10.3. Особенности применения цифровой подписи

Для реализации свойств целостности, безопасности и неотделимости с использованием ЭЦП нужно решить ряд вопросов:

определить приемлемую степень доверия между пользователями, а также между центром и пользователями;

соответственно выбранной степени доверия определить функции пользователей и центра в части генерации пар ключей и сертификатов открытых ключей.

Предполагаемые отношения доверия

специализированная организация федерального уровня;

администраторы системы безопасности на региональном уровне;

администраторы системы безопасности на областном уровне;

сами пользователи, каждый для себя.

Вариант 1) соответствует случаю доверия относительно генерации ключей только специализированной организации федерального уровня. Это означает, что специализированная организация имеет, в принципе, полный контроль над всеми подписываемыми сообщениями в системе и в том числе возможность любой фальсификации.

Проблема доставки ключей на места делает этот вариант нереальным.

Вариант 4) соответствует случаю полного доверия пользователю относительно генерации, а также безопасного хранения, использования и уничтожения им своего секретного ключа в экстренных ситуациях или по истечении времени жизни этого ключа. Такое доверие по отношению к пользователю должно быть не только со стороны администратора системы безопасности, но и со стороны корреспондентов данного пользователя. Если это не так, то они должны считаться с возможностью, что секретный ключ, вольно или невольно, может оказаться в руках нарушителя (противника), и этот факт некоторое время может оставаться неизвестным корреспондентам данного пользователя.

Варианты 2) и 3) по своим свойствам занимают промежуточное значение между рассмотренными вариантами 1) и 4).

Во всех вариантах администраторы системы безопасности и корреспонденты данного пользователя должны доверять ему относительно безопасного хранения, использования и уничтожения его секретного ключа, так как у пользователя всегда имеется возможность “навыдавать” от своего имени в систему ряд сообщений разрушительного характера для пользователей или для системы, а затем заявить (спровоцировать, инсценировать) о компрометации своего секретного ключа, создавая себе некоторого рода алиби.

Система электронных справочников и архивов

Чтобы корреспонденты данного пользователя могли проверять его ЭЦП, они должны иметь возможность получить его открытый ключ из электронного справочника, защищенного от модификаций. Относительно того, кто формирует этот справочник и где он находится, существует также несколько вариантов, из которых должен быть сделан выбор при реализации ЭЦП.

Электронный справочник формирует главный администратор системы безопасности на всю сеть связи.

Справочник хранится в центре распределения ключей.

Каждый пользователь получает экземпляр справочника.

Электронный справочник формирует региональный администратор системы безопасности для пользователей региональной сети связи.

Справочник хранится в региональном центре распределения ключей.

Каждый пользователь региональной сети получает экземпляр справочника.

Электронный справочник создается каждым пользователем и содержит открытые ключи только своих корреспондентов.

Для защиты от модификаций открытые ключи ЭЦП передаются по каналу связи и хранятся в справочниках в форме сертификатов, подписанных администратором соответствующего уровня на своем секретном ключе. Соответствующий открытый ключ администратора (также в форме сертификата, подписанного этим же администратором) должен быть вручен каждому пользователю при его регистрации в соответствующем центре. Архив также должен быть защищен от модификаций, в том числе от несанкционированного удаления или записи сообщений. Архив должен содержать полный текст сообщения, его ЭЦП и соответствующий открытый ключ для проверки этой ЭЦП.

Замечание 1.

Если в системе наряду с сообщениями с ЭЦП могут циркулировать сообщения без ЭЦП, то всегда можно превратить сообщение с ЭЦП в сообщение без ЭЦП путем удаления ЭЦП с последующей модификацией адресной части и ИНФ. В такой системе трудно предложить автоматическую защиту против такого рода модификаций. Возможна частичная защита на смысловом уровне организационными методами, если ввести правило, по которому сообщения, требующие исполнения, должны быть обязательно с ЭЦП.

Замечание 2.

Письменная подпись имеет много недостатков по сравнению с ЭЦП, но у нее есть и одно преимущество: неотделимость от подписанного документа, а это означает возможность защиты авторства отправителя. Правда, неотделимость обеспечивается физическими мерами: структурой носителя (бумаги), химическим составом красителя, геометрическим образом письменной подписи и т. п. Подделка может быть обнаружена с высокой вероятностью, но методом экспертного лабораторного анализа, что, вообще говоря, дорого и требует много времени в зависимости от качества подделки.

Замечание 3.

Любой достаточно длинный текст может быть модифицирован очень большим числом способов без изменения последовательности слов и знаков препинания. Например, при переносе букву или слог можно оставить в конце строки или перенести в начало следующей строки, между словами можно оставлять один пробел или два, тире и дефис можно изображать чертой двойной или одинарной длины и т. д.

Отправитель А подписывает одну из модификаций текста ИНФ, а отправляет в канал другую, построенную из первой по обратимому закону, известному только получателю В. Тогда проверить ЭЦП а может только В, несмотря на то что ИНФ передается в открытом виде и открытый ключ е а отправителя А общедоступен. Если закон выбора модификации ИНФ для передачи определяется открытым ключом е а , а ключ е а доступен только корреспондентам А, то проверить ЭЦП а смогут только корреспонденты А.

Структура сообщения в канале связи и протокол ЭЦП

Структура сообщения в канале связи требует особого внимания. Кроме адресной части, в структуру сообщения требуется ввести признаки времени, от которых также должно зависеть значение ЭЦП а.

В качестве признаков времени могут использоваться дата (D), время суток (Т) в момент отправления сообщения, номер (N) сообщения, одноразовое случайное число N b (нонс), выданное заранее в открытой форме пользователем В для пользователя А.

Для защиты только от повторов можно на приеме составлять список значений хэш-функции от принятых сообщений, а для каждого очередного принимаемого сообщения вычислять значение хэш-функции и проверять наличие его в списке. Соответствующие методы называются: метод отметок времени, метод нумерации сообщений, метод нонсов и метод списков.

Метод отметок времени

Дату D и время Т следует использовать вместе. Если использовать только время Т, то сообщение можно повторять каждые сутки в момент Т без обнаружения на приеме. Если используется только D, то все сообщения, передаваемые в течение суток, можно задержать до конца суток. Комбинация (D, T) различна для всех сообщений, если они следуют друг за другом с интервалом времени не менее заданного t, а значения Т фиксируются с погрешностью менее t/2

Поскольку значение D пользователю В известно, то его можно не передавать по каналу связи. Если часы пользователей А и В имеют рассогласование не более t/2, то значение Т также можно не передавать, поскольку пользователь В может считать его со своих часов. Тогда сообщение в канале связи будет иметь сокращенную структуру: однако ЭЦП а здесь также зависит от D и T. На приеме получатель В по сокращенной структуре восстанавливает полную структуру и по ней проверяет ЭЦП а .

Недостатком метода отметок времени является необходимость системы единого или локального времени с подсинхронизацией. Более того, протоколы приема и корректирования времени между системой времени и пользователями должны быть безопасными. Например, протокол “Керберос” аутентифицированного распределения ключей предполагалось использовать также для передачи точного времени, однако обнаружилось, что противник, вмешиваясь в протокол, имеет возможность “перевести” часы отправителя сообщения вперед на любую величину. Это означает, что на такую же величину передаваемые сообщения могут задерживаться и получатели этого не обнаружат.

Если “перевести” часы пользователя вперед или назад на величину более допустимой, то он не сможет ни принять, ни передать ни одного сообщения до тех пор, пока не догадается скорректировать свои часы.

Метод нумерации сообщений

Этот метод предполагает, что каждая пара пользователей в сети ведет счет сообщений, передаваемых и принимаемых между ними, то есть каждый пользователь имеет столько счетчиков сообщений, сколько у него корреспондентов.

Чтобы исключить возможность навязывания противником записанных ранее сообщений, к этому моменту секретный ключ d a и открытый ключ e a должны смениться по крайней мере один раз.

Наконец, метод нумерации сообщений не защищает от задержек сообщений на время до ближайшей смены значения счетчика, после чего задержанное сообщение становится непринимаемым.

Метод нонсов

Этот метод позволяет обходиться без системы времени или счетчиков сообщений. Платой за это является передача трех сообщений: запрос отправителем А нонса от В, ответ N b пользователя В и отправка сообщения от А к В с нонсом N b .

На приеме получатель В, зная значение N b , восстанавливает полную структуру сообщения и проверяет ЭЦП а.

Число N b после однократного использования уничтожается А и В.

Для исключения возможности задержки сообщения нарушителем получатель В ожидает сообщение от А в течение тайм-аута начиная с обусловленного момента времени t, после чего значение N b уничтожается А и В. Другими словами, с момента времени tполучатель В открывается на время тайм-аута для приема сообщения от А, после чего снова закрывается.

С целью уменьшения числа передач пользователи А и В могут заранее обменяться сериями нонсов N a , N a ... и N b , N b ..., привязанных к определенным моментам времени, когда прием сообщений открывается в направлении В e А или Аe В. Это выгодно делать, например, для часа пик.

Перехват нонсов в канале связи ничего не дает нарушителям, поскольку они не смогут сформировать сообщение с ЭЦП а или ЭЦП b с этими нонсами.

Опасность повторения значений нонсов возникает в случае, если для генерации нонсов используется некачественный (неисправный) ГСИ или программный ДСЧ с короткими периодами.

Метод списков

При интенсивном потоке сообщений у некоторых пользователей список значений хэш-функции для принятых сообщений может быстро возрастать в объеме, требуя все большего времени для проверки очередного значения хэш-функции.

Выходом из положения может быть метод нумерации списков, при котором по расписанию уничтожается старый список с номером N и открывается новый список с номером N+1, при этом номер списка в структуре сообщения в канале связи может не указываться, но должен участвовать в формировании ЭЦП и вычислении значений хэш-функции для принимаемых сообщений.

Для защиты сообщений от задержек нарушителем применяется способ, при котором отправитель выходит в канал по расписанию, а получатель ожидает сообщение в течение тайм-аута.

Обеспечение свойства неотделимости ЭЦП

Во всех четырех методах использования признаков времени остается угроза атаки нарушителем A , состоящая в удалении ЭЦП а , модификации адреса А ® А (возможно, и других частей сообщения) и формирования новой ЭЦП а на секретном ключе d a нарушителя. Тем самым нарушитель A присваивает себе авторство на ИНФ (или ИНФ) и может переадресовывать ее любому пользователю В.

Для обеспечения свойства неотделимости ЭЦП обычно применяется метод шифрования. Дело в том, что если нарушитель A знает ИНФ, то ничто не мешает ему вычислить ЭЦП а для этой ИНФ или для модифицированной ИНФ. Нарушитель A не сможет вычислить ЭЦП а для ИНФ, если он не знает ИНФ под шифром в сообщении.

Для шифрования используется симметричная криптосистема с ключом парной связи k ab , заранее доставленным А и В безопасным способом.

Как видно из изложенного, применение гостированных алгоритмов формирования ЭЦП и хэширования не в полной мере гарантирует защиту электронного документа, в частности защиту авторства отправителя и неотделимости ЭЦП. Большое влияние на качество функционирования системы защиты оказывает правильный выбор отношений доверия между пользователями и выделенным администратором системы, а также структуры сообщений в канале связи.

Что важно знать пользователю при выборе программного (или аппаратного) комплекса, осуществляющего функцию цифровой подписи?

Так как пользователю удобно применять привычные для него программные комплексы, то ему небезразлична возможность встраивания цифровой подписи в другие системы.

Конечно, важно знать возможности работы систем цифровой подписи на разных платформах. Иногда (при передаче информации, содержащей коммерческую тайну) кроме подписания передаваемой информации ее необходимо зашифровать. При этом следует поинтересоваться у фирмы, предлагающей программный (или аппаратный) комплекс, осуществляющий функцию цифровой подписи, имеет ли он опцию шифрования и на основе какого алгоритма она реализована? Важно также знать, какие приняты меры защиты от несанкционированного доступа к секретному ключу. Имеется ли протокол действий в случае компрометации ключа одного из пользователей?

До приобретения системы электронной цифровой подписи пользователю хорошо бы получить ответы и на такие вопросы:

предусмотрено ли наличие центра подтверждения подлинности открытых ключей?

предусмотрена ли архивация ключей для решения спорных вопросов в будущем?

и, наконец, один из главных вопросов: предусмотрена ли юридическая и страховая поддержка (разработаны ли фирмой проекты договоров между участниками обмена электронными документами, есть ли договоренность со страховыми компаниями в случае потерь от их подделки и какую ответственность в этих случаях берет на себя фирма)?

Так как в решении Высшего Арбитражного Суда РФ № С1-7/ок-587 от 19.08.94 г. (раздел 4) говорится, что в случае отсутствия в договоре процедуры согласования разногласий и порядка доказывания подлинности, арбитражный суд вправе не принимать в качестве доказательств документы, подписанные цифровой (электронной) подписью, то желательно заранее получить от фирмы проекты таких договоров и провести их юридическую экспертизу.

Эти вопросы следует задавать фирме при заключении договора на приобретение программного (или аппаратного) комплекса, осуществляющего функцию цифровой подписи.

На самом деле юридические аспекты имеют важное значение. Предположим, наша подпись на документе в электронной форме подделана и мы понесли в связи с этим убытки. С кого их взыскивать? Очевидно, должна быть разработана процедура урегулирования конфликтов, связанных с непризнанием одной из сторон цифровой подписи другой стороны или отказе одной стороны от своей подписи. А что делать, если сторона - автор документа с фальшивой цифровой подписью, настаивает на его подлинности? Видимо, надо создать согласительную комиссию для выяснения причин случившегося. Кто должен входить в ее состав? Конечно, представители конфликтующих сторон, а также фирмы-разработчика.

Кто может быть признан виновным и в каких случаях? Рассмотрим некоторые варианты:

одним из пользователей не были приняты меры предосторожности, и секретный ключ подписывающего стал известен злоумышленнику;

была нарушена целостность программного обеспечения, в результате чего было совершено "нападение" на открытые ключи или сделано еще что-то, что привело к подделке подписи;

фирма-разработчик не предусмотрела каких-то видов "нападений", и подпись подделана в результате плохого качества средства, реализующего электронную цифровую подпись.

В любом случае необходимо проверять целостность программного обеспечения у каждой из сторон обмена документами в электронной форме. В примерных договорах по регулированию взаимоотношений по осуществлению обмена документами в электронной форме признается, что виновата та сторона, у которой нарушена целостность программного обеспечения. Однако не следует забывать, что злоумышленник может специально покопаться в программе, чтобы сделать видимость нарушения целостности программного обеспечения. Конечно, договор должен четко предусматривать ответственность сторон (в том числе и фирмы-разработчика). В идеальном случае надо бы также предусмотреть ответственность организации, выдавшей сертификат.