), всегда можно было оперативно приостановить доступ к сайту любого пользователя, в т.ч. в случае потери (или подозрения на потерю) USB-ключа, либо при увольнения сотрудника.

Многие отечественные CA местоположение CRL указывают, а выкладывать или обновлять сам список «забывают», и когда, скажем, тот-же Outlook не может проверить сертификат по списку отозванных и вывешивает предупреждение, консультант в CA по телефону может предложить вам это предупреждение проигнорировать. В случае, если клиентом является другой сервер, при невозможности проверки сертификата, он просто будет разрывать подключение.

В случае необходимости сертификат перевыпускался с тем же закрытым ключом, что позволяло не терять доступ к зашифрованным ранее данным.

Доводка OpenSSL

В общем всем понятно, что сертификат – штука хорошая, осталось правильно его выпустить. После довольно продолжительной обкатки и изучения «документации» в несколько сотен страниц (на самом деле это был учебник по PKI и криптографии от «Интуита» ) выяснилось, что имеющиеся в инете на тот момент примеры конфигурации OpenSSL пригодны только для целей «на поиграться», я некоторое время сталкивался с тем, что выпущенные мной сертификаты то не работали в Outlook, то в Thunderbird, то в Firefox. Самым всеядным оказался IE.

Чтобы всё было чуть серьёзнее нужна небольшая рихтовка:

если вы хотите, чтобы ваша система прожила больше года, перед выпуском корневого сертификата CA увеличьте количество дней до 3650, потом верните обратно, для пользовательских сертификатов лучше оставить год или полгода
в секции [ CA_default ]
выставить параметр unique_subject в «yes» - это не позволит вам выпустить 2 идентичных сертификата
в секции [ user_cert ]
добавить
ExtendedKeyUsage = clientAuth
секция для серверов может выглядеть так
[ server_cert ]
basicConstraints = CA:FALSE
nsCertType = server
keyUsage = digitalSignature, keyEncipherment
extendedKeyUsage = nsSGC, serverAuth
в секции [ v3_ca]
изменить
basicConstraints = CA:TRUE, pathlen:5
раскомментировать nsCertType и keyUsage
добавить
extendedKeyUsage = serverAuth, clientAuth

Как водится – готовый конфиг .

Автоматизация выпуска сертификатов

Следующим шагом наколенной автоматизации может являться написание интерфейса для просмотра списка сертификатов. Список имеет имя index.txt, понятный формат и я написал под него интерфейс на HTA. Для упрощения отладки HTA вызывал батники для отдельных процедур. Необходимый набор следующий:

отдельно вынесен файл настройки переменных окружения
выпуск произвольного сертификата – минимум настроек, задаёт кучу вопросов, позволяет выпустить сертификат, скажем, для партнёров, потом подписать в нашем CA
выпуск корневого сертификата CA – вызывается один раз или несколько раз, если строится дерево, ручками
выпуск сертификата сервера – понятная штука, openssl вызывается с параметром -extensions server_cert, а в конфиге в секции должны быть нужные параметры, ещё одно отличие – не упаковывается в PFX и создаёт распакованные версии ключей, может понадобится некоторым серверам
выпуск сертификата пользователя
отзыв сертификата – интересный процесс: из архива (надо делать самому) выданных сертификатов извлекался нужный (по имени, но можно и по серийному номеру), потом по нему уже выполнялся отзыв
обновление сертификата пользователя – сначала выполнялся отзыв старого сертификата (батником №6), потом создание нового сертификата (батником №5) для старого ключа
обновление списка отозванных сертификатов – простая команда, но в моём случае сопровождалась запуском скрипта на Perl, который препарировал полученный список и помещал его в директорию (адресную книгу, как её ещё иногда называют ) Lotus Domino, оттуда его было проще доставать (через LDAP, что является практически стандартным способом дистрибуции CRL)

Вот и весь инструментарий, пожалуй. Приятного внедрения.

Любая крупная компания имеет достаточно большой оборот документов. Сейчас прошли времена, когда все бумаги складировались на года в складах. В настоящее время вся документация отформатирована и хранится в основном в электронной версии. Это значительно экономит пространство в крупных предприятиях, но дарит свои риски. К примеру, вероятность подделки. Поэтому, большинство предприятий, чтобы защитить свои данные используют электронную подпись. Она приобретается в удостоверяющих центрах (центр сертификации).

Такие аппараты организовывают предприниматели. Но, на пути данного бизнеса можно встретить множество преград: вложение больших денег в приобретение оборудования, получение лицензии на такую деятельность, прохождение аккредитации и другое. Тем не менее, можно с уверенностью сказать, что открытие удостоверяющего центра и отдела сертификации вполне прибыльное дело.

В своей работе можно выбрать два направления для действий:

Первый вариант - это открытие центра для работы партнеров по бизнесу. Тогда можно будет объединиться для безопасной работы.

Второй случай подразумевает работу для сторонних предприятий, которым необходима электронная подпись.

Открытие офиса.

К выбору рабочего помещения предъявляют очень высокие требования. В первую очередь поднимается вопрос защиты данных и работников. Месторасположение помещения не играет большой роли. Конечно, более выгодно расположиться в центре города. Ведь, клиенты, желающие получить электронную подпись будут обращаться лично. И если центр сертификации будет находиться на краю города, то клиент может просто полениться ехать так далеко и попробует обратиться к посредникам.

Обращение через посредников или посредством современных коммуникаций невозможно согласно законодательной базе. Размер помещения должен соответствовать количеству работников. В среднем площадь должна быть около 100 метров квадратных. Отдельно стоит предусмотреть расположение технического помещения для размещения оборудования.

Арендная плата за выбранную площадь будет начинаться от 1,7 тыс. $ в месяц. Чаще всего требуется авансовый платеж за аренду.

Персонал.

В качестве руководящего звена необходимо нанять на работу человека с высшим профессиональным образованием по профилю «Информационная безопасность». Также важно, чтобы руководитель прошел переподготовку по одной из специальностей данного профиля. В зависимости от перечня предлагаемых услуг стаж работы такого специалиста будет составлять не менее 3-5 лет.

Без руководящего лица со специальной подготовкой и образованием предприниматель не сможет получить лицензию от ФСБ. Также в штате обязательно должен быть юрист. Еще необходимо пригласить на работу двух специалистов с образованием в области «Информационной безопасности». Они будут нести исполнительную роль, а именно заниматься разработкой криптографии, программного обеспечения, вести регулярную работу в отрасли информационной безопасности. Также необходим администратор и оператор, которые будут вести переговоры с клиентами, заниматься выдачей электронной подписи.

Для маленького города могут возникнуть некоторые сложности с подбором персонала. Ведь, опытных специалистов в данной отрасли не так много. Если организовать бизнес в мегаполисе, то подбирать людей будет гораздо легче. Вот только специалисты высокого уровня четко знают себе цену. В некоторых случаях будет выгодно нанять специалистов с небольшим опытом и вложить средства в их обучение, чем платить высокую цену за полученные навыки.

Зарплата штата работников, состоящая из 6 человек будет составлять не менее 4,5 тыс. $.

Инвестиции в технику и программное обеспечение.

Для работы в отрасли создания удостоверяющего центра и центра сертификации необходимо вложить средства в такие ресурсы:

1. Вычислительные устройства - от 12 тыс. $;
2. Программа с базой данных - от 5 тыс. $;
3. Компьютеры - от 3,5 тыс. $;
4. Сервер - от 2 тыс. $;
5. Программа безопасности - от 500 $;
6. МФУ - от 1,5 тыс. $.

Минимальное количество денежных средств на создание технической базы будет составлять около 25 тыс. $.

Выбирая вычислительные устройства важно опираться на их мощность. Но, чем более производительными будут вычислительные аппараты, тем дороже их цена. Работая с большим количеством клиентов экономить в данном направлении не получится.

Реклама необходима для поиска клиентов и продвижения собственных услуг. В большинстве случаев потребители будут обращаться по собственной инициативе. Задача бизнесмена - дать о своей деятельности полную информацию и контакты компании. Подойдут средства массовой информации. Даже на первых парах работы без созданного и продвинутого в сети сайта обойтись не получится. Также подойдут известные порталы в интернете. В некоторых случаях, а также на заре развития бизнеса стоит заняться поиском клиентов самостоятельно, путем личного обращения.

Основные траты.

Бизнес по созданию удостоверяющего центра и центра сертификации будет состоять из таких вложений:

1. Аренда помещения - от 1,7 тыс. $;
2. Техника и программы - от 25 тыс. $;
3. Персонал - от 4,5 тыс. $;
4. Реклама - от 1 тыс. $;
5. Вложения в разрешительную документацию - от 4 тыс. $.

Стартовым капиталом для начала деятельности в данной отрасли будет сумма в 36 тыс. $.

Прибыль и период для окупаемости.

Выдача электронной подписи - не слишком дорогостоящая услуга. Компания сама устанавливает цену на свои работы, опираясь на конкурентную среду. В среднем, для частного лица электронная подпись будет стоить около 150 $. Организации смогут воспользоваться подобной услугой за сумму, начинающую от 500 $. Для держания на плаву необходимо в месяц выдавать не менее 110 подписей.

Штат сотрудников в количестве 6 человек сможет поднять ежемесячную прибыль в 3,5 тыс. $. В данном случае окупаемость произойдет за 9-12 месяцев.

Клиенты и варианты для развития.

Клиентами в данной отрасли могут выступать любые организации, вне зависимости от объема, желающие защитить свои электронные данные. Также, потребителями становятся люди частного порядке, использующие электронную подпись для личных целей. В качестве дополнительного заработка, можно предлагать клиента такие услуги: мониторинг, обработка и анализ информации, подготовка документов, обновление подписей, услуга перерегистрации и так далее.

Читайте так же: