7.2. Использование цифровой подписи

Напомним, что подпись на документе (как реквизит документа) выполняет, по крайней мере, следующие функции:

– удостоверяет личность подписавшего;

– гарантирует, что подписавший не сможет отказаться от подписанного;

– является подтверждением того, что отправитель заверил соответствующим образом именно тот документ, который отправил.

Эти функции подписи документа сохраняются как на материальном носителе, так и при передаче информации в электронной цифровой форме, причем защита информации (деятельность, направленная на предотвращение утечки защищаемой информации, а также несанкционированных и непреднамеренных воздействий на нее) при электронной форме стоит более остро, поскольку при обмене информацией в электронной форме возникает необходимость объективного усложнения защиты прав и интересов лиц.

ГК РФ (ст. 160) подчеркивает необходимость подписи (как таковой) и обуславливает возможность использования электронной подписи:

«Сделка в письменной форме должна быть совершена путем составления документа, выражающего ее содержание и подписанного лицом или лицами, совершающими сделку, или должным образом уполномоченными ими лицами.

Использование при совершении сделок факсимильного воспроизведения подписи с помощью средств механического или иного копирования, электронно-цифровой подписи либо иного аналога собственноручной подписи допускается в случаях и в порядке, предусмотренных законом, иными правовыми актами или соглашением сторон».

Рассмотрение вышеприведенных понятий в отношении ЭЦП позволяет понять процедуру использования электронной подписи (рисунок 7.2) [16].

Удостоверяющий центр обеспечивает пользователей данной информационной системы ключами (закрытыми и открытыми) электронных цифровых подписей.

На входе у отправителя имеется сообщение, которое при условии наличия сертификата закрытого (секретного) ключа поступает в обработку хэш-функцией –> происходит вычисление хэш-функции –> алгоритмом ЭЦП формируется собственно электронная подпись –> канал связи.

Получатель электронного сообщения с ЭЦП предъявляет открытый ключ проверки –> вычисляется хэш-функция –> принимается решение о том, что подпись верна или неверна –> при аудентичности подписи сообщение поступает получателю.

Хеш-функция – это определенный математический преобразователь, который позволяет сжать информацию, поскольку функция хэширования заключается в сопоставлении произвольного набора данных в виде двоичных символов и его образа фиксированной небольшой длины [50д].

Высокая надежность аудентичности (подлинности, достоверности) подписи основывается на том, что вероятность взлома хэш-функции по ГОСТ 34.11-94 составляет 1,73 * 10 ^{− 77} при подборе коллизии на фиксированное сообщение и 2,94 * 10 ^{− 39} при подборе любой коллизии [51д].

Рис. 7.2. Процедура использования электронной подписи.

Более подробно о процедурах получения и проверки ЭЦП можно найти, например, в [52д].

Создание ключей ЭЦП осуществляется для использования в:

– информационной системе общего пользования участником или по его обращению удостоверяющим центром;

– корпоративной информационной системе в порядке, установленном в этой системе.

При этом следует иметь в виду, что сертификат ключа подписи должен содержать следующие сведения:

– уникальный регистрационный номер сертификата, даты начала и окончания срока действия сертификата, находящегося в реестре удостоверяющего центра;

– фамилию, имя и отчество владельца сертификата или псевдоним владельца (в случае использования псевдонима удостоверяющим центром вносится запись об этом в сертификат ключа подписи);

– открытый ключ ЭЦП;

– наименование средств ЭЦП, с которыми используется данный открытый ключ;

– наименование и место нахождения удостоверяющего центра, выдавшего сертификат;

– сведения об отношениях, при осуществлении которых электронный документ с ЭЦП будет иметь юридическое значение.

Сертификат должен быть внесен удостоверяющим центром в реестр сертификатов ключей подписей не позднее даты начала действия этого сертификата.

Для проверки принадлежности ЭЦП соответствующему владельцу сертификат ключа подписи выдается пользователям с указанием даты и времени его выдачи, сведений о действии сертификата (действует, действие приостановлено, сроки приостановления его действия, аннулирован, дата и время аннулирования сертификата) и сведений о реестре сертификатов ключей подписей. В случае выдачи сертификата в форме документа на бумажном носителе этот сертификат оформляется на бланке удостоверяющего центра и заверяется собственноручной подписью уполномоченного лица и печатью удостоверяющего центра. В случае выдачи сертификата и указанных дополнительных данных в форме электронного документа этот сертификат должен быть подписан ЭЦП уполномоченного лица удостоверяющего центра.

По истечении срока хранения сертификат исключается из реестра сертификатов ключей подписей и переводится в режим архивного хранения, срок которого составляет не менее 5 лет.

Порядок выдачи копий сертификатов ключей подписей устанавливается в соответствии с законодательством Российской Федерации.

Сертификат ключа подписи в форме документа на бумажном носителе хранится в порядке, установленном законодательством России об архивах и архивном деле.

Удостоверяющим центром, выдающим сертификаты ключей подписей для использования в информационных системах общего пользования, должно быть юридическое лицо, выполняющее функции, предусмотренные Федеральным законом «Об электронной цифровой подписи». При этом удостоверяющий центр должен обладать необходимыми материальными и финансовыми возможностями, позволяющими ему нести гражданскую ответственность перед пользователями сертификатов ключей подписей за убытки, которые могут быть понесены ими вследствие недостоверности сведений, содержащихся в сертификатах.

Требования, предъявляемые к материальным и финансовым возможностям удостоверяющих центров, определяются Правительством России по представлению уполномоченного федерального органа исполнительной власти.

Статус удостоверяющего центра, обеспечивающего функционирование корпоративной информационной системы, определяется ее владельцем или соглашением участников этой системы.

Деятельность удостоверяющего центра подлежит лицензированию в соответствии с законодательством о лицензировании отдельных видов деятельности.

Удостоверяющий центр:

– изготавливает сертификаты ключей подписей;

– создает ключи ЭЦП при обращении участников информационной системы с гарантией сохранения в тайне закрытого ключа;

– приостанавливает и возобновляет действие сертификатов ключей подписей, а также аннулирует их;

– ведет реестр сертификатов ключей подписей, обеспечивает его актуальность и возможность свободного доступа к нему участников информационных систем;

– проверяет уникальность открытых ключей ЭЦП в реестре сертификатов ключей подписей и в архиве удостоверяющего центра;

– выдает сертификаты ключей подписей в форме документов на бумажных носителях и/или в форме электронных документов с информацией об их действии;

– осуществляет по обращениям пользователей сертификатов ключей подписей подтверждение подлинности ЭЦП в электронном документе в отношении выданных им сертификатов ключей подписей.

При изготовлении сертификатов ключей подписей удостоверяющим центром оформляются в форме документов на бумажных носителях два экземпляра сертификата, которые заверяются собственноручными подписями владельца сертификата и уполномоченного лица удостоверяющего центра, а также печатью удостоверяющего центра. Один экземпляр сертификата выдается владельцу сертификата, второй – остается в удостоверяющем центре.

Удостоверяющий центр при изготовлении сертификата ключа подписи принимает на себя следующие обязательства по отношению к владельцу сертификата ключа подписи:

– вносить сертификат в реестр сертификатов ключей подписей;

– обеспечивать выдачу сертификата обратившимся к нему участникам информационных систем;

– приостанавливать действие сертификата по обращению его владельца;

– уведомлять владельца сертификата о фактах, которые стали известны удостоверяющему центру и которые существенным образом могут сказаться на возможности дальнейшего использования данного сертификата;

– иные установленные нормативными правовыми актами или соглашением сторон обязательства.

Свойства ЭЦП позволяют использовать ее для следующих целей [4]:

– декларирование товаров и услуг (таможенные декларации),

– регистрация сделок по объектам недвижимости,

– использование в банковских системах,

– электронная торговля и госзаказы,

– контроль исполнения государственного бюджета,

– в системах обращения к органам власти,

– для обязательной отчетности перед государственными учреждениями,

– организация юридически значимого электронного документооборота,

– в расчетных и трейдинговых (трейдинг – это торговля ценными бумагами) системах.