ЭЛЕКТРОННАЯ ПОДПИСЬ. ПРОСТО О СЛОЖНОМ

Безопасность электронной под­писи зависит от:

- свойств закрытого ключа;

- функциональных возможностей ключевого но­сителя;

- ответственного хранения.

Рекомендуется использовать защищенные но­сители ключевой информации (далее — ключе­вые носители), которые, в свою очередь, делятся на пассивные (с защитой данных только по PIN-ко­ду) и активные (со встроенными на аппаратном уровне функциями средства криптографической защиты информации, далее — СКЗИ4).

Соблюдение настоящих методологических реко­мендаций по использованию ключевых носителей поможет защитить участников электронного доку­ментооборота от рисков:

- получения несанкционированного доступа тре­тьих лиц к закрытому ключу для создания его копии;

- подписания электронных документов третьи­ми лицами от имени владельца электронной подписи;

- хищения ключевого носителя или его уничто­жение.

СВОЙСТВА ЗАКРЫТОГО КЛЮЧА

Экспортируемые и неэкспортируемые закрытые ключи

Свойство экспортируемости или неэкспортируемости закрытого ключа присваивается на эта­пе формирования закрытого ключа и записи его на ключевой носитель. Указанное свойство может быть реализовано в средствах электронной подпи­си и управляться его настройками, которые следу­ет установить до формирования закрытого ключа.

Для экспортируемых закрытых ключей доступно их копирование, что несет риски нарушения конфи­денциальности закрытого ключа.

Для копирования закрытого ключа нарушителю потребуется получить физический доступ к ключе­вому носителю и узнать пароль (PIN-код).

Возможность копирования закрытого ключа соз­даёт риск возникновения неучтенных копий, услож­няет контроль за его хранением, использованием и уничтожением. Также указанное усложняет опре­деление возможного нарушителя, особенно когда нарушитель начнет использовать копию не сразу.

Неэкспортируемые закрытые ключи обладают большей защищенностью, так как записанный на ключевой носитель закрытый ключ не подле­жит копированию при помощи стандартных СКЗИ. Получение доступа к такому ключу требует приме­нения специальных средств и техники.

Извлекаемые и неизвлекаемые закрытые ключи

Свойство неизвлекаемости закрытого ключа достигается способом его создания и хранения, и напрямую зависит от вида ключевого носите­ля. Для обеспечения свойства неизвлекаемости закрытого ключа используются только активные ключевые носители, содержащие в себе аппаратно реализованные функции СКЗИ, при использовании которых создается и используется неизвлекаемый закрытый ключ.

Для некоторых ключевых носителей существует возможность записи закрытого ключа на активные ключевые носители сторонними СКЗИ (установ­ленными локально на компьютерное устройство или непосредственно в информационной системе удостоверяющего центра) и, в таком случае, такой носитель применяется как пассивный ключевой носитель, который может обеспечить только свой­ство неэкспортируемости закрытого ключа.

К извлекаемым закрытым ключам относятся все виды закрытых ключей, за исключением неизвлекаемых, включая экспортируемые и неэкспортиру­емые.

ВИДЫ КЛЮЧЕВЫХ НОСИТЕЛЕЙ

Пассивный ключевой носитель

Виды реализации: носитель с USB интерфейсом, носитель с бесконтактным интерфейсом (NFC ин­терфейс), смарт-карта.

Для доступа к защищенному содержимому данно­го ключевого носителя необходимо ввести пароль (PIN-код). Закрытый ключ хранится в ключевом контейнере на ключевом носителе. Пароль (PIN- код), которым защищён от доступа закрытый ключ на таком носителе, при получении следует изме­нить, обеспечить его надежное хранение и исклю­чить доступ к паролю любых лиц.

При подписании электронного документа с ис­пользованием пассивного носителя и средства электронной подписи вычисляется уникальный на­бор символов — хэш документа, однозначно свя­занных с содержанием электронного документа. Далее закрытый ключ копируется в память ком­пьютерного устройства, где с его помощью сред­ство электронной подписи выполняет криптогра­фические операции формирования электронной подписи — подписание электронного документа. По завершении процедуры подписания закрытый ключ удаляется из памяти компьютерного устрой­ства. Процедура подписания электронного доку­мента происходит незаметно для пользователя в течение нескольких секунд.

На ключевом носителе установлено ограничение попыток неправильного ввода пароля (PIN-кода) и при превышении такого лимита ключевой носи­тель блокируется. Несмотря на это пассивный клю­чевой носитель обладает средним уровнем защи­щенности от атак злоумышленников — в момент подписания документа образуется короткий про­межуток времени, когда закрытый ключ находится в памяти компьютерного устройства, где существу­ет возможность его перехвата злоумышленником с высоким уровнем технических знаний и/или с ис­пользованием специальных технических средств. Для исключения такого вида атак существует ак­тивный ключевой носитель.

Активный ключевой носитель (криптографический ключевой носитель)

Виды реализации: носитель с USB интерфейсом, носитель с бесконтактным интерфейсом (NFC ин­терфейс), смарт-карта.

Активный ключевой носитель содержит в себе функции СКЗИ. Закрытый ключ на таком ключе­вом носителе хранится в защищенном ключевом контейнере и в специальном внутреннем формате.

У такого носителя существует ряд технических преимуществ перед пассивным ключевым носите­лем:

- создание закрытого ключа происходит на са­мом носителе с использованием аппаратных криптографических функций ключевого носи­теля;

- при подписании электронного документа за­крытый ключ не копируется в память или ре­естр компьютерного устройства — подписание электронного документа происходит на самом ключевом носителе;

- закрытый ключ ни в какой момент времени не покидает ключевой носитель.

Вычисление значения хэш документа может про­исходить на компьютерном устройстве, а итоговое формирование электронной подписи только на са­мом активном ключевом носителе.

Компрометация закрытого ключа на таком носи­теле возможна только в случае его хищения вместе с паролем (PIN-кодом).

Активный ключевой носитель (криптографиче­ский ключевой носитель) обладает высоким уров­нем защищенности от атак злоумышленников. Риск атаки «подмена хэша» злоумышленником присутствует, но такие случаи крайне редки.

МЕРЫ ПРЕДОСТОРОЖНОСТИ ПРИ РАБОТЕ С КЛЮЧЕВЫМИ НОСИТЕЛЯМИ Технические меры предосторожности

При выборе вида ключевого носителя для хра­нения закрытого ключа электронной подписи следует учитывать, что электронная подпись считается равнозначной собственноручной под­писи в случаях, установленных Федеральным законом от 06.04.2011 № бЗ-ФЗ «Об электронной подписи». Рекомендуется использовать ключе­вые носители с наивысшей степенью защиты за­крытого ключа.

Рекомендуется сменить пароль доступа к ключе­вому носителю (PIN-код), установленный его из­готовителем, на уникальный — известный только владельцу электронной подписи. Рекомендуемая длина пароля — не менее 6 символов с использова­нием специальных символов, прописных и строч­ных латинских букв. Рекомендуется периодическая смена пароля.

Не рекомендуется при выборе пароля основы­ваться на типовых шаблонах и идущих подряд на клавиатуре или алфавите символов (qwerty, abcde, 12345 и другие) на каком-либо идентифика­торе, паспортных данных, кличек питомцев и по­добных ассоциаций.

Не рекомендуется активировать функцию «за­помнить пароль» в средствах электронной подпи­си и настройках программного обеспечения, ко­торое необходимо для использования ключевого носителя.

ОРГАНИЗАЦИОННЫЕ МЕРЫ ПРЕДОСТОРОЖНОСТИ

Не рекомендуется в рамках организации проце­дур безопасной работы с ключевым носителем:

- передавать ключевой носитель третьим лицам;

- записывать пароль доступа к ключевому носи­телю (PIN-код) на бумаге или непосредствен­но на ключевом носителе, запоминать паро­ли в реестровой памяти систем электронных устройств и хранить парольную информацию в общедоступных местах;

- оставлять ключевой носитель без присмотра в доступных или общественных местах;

- оставлять без присмотра ключевой носи­тель в компьютерном устройстве, на котором осуществляется подписание электронных документов (usb-порты в системном блоке компьютера, ноутбука, планшета или других электронных устройствах).

Рекомендуется в рамках организации процедур безопасной работы с ключевым носителем:

- при необходимости, обеспечивать сотрудников организации, не имеющих права действовать без доверенности, их персональными закры­тыми ключами и сертификатами электронной подписи, с наделением их правом подписи рас­порядительными документами организации путем оформления доверенности % хранить ключевой носитель в недоступном для третьих лиц месте;

- при потере или краже ключевого носителя не­замедлительно обратиться в удостоверяющий центр, выпустивший сертификат электронной подписи, и прекратить действие такого серти­фиката электронной подписи, и, не дожидаясь завершения процедуры аннулирования, уведо­мить контрагентов о том, что утраченный сер­тификат с соответствующим серийным номе­ром, считается уже недействительным.