Goeiemiddei, bêste lêzer!
Ik haw de updates en nijs fan it programma Digital Economy al in skoft aktyf folge. Ut it eachpunt fan in ynterne meiwurker fan EGAIS systeem, fansels, it proses sil duorje foar tsientallen jierren. Sawol út it eachpunt fan ûntwikkeling, as út it eachpunt fan testen, weromdraaien en fierdere ymplemintaasje, folge troch ûnûntkombere en pynlike oanpassingen fan alle soarten bugs. Dochs is de saak needsaaklik, wichtich en driuwend. De wichtichste klant en sjauffeur fan al dizze wille is fansels de steat. Eins, krekt as oer de hiele wrâld.
Alle prosessen binne al lang yn digitaal ferpleatst of binne der op wei. Dit is noch altyd prachtich. D'r binne lykwols neidielen oan medaljes foar treflikens. Ik bin in persoan dy't konstant wurket mei digitale hantekeningen. Ik bin in oanhinger fan miskien "juster", mar "âlderwetske" betroubere en win-win metoaden foar it beskermjen fan elektroanyske hantekeningen mei help fan tokens. Mar digitalisearring lit ús sjen dat alles al lang yn 'e "wolken" leit en CEP is dêr ek nedich en tige fluch nedich.
Ik besocht op it nivo fan it wetjouwings- en technysk ramt, wêr mooglik, út te finen hoe't it hjir en yn Europa mei wolkeelektroanyske hantekeningen stiet. Yn feite is mear as ien wittenskiplike dissertaasje al publisearre oer dit ûnderwerp. Dêrom stimulearje wy professionals yn dizze saak om mei te dwaan oan 'e ûntwikkeling fan it ûnderwerp.
Wêrom is CEP yn 'e wolk oantreklik? Yn feite binne d'r foardielen. D'r binne genôch fan dizze foardielen. It is fluch en handich. It klinkt as in reklameslogan, jo sille it iens wêze, mar dit binne de objektive skaaimerken fan in wolk digitale hantekening.
Snelheid leit yn 'e mooglikheid om dokuminten te ûndertekenjen sûnder te wêzen bûn oan tokens of smart cards. Ferplichtet ús net om allinich it buroblêd te brûken. Hûndert prosint cross-platform ferhaal foar elke OS en browsers. Dit is benammen wier foar fans fan Apple-produkten, foar wa't d'r bepaalde swierrichheden binne by it stypjen fan elektroanyske hantekeningen yn it MAC-systeem. Utgong fan oeral yn 'e wrâld, frijheid fan kar fan CA's (sels net-Russyske). Oars as CEP-hardware kinne wolktechnologyen jo swierrichheden foarkomme mei de kompatibiliteit fan software en hardware. Wat, ja, is handich, en, ja, fluch.
En hoe kin men net ferliede wurde troch sa'n skientme? De duvel is yn 'e details. Lit ús prate oer feiligens.
"Cloud" CEP yn Ruslân
De feiligens fan wolkoplossingen, en foaral digitale hantekeningen, is ien fan 'e wichtichste pinepunten foar befeiligingsprofessionals. Wat ik krekt net leuk, sil de lêzer my freegje, om't elkenien al in lange tiid wolktsjinsten brûkt, en mei SMS is it noch betrouberer om in bankoerdracht te meitsjen.
Eins, wer, litte wy weromgean nei de details. Cloud digitale hantekening is in takomst wêrmei't it dreech is om te argumintearjen. Mar no net. Om dit te dwaan moatte regeljouwingswizigingen foarkomme dy't de eigner fan wolk digitale hantekeningen beskermje.
Wat hawwe wy hjoed? D'r binne in oantal dokuminten dy't it konsept fan digitale hantekening, elektroanysk dokumintbehear (EDF) definiearje, lykas wetten oer ynformaasjebeskerming en gegevenssirkulaasje. Benammen moatte jo rekken hâlde mei it Boargerlik Wetboek (Boargerlik Wetboek fan 'e Russyske Federaasje), dy't it gebrûk fan elektroanyske hantekeningen yn dokuminten regelet.
Federal Law No.. 63-FZ "On Electronic Signatures" datearre 06.04.2011/XNUMX/XNUMX. De basis- en ramtwet dy't de algemiene betsjutting beskriuwt fan it brûken fan digitale hantekeningen by it meitsjen fan transaksjes fan ferskate soarten en it leverjen fan tsjinsten.
Federal Law No. 149-FZ "On ynformaasje, ynformaasje technologyen en ynformaasje beskerming fan 27.07.2006 july XNUMX. Dit dokumint spesifiseart it konsept fan in elektroanysk dokumint en alle relatearre segminten.
D'r binne ekstra wetjouwingshannelingen dy't belutsen binne by de regeling fan EDI
Federal Law 402-FZ "On Accounting" fan 06.12.2011 desimber XNUMX. De wetjouwing soarget foar de systematisaasje fan easken foar boekhâlding en boekhâlding dokuminten yn elektroanyske foarm.
Ynkl. Jo kinne rekken hâlde mei de arbitraazjeproseduerekoade fan 'e Russyske Federaasje, dy't dokuminten ûndertekene troch in elektroanyske hantekening mooglik makket as bewiis yn' e rjochtbank.
En it wie hjir dat it my kaam om djipper yn 'e kwestje fan feiligens te ferdjipjen, om't ús noarmen foar krypto-beskermingsmiddels wurde levere troch de FSB en soargje foar it útjaan fan sertifikaten fan konformiteit. Op 18 febrewaris waarden nije GOST-standerts yntrodusearre. Sa wurde kaaien opslein yn 'e wolk net direkt beskerme troch FSTEC-sertifikaten. De kaaien sels beskermje en feilige yngong yn 'e "wolk" binne de hoekstiennen dy't wy noch net hawwe oplost. Folgjende sil ik sjen nei it foarbyld fan regeljouwing yn 'e Jeropeeske Uny, dy't dúdlik in mear avansearre feiligenssysteem sil demonstrearje.
Jeropeeske ûnderfining yn it brûken fan wolk digitale hantekeningen
Litte wy begjinne mei it wichtichste ding - wolktechnologyen, net allinich digitale hantekeningen hawwe in dúdlike standert. De basis is de groep Cloud Standard Coordination (CSC) fan it European Telecommunications Standards Institute (ETSI). D'r binne lykwols noch ferskillen yn noarmen foar gegevensbeskerming yn ferskate lannen.
De basis foar wiidweidige gegevensbeskerming is ferplichte sertifikaasje foar oanbieders neffens ISO 27001: 2013 foar behearsystemen foar ynformaasjefeiligens (de oerienkommende Russyske GOST R ISO / IEC 27001-2006 is basearre op 'e 2006 ferzje fan dizze standert).
ISO 27017 leveret ekstra feiligenseleminten foar de wolk dy't ûntbrekke yn ISO 27002. De folsleine offisjele namme fan dizze standert is "Code of practice foar kontrôles foar ynformaasjefeiligens basearre op ISO / IEC 27002 foar wolktsjinsten." ISO / IEC 27002 foar wolktsjinsten ").
Yn 'e simmer fan 2014 publisearre ISO de ISO 27018:2015-standert oer it beskermjen fan persoanlike gegevens yn 'e wolk, en ein 2015 ISO 27017:2015 oer kontrôles foar ynformaasjefeiligens foar wolkoplossingen.
Yn 'e hjerst fan 2014 kaam in nije resolúsje fan it Europeesk Parlemint nr. 910/2014, mei de namme eIDAS, fan krêft. De nije regels kinne brûkers de EPC-kaai opslaan en brûke op 'e server fan in akkrediteare fertroude tsjinstferliener, de saneamde TSP (Trust Service Provider).
Yn oktober 2013 hat it Jeropeesk Komitee foar Standerdisearring (CEN) de technyske spesifikaasje CEN/TS 419241 oannommen "Feiligenseasken foar betroubere systemen dy't serverûndertekening stypje", wijd oan 'e regeling fan digitale hantekeningen yn wolken. It dokumint beskriuwt ferskate nivo's fan feiligens neilibjen. Bygelyks, "nivo 2" neilibjen nedich om in kwalifisearre elektroanyske hantekening te generearjen fereasket stipe foar sterke opsjes foar brûkersferifikaasje. Neffens de easken fan dit nivo, brûker autentikaasje komt direkt op de hântekening tsjinner, yn tsjinstelling, bygelyks, ta de autentikaasje tastien foar "nivo 1" yn in applikaasje dy't tagong ta de hântekening tsjinner op har eigen namme. Ek, yn oerienstimming mei dizze spesifikaasje, brûker hântekening kaaien foar it generearjen fan in kwalifisearre elektroanyske hantekening moatte wurde opslein yn it ûnthâld fan in spesjalisearre feilich apparaat (hardware feiligens module, HSM).
Brûkersautentikaasje yn in wolktsjinst moat op syn minst twa-faktor wêze. As regel is de meast tagonklike en maklik te brûken opsje om oanmelding te befêstigjen fia in koade ûntfongen yn in SMS-berjocht. Bygelyks, de measte persoanlike RBS-akkounts fan Russyske banken binne ymplementearre. Neist de gewoane kryptografyske tokens kinne ek in applikaasje op in smartphone en ienmalige wachtwurdgenerators (OTP-tokens) brûkt wurde as autentikaasjemiddel.
Foar no kin ik in tuskenkonklúzje lûke oangeande it feit dat wolk CEP's noch krekt wurde foarme en it is te betiid om fuort te gean fan hardware. Yn prinsipe is dit in natuerlik proses, dat sels yn Europa (oh, geweldich!) duorre sa'n 13-14 jier oant mear of minder krekte noarmen waarden ûntwikkele.
Oant wy goede GOST-standerts ûntwikkelje dy't ús wolktsjinsten regelje, is it te betiid om te praten oer in folslein ferlitten fan hardware-oplossingen. Earder sille se no, krekt oarsom, begjinne te bewegen nei "hybriden", dat wol sizze, ek wurkje mei wolk-hantekeningen. Guon foarbylden dy't foldogge oan Europeeske noarmen foar wurkjen mei Cloud binne al ymplementearre. Mar wy sille prate oer dit yn in bytsje mear detail yn in nij materiaal.
Boarne: www.habr.com