Облачные технологии электронной подписи

Одной из тенденций современного рынка разработки программного обеспечения, безусловно, является упрощение пользовательских интерфейсов. Если этого не происходит, то какой бы полезной ни была технология, она будет оставаться нишевой и не найдёт широкого применения на рынке.

Этот тезис наглядно проявляется применительно к технологии электронной подписи (ЭП). Несмотря на ее очевидную полезность и даже безальтернативность для решения проблем надежной аутентификации пользователей, контроля целостностиих информации в Интернете и др.,ЭП до сих пор не нашла массового применения. Например, проблемы борьбы с клонами и неотказуемости от публикуемой информации в социальных сетях существуют достаточно давно, но массово-внедренных решений с использованием ЭП пока нет.

Объяснение этому достаточно простое: технологии PKI, на которых строится применение ЭП, оказываются сложными для рядового пользователя, при этом регулирование в отрасли задаёт дополнительные требования к ПО и не всегда позволяет повернуть его лицом к потребителю.

Вместе с тем, разработчики технологий безопасности постоянно совершенствуют свои продукты, в том числе и в части упрощения пользовательского интерфейса. Одно из популярных направлений- это перенос в "облако" части криптографических преобразований, в частности, процедур проверки и формирования электронной подписи.

Проверка ЭП в облаке - это безусловно шаг вперёд, который имеет много плюсов. Пользователям не нужно устанавливать у себя криптографическое ПО, отслеживать все нюансы проверки сертификатов ЭП. За них все это делает система и при проверке подписи выдаёт бинарный ответ - Да/Нет. При этом как организована сама проверка и какие технологии для этого используются, пользователю, по большому счёту, не интересно.

Перенос проверки подписи в облако, применительно к электронному документообороту в WWW, позволяет перейти от корпоративных систем ЭДО к публичным:ознакомление с документами и проверка подписей может производиться по интернет-ссылкам и становится доступной любому пользователю с помощью обычных браузеров.

Примером использования подобного рода облачных технологий могут служить авторская сеть "Автограф" (www.i-autograph.com), разработки компании "Сигнал-КОМ", а также портал госуслуг (https://www.gosuslugi.ru/pgu/eds/ ).

Что касается переноса в облако процедуры формирования подписи, то, несмотря на предлагаемые на рынке рядом компаний решения, к их применению стоит подойти творчески.

Речь идёт о решениях, основанных на использовании технологии DSS/HSM . Если коротко, то данная технология предполагает подписание документов на сервере DSS (Digital Signature Server) с использованием ключей, хранящихся в HSM (Hardware Security Module). При этом, доступ пользователей к HSM основан на использовании, как правило,некриптографических систем аутентификации, таких как:

- классическая однофакторная аутентификация по логину и паролю;

- двухфакторная аутентификация с дополнительным вводом одноразового пароля, доставляемого пользователю посредством SMS (OTP-via-SMS).

Криптографические методы аутентификации, естественно, существуют, но редкоиспользуются, т.к. они противоречат модным ныне сентенциям: для работы с электронной подписью в облаке пользователю необходим только веб-браузер без установки средств ЭП на своем рабочем месте.

Известно, однако, что безопасность всей системы определяется уязвимостью ее самого слабого звена.Нетрудно заметить, что таким звеном как раз и является вышеуказанная некриптографическая аутентификация и какие бы криптостойкие технологии ЭП в дальнейшем не использовались, на безопасность всей системы они уже влиять не будут.

Напомним, что усиленная ЭП пользователя под электронным документом обеспечивает контроль его целостности (защиту от искажений после подписания), достоверность источника информации (авторство) и неотказуемость от подписи, причем достоверность и неотказуемость обеспечиваются при условии неотчуждаемости ключа ЭП от его владельца.

В случае, когда ключ пользователя хранится в удалённом хранилище,ЭП, сформированная этим ключом, определяет, по сути, не владельца ключа (автора подписи), а владельца аутентифицирующей информации, которая обеспечила доступ к этому ключу.

Нетрудно заметить, что в этой ситуации нивелируется одно из основных назначений индивидуальной ЭП -надежный криптографический способ определения автора электронного документа.

Представляется, что такой подход может быть оправдан лишь для публичных (открытых) систем ЭДО в которых решение на базе DSS/HSM реализуется на уровне корпораций, участвующих в этих публичных системах. В этом случае исходящие из корпорации документы в общей системе обрабатываются по обычным правилам, а решение с хранением ключей в защищённом облаке, реализуется для удобства ее сотрудников.

Если же речь идет только о корпоративных (закрытых) системах, то решение можно значительно упростить.

На практике это выглядит так: после аутентификации пользователя на сервере DSS его персоналии добавляются к подписываемому документу в качестве простой электронной подписи,определяющей автора документа.

Если документ с такой простой подписью заверить электронной подписью сервера DSS, и получить штамп времени в службе штампов времени TSA (Time Stamp Authority), то будет обеспечена и защита целостности документа, и время его подписания.

В результате предлагаемого решения на основе DSS/TSA получим подписанный электронный документ,обладающий следующими свойствами: достоверность источника информации (авторство)определяется сервером аутентификации, при этом атрибуты пользователя добавлены к документу в виде простой подписи;целостность документа с простой подписью обеспечивается усиленными ЭП DSS сервера и службы штампов времени.

Для сравнения, в варианте на основе DSS/HSM имеем все то же самое:достоверность источника информации (авторство) определяется сервером аутентификации (ключ ЭП , используемый для подписи,определяется на основании некриптографической аутентификации пользователя); целостность документа обеспечивается усиленной ЭП с использованием ключа, хранящегося в HSM.

Сравнивая эти два решения, можно отметить, что при одинаковой криптографической стойкости, решение на основе простой подписи со штампом времени имеет для клиентов очевидные преимущества:

- повышается общая производительность системы;

- исключаются затраты, связанные с обслуживанием жизненного циклаключей и сертификатов пользователей);

- резко снижается стоимость системы (не требуется закупка и обслуживание дорогостоящего оборудования типа HSM);

- упрощается процедура разрешения конфликтных ситуаций:для варианта на базе DSS/HSM, в случае отказа клиента от подписи, доказать в суде обратное, при условии, что фактически клиент не владеет ключом, будет достаточно трудно,поэтому потребуется договор о признании ЭП, что в случае использования сертификатов квалифицированной подписи, нивелирует ее смысл, заложенный в № 63-ФЗ Об электронной подписи;для варианта с простой подписью - на основе договора о признании.

Выводы:

1. Перенос технологий электронной подписи в облако значительно повышает их юзабилити и привлекательность для пользователей.

2. Для обеспечения безопасности Информационной Системы (ИС) на должном уровне,в облако желательно переносить только процедуру проверки подписи.

3. В случаях, когда допускается снижение безопасности ИС до уровня, обеспечиваемого некриптографическими методами аутентификации, возможен перенос в облако и процедуры подписания, при этом для корпоративных систем экономически более выгодно использование простой ЭП по сравнению с усиленной, при обеспечении одинаковых параметров безопасности.