Тема номера: Информационная безопасность

Ростислав Рыжков,
Директор по информационной безопасности
“ФОРС – Центр разработки”,
rryshkov@fors.ru

Место ЭЦП среди прочих механизмов защиты

Источник: авторский вариант статьи, опубликованной с журнале IT Forum за май 2003.

1. Что имеем, не храним?

Кто не лишался информации, лежащей в компьютере или гуляющей по сетям? Потом восстанавливаем утерянное, и клянемся себе, что больше никогда!.. И опять “попадаем”, на то же самое, или на что-то другое. Столько опасностей кругом! Нетрудно очертить круг “популярных” причин утраты данных.

Как пишут, наиболее частыми и опасными (с точки зрения ущерба) являются непреднамеренные ошибки пользователей, операторов, системных администраторов и других лиц, обслуживающих информационные системы. По некоторым данным, до 65% потерь информации — следствие непреднамеренных ошибок.

На втором месте по размерам ущерба располагают кражи и подлоги. В большинстве расследованных случаев виновниками оказывались штатные сотрудники организаций, знакомые с режимом работы и защитными мерами. Опасны и так называемые обиженные сотрудники — нынешние и бывшие. В былые, докомпьютерные времена, в качестве мести достаточно было в последний, перед “вылетом” с работы, день насовать во все замки спичек - и душа была спокойна. Но прогресс не остановить, и теперь “для восстановления справедливости” можно удалить или исказить данные, встроить логическую бомбу, которая со временем разрушит программы и/или информацию.

Наносит ущерб буйство стихий. Впечатляют, конечно, пожары и наводнения, но по счастью, это скорее экзотика. Убытки, наносимые ими, значительны, но очень редки. А вот аварии электропитания, временное отсутствие связи, встречаются гораздо чаще и в совокупности вредят ощутимо.

Особо стоит выделить компьютерные вирусы. Объяснять, чем они неприятны, уже никому не надо. Кто сам не страдал от этой напасти, наверняка слышал, а то и видел, как бедствуют друзья и коллеги, теряя время и данные

И наконец, хакеры. В американском кино хакер вездесущ, ужасен и смертоносен, часто его мощь измеряется мегатоннами. В жизни они пожалуй тоже встречаются. Были же всякие сообщения, процессы судебные, правда, в той же Америке. У нас скорее хочется спросить, как Жванецкий “Если они здесь, то мы где?..”. И слава Богу, потому что все же они специалисты серьезные, и если хакер взломает защиту – мало не покажется. Если чуть серьезнее – действительно, многие Internet-серверы подвергается попыткам проникновения; иногда такие попытки оказываются удачными, но в целом ущерб от деятельности хакеров оценивают как незначительный.

Таково описание неприятностей, которые могут грозить компьютерной информации. Можно привести и более точные данные.

В 2002 году консалтинговая компания KPMG опубликовала основные результаты исследования "Global Information Security Survey" (Аудит информационной безопасности: глобальное исследование). Эксперты опросили респондентов, с какой наиболее существенной, с их точки зрения, проблемой в области информационной безопасности, сталкиваются их организации. Результаты таковы:

• Инциденты с компьютерными вирусами 22%
• Атаки (не ущерб, атаки!) со стороны хакеров 21%
• Контроль удаленного доступа 17%
• Безопасность при работе с Интернет 10%
• Нарушение конфиденциальности личной информации 5%
• Недостаточный уровень обучения пользователей 5%
• Безопасность систем электронной коммерции В2В 5%
• Мошенничество со стороны сотрудников 4%
• Похищение или повреждение данных/информации 4%
• Прочее 7%

Среди “Прочего” отметим такие причины, как

• Утрата конфиденциальных данных
• Подмена исходных данных и результата

Если бы все перечисленные неприятности навалились разом, работа информационной системы стала бы невозможной. Но против всякого снаряда со временем выковывается подходящая броня. Против вирусов – антивирусы. Против неловких сотрудников – учебные центры, экзамены, сертификация. Злоумышленники упираются в стену из сетевых экранов, паролей, прав доступа, и многого другого. Одним словом, придуманы механизмы, предотвращающие разные виды вторжений в информационную систему, компенсирующие различные виды угроз. И где-то среди них, повсеместно упоминаемая сегодня, “модненькая” ЭЦП. Электронно-цифровая подпись.

3. Немного об “устройстве” ЭЦП

Не так давно с одним из потенциальных заказчиков нам довелось обсуждать задачи защиты информации в его корпоративной информационной системе. ЭЦП была ему нужна, он точно знал. Решение предложил сам и сразу: “ЭЦП организуем просто. Разместите на документе штрих-код, принадлежащий конкретному исполнителю, это и будет означать, что документ снабжен ЭЦП этого человека. А проверить подпись можно с помощью считывающего устройства, подобного тому, что используют в супермаркетах”.

Мы нисколько не смеемся над заказчиком. Он слышал, что ЭЦП полезна. Он не вникал в проблему – не его это задача. Человек просто вообразил, как это могло бы выглядеть. Как ни изумительна подобная трактовка электронно-цифровой подписи, она могла бы иметь право на существование. Если бы вопрос не был решен другим способом много лет назад, и закреплен в многочисленных международных стандартах, отечественных ГОСТ-ах, законодательных актах, а также изложен во многих статьях, докладах и учебных пособиях.

В журнале “IT Форум” устройство ЭЦП уже описывалось, к примеру, в статье Б. Скородумова “Ключ без права передачи” . Поэтому здесь приведем только изложение того, что подразумевается, когда говорят: “Электронно-цифровая подпись документа”.

Как определено в законе "Об электронной цифровой подписи", ЭЦП - это реквизит электронного документа, предназначенный для его защиты от подделки, полученный в результате криптографического преобразования информации с использованием закрытого ключа и позволяющий идентифицировать владельца сертификата ключа, а также установить отсутствие искажений информации в электронном документе.

Отметим, что “электронный документ” не означает текстовый или иной файл, предназначенный для прочтения, в том смысле, как мы читаем книгу. Это может быть графический образ текстового документа, или любое изображение (картинка, чертеж) в электронном виде, а также мультимедийные объекты – фильмы, мелодии, звуковые сообщения.

Электронная подпись обеспечивает аутентичность электронных документов и их подборок при хранении и распространении по сетям, конфиденциальность и контроль целостности информации. Использование процедур формирования и проверки электронной цифровой подписи позволяет решить задачу получения юридически значимых бумажных копий электронных документов.

Для формирования подписи используется закрытый (секретный) ключ, хранящийся на каком-либо носителе информации (например, на дискете, таблетке Touch Memory), доступ к которому имеет только его владелец.

Проверка ЭЦП под электронным документом выполняется с помощью открытого ключа, парного закрытому.

В конце концов, тому, кто будет ставить свою электронную подпись на документы и проверять чужие, все это знать даже не обязательно. Бережно хранить секретный ключ, да нажимать кнопки “Подписать” и “Проверить” он и без этого сможет.

4. Чем же ЭЦП облегчит жизнь

Вернемся к определению, данному в Федеральном Законе: “ЭЦП - это реквизит электронного документа, предназначенный для его защиты от подделки, … и позволяющий идентифицировать владельца сертификата ключа, а также установить отсутствие искажений информации в электронном документе...”. Иными словами, процедуры формирования и проверки электронной цифровой подписи обеспечивают контроль целостности информации. Получатель может определить, была ли искажена информация в процессе пересылки. Другая возможность – обеспечение конфиденциальности информационного обмена. Документ, снабженный ЭЦП, прочтет только тот, кому это позволил отправитель. Одновременно ЭЦП гарантирует получателю, что документ отправил именно тот, чья электронная подпись на нем проставлена. Или, что документ получен именно из того хранилища, электронная подпись которого имеется.

Из двух возможностей вытекает третья. Может быть решена проблема обеспечения юридической значимости электронного документа и его бумажной копии.

Не рассматривая здесь, каким образом обеспечиваются названные возможности, пройдемся по тем сферам, в которых уже активно используется механизм генерации и проверки ЭЦП.

5. область использования

Пожалуй, наибольшее распространение электронная подпись получила в почтовых программах и системах удаленного файлового обмена. Пользователь хотел быть уверенным, что отправленные сообщения никто не перехватит и никто не прочитает, кроме указанного адресата, а отправляемые документы не будут подделаны. Почтовые программы стали обеспечивать защиту по крайней мере тремя способами:

• используя цифровые подписи под сообщениями и всеми их вложениями;
• используя шифрование сообщений;
• используя цифровые подписи и шифрование сообщений.

Можно сказать, что распространенная почтовая программа MS Outlook поддерживает возможности генерации и проверки ЭЦП, поскольку в интерфейсе можно найти нужные кнопочки, а в HELP-е соответствующие слова. Однако использовать эти возможности не просто. Для начала нужно получить где-то сертификат ключа электронно-цифровой подписи. Сведения о соответствующих службах сертификации содержатся, к примеру, на Web-узле Microsoft Security Advisor. Когда вы “достучитесь”, наконец, до нужной службы, вам либо вышлют бесплатно сертификат и обеспечат возможность получения соответствующих ключей ЭЦП, либо предложат купить все то же. Бесплатная версия, естественно, похуже – ключи малой длины дают возможность взломать ЭЦП. Платная получше, однако не соответствует отечественным стандартам (что для многих важно) и, к тому же, привязывает пользователя к “забугорному” удостоверяющему центру в вопросах выдачи сертификатов, генерации ключей и пр.

Аналогичные проблемы (несоответствие используемых стандартов и алгоритмов генерации и проверки ЭЦП отечественной нормативно-правовой базе, ограничения в части распространения передовых алгоритмов шифрования со стороны ряда стран-производителей, неудобство работы с удаленными зарубежными удостоверяющими центрами) ждут пользователя и при попытке использовать ЭЦП, встроенные в другие распространенные системы электронной почты.

В качестве выхода из этого положения отечественные разработчики предлагают надстройки, программные расширения к почтовым системам, которые делают удобным для пользователя использование ЭЦП в рамках основной почтовой программы. Как правило, продукты поддерживают различные криптографические ядра, как отечественные, так и популярные за рубежом.

Итак, электронная почта, снабженная ЭЦП, дело уже обычное, испытанное.

Сейчас на рынке явственно видно желание заказчиков строить защищенные корпоративные прикладные системы более высокого уровня сложности: от бухгалтерии небольшой частной компании до расчетной системы крупного коммерческого банка. Крупные структуры ставят вопрос о построении корпоративного конфиденциального документооборота. Примеры решений в этих областях известны, однако говорить о распространенности использования ЭЦП в сфере комплексных информационных систем пока еще рано. Обозначим хотя бы пару направлений успешного развития темы.

Часть автоматизированных банковских систем (АБС), оснащены средствами работы с удаленными клиентами через открытые каналы связи и Интернет. Например, это платежные системы, которые позволяют в реальном времени осуществлять авторизацию платежных операций, совершаемых с помощью пластиковых карт. Такие системы успешно используются для оплаты товаров, купленных в интернет-магазине.

На основе использования ЭЦП банк решает две задачи: с одной стороны, организует защищенный канал документооборота между головным офисом и своими филиалами, а с другой, предоставляет клиентам надежную защиту информации, передаваемой по открытым каналам связи

Безопасность платежной операции обеспечивается путем обмена цифровыми сертификатами, удостоверяющими право участников сделки принимать или использовать пластиковые карты. Сертификат магазина содержит его идентификационные параметры. Сертификат владельца карты используется для шифрования (подписания) данных об основных параметрах карты. Проведение оплаты с использованием сертификата не требует от клиента ввода параметров его карты и не предусматривает передачу по сетям этой конфиденциальной информации. Это типовая схема. А вот конкретный пример.

Компании R-Style Softlab и Инфотекс реализовали совместный проект, в ходе которого в комплекс реализации электронных банковских услуг была встроена система криптографической защиты информации (СКЗИ), созданная на базе сертифицированного Федеральным агентством правительственной связи и информации криптоядра.

Программный комплекс позволяет кредитному учреждению предоставлять клиентам дистанционные услуги через различные каналы связи (электронную почту, Интернет, телефон, мобильные средства связи). Чтобы банки могли обезопасить передаваемые сведения от несанкционированного доступа, в систему включены средства, с помощью которых формируются ключи шифрования и электронной цифровой подписи, осуществляется кодирование и имитационная защита данных, что обеспечивает целостность и подлинность информации..

В системах электронного архива и/или документооборота ЭЦП стала реально использоваться, пожалуй, позднее, чем в банковской сфере. Однако, сегодня известные отечественные системы в этой области обеспечивают возможности генерации и проверки электронной подписи. Как правило, система может быть сконфигурирована для работы с известными на российском рынке и сертифицированными ФАПСИ внешними подсистемами криптозащиты, производства компаний МО ПНИЭИ, Анкад, Криптопро, Инфотекс.

Так, в системе “БОСС-Референт” (компания АйТи) используется специализированное программное средство для шифрования и простановки ЭЦП под документами с помощью отечественных сертифицированных средств криптозащиты. Таким образом могут быть защищены документы, содержащиеся в базах данных (БД), на уровне полей, а также заданные полями почтовых сообщений Lotus Notes/Domino при их отправке и сохранении в виде черновиков. Отечественные средства криптозащиты информации при этом используются вместо аналогичных несертифицированных инструментов Lotus Notes/Domino.

В системе "Дело" (компания ЭОС) документ, пересылаемый с помощью электронной почты, может быть подписан электронно-цифровой подписью и/или зашифрован.

Использование шифрования и ЭЦП при обмене документами между экземплярами системы "Дело" является опциональным (необязательным). При необходимости, документы могут передаваться и без выполнения указанных процедур защиты. Параметры отправки документов позволяют технологу системы "Дело" задавать принудительное шифрование или ЭЦП документов при отправке по электронной почте для:

• определенных групп документов;
• документов, имеющих определенный гриф доступа;
• документов, направляемых в адрес конкретных организаций.

Это позволяет предотвратить случайную или умышленную пересылку конфиденциальных документов без защиты.

В электронном архиве ЭЛАД (компания ФОРС) предусмотрен механизм подписания структуры хранимых документов, включающих учетную карточку (как совокупность полей базы данных) и ассоциированные с карточкой документы: XML-текст, прикрепленные файлы и гипертекстовые ссылки на другие документы базы.

Каждый документ может подписываться несколькими лицами. Их количество и расположение подписей задается во время проектирования карточки документа.

Для каждой подписи можно определить круг лиц, имеющих право визирования данного поля. Предусматривается возможность отзыва подписи в течение оговоренного срока.

Достаточно сложный набор возможностей применения ЭЦП в рамках электронного архива предназначен для реализации различных схем обработки документов в связанных с архивом системах документооборота, как электронного, так и традиционного.

6. Заключение

Можно уверенно сказать, что электронно-цифровая подпись успешно используется во многих, реально действующих, информационных системах, и все более активно включается во вновь разрабатываемые. Как всякий новый инструмент, она требует ресурсов при внедрении, и поначалу обеспечивает пользователю не только защиту его информации, но и ряд проблем. Части из них мы коснулись, многие (лицензирование деятельности, сертификация систем, стоимость, постановка задачи) остались за кадром. И все же, жизнь, похоже, неизбежна. Не хотите попробовать?