रूस और दुनिया में क्लाउड इलेक्ट्रॉनिक हस्ताक्षर

शुभ दोपहर, प्रिय पाठक!
मैं पिछले कुछ समय से डिजिटल इकोनॉमी कार्यक्रम के अपडेट और समाचारों पर सक्रिय रूप से नज़र रख रहा हूं। ईजीएआईएस प्रणाली के एक आंतरिक कर्मचारी के दृष्टिकोण से, निश्चित रूप से, यह प्रक्रिया दशकों तक चलेगी। विकास के दृष्टिकोण से, और परीक्षण, रोलबैक और आगे के कार्यान्वयन के दृष्टिकोण से, सभी प्रकार के बगों के अपरिहार्य और दर्दनाक समायोजन के बाद। फिर भी, मामला आवश्यक, महत्वपूर्ण और जरूरी है। इस सारी मौज-मस्ती का मुख्य ग्राहक और चालक, निश्चित रूप से, राज्य है। दरअसल, पूरी दुनिया की तरह।
सभी प्रक्रियाएं बहुत पहले ही डिजिटल हो चुकी हैं या इसकी राह पर हैं। यह अभी भी अद्भुत है. हालाँकि, उत्कृष्टता के लिए पदकों के कुछ नकारात्मक पहलू भी हैं। मैं एक ऐसा व्यक्ति हूं जो लगातार डिजिटल हस्ताक्षर के साथ काम करता हूं। मैं शायद "कल" ​​का समर्थक हूं, लेकिन टोकन का उपयोग करके इलेक्ट्रॉनिक हस्ताक्षर की सुरक्षा के "पुराने जमाने" के विश्वसनीय और जीत-जीत के तरीकों का समर्थक हूं। लेकिन डिजिटलीकरण हमें दिखाता है कि सब कुछ लंबे समय से "बादलों" में है और सीईपी की भी वहां जरूरत है और बहुत जल्दी इसकी जरूरत है।
मैंने विधायी और तकनीकी ढांचे के स्तर पर, जहां संभव हो, यह पता लगाने की कोशिश की कि यहां और यूरोप में क्लाउड इलेक्ट्रॉनिक हस्ताक्षरों के साथ चीजें कैसी हैं। दरअसल, इस विषय पर एक से अधिक वैज्ञानिक शोध प्रबंध पहले ही प्रकाशित हो चुके हैं। इसलिए, हम इस मामले में पेशेवरों को विषय के विकास में शामिल होने के लिए प्रोत्साहित करते हैं।
क्लाउड में CEP आकर्षक क्यों है? वास्तव में, इसके फायदे भी हैं। ये फायदे काफी हैं. यह तेज़ और सुविधाजनक है. यह एक विज्ञापन नारे की तरह लगता है, आप सहमत होंगे, लेकिन ये क्लाउड डिजिटल हस्ताक्षर की उद्देश्यपूर्ण विशेषताएं हैं।
गति टोकन या स्मार्ट कार्ड से बंधे बिना दस्तावेजों पर हस्ताक्षर करने की क्षमता में निहित है। हमें केवल डेस्कटॉप का उपयोग करने के लिए बाध्य नहीं करता है। किसी भी ओएस और ब्राउज़र के लिए एक सौ प्रतिशत क्रॉस-प्लेटफ़ॉर्म कहानी। यह Apple उत्पादों के प्रशंसकों के लिए विशेष रूप से सच है, जिनके लिए MAC प्रणाली में इलेक्ट्रॉनिक हस्ताक्षर का समर्थन करने में कुछ कठिनाइयाँ हैं। दुनिया में कहीं से भी बाहर निकलें, सीए (यहां तक ​​कि गैर-रूसी वाले भी) की पसंद की स्वतंत्रता। सीईपी हार्डवेयर के विपरीत, क्लाउड प्रौद्योगिकियां आपको सॉफ्टवेयर और हार्डवेयर की अनुकूलता के साथ कठिनाइयों से बचने की अनुमति देती हैं। जो, हाँ, सुविधाजनक है, और, हाँ, तेज़ है।
और ऐसी सुंदरता से कोई कैसे आकर्षित नहीं हो सकता? दुष्ट का विस्तार में वर्णन। चलो सुरक्षा के बारे में बात करते हैं.
रूस में "क्लाउड" सीईपी
क्लाउड समाधानों और विशेष रूप से डिजिटल हस्ताक्षरों की सुरक्षा, सुरक्षा पेशेवरों के लिए मुख्य समस्या बिंदुओं में से एक है। मुझे वास्तव में क्या पसंद नहीं है, पाठक मुझसे पूछेंगे, क्योंकि हर कोई लंबे समय से क्लाउड सेवाओं का उपयोग कर रहा है, और एसएमएस के साथ बैंक हस्तांतरण करना और भी अधिक विश्वसनीय है।
दरअसल, आइए फिर से विवरण पर वापस जाएं। क्लाउड डिजिटल हस्ताक्षर एक ऐसा भविष्य है जिसके साथ बहस करना कठिन है। लेकिन अभी नहीं। ऐसा करने के लिए, नियामक परिवर्तन होने चाहिए जो क्लाउड डिजिटल हस्ताक्षर के मालिक की रक्षा करेंगे।
आज हमारे पास क्या है? डिजिटल हस्ताक्षर, इलेक्ट्रॉनिक दस्तावेज़ प्रबंधन (ईडीएफ) की अवधारणा को परिभाषित करने वाले कई दस्तावेज़ हैं, साथ ही सूचना संरक्षण और डेटा परिसंचरण पर कानून भी हैं। विशेष रूप से, आपको नागरिक संहिता (रूसी संघ का नागरिक संहिता) को ध्यान में रखना होगा, जो दस्तावेजों में इलेक्ट्रॉनिक हस्ताक्षर के उपयोग को नियंत्रित करता है।
संघीय कानून संख्या 63-एफजेड "इलेक्ट्रॉनिक हस्ताक्षर पर" दिनांक 06.04.2011/XNUMX/XNUMX। बुनियादी और ढांचागत कानून जो विभिन्न प्रकार के लेनदेन करते समय और सेवाएं प्रदान करते समय डिजिटल हस्ताक्षर का उपयोग करने के सामान्य अर्थ का वर्णन करता है।
संघीय कानून संख्या 149-एफजेड "सूचना, सूचना प्रौद्योगिकी और सूचना सुरक्षा पर दिनांक 27.07.2006 जुलाई XNUMX। यह दस्तावेज़ एक इलेक्ट्रॉनिक दस्तावेज़ की अवधारणा और सभी संबंधित खंडों को निर्दिष्ट करता है।
ऐसे अतिरिक्त विधायी कार्य हैं जो ईडीआई के विनियमन में शामिल हैं
संघीय कानून 402-एफजेड "लेखांकन पर" दिनांक 06.12.2011 दिसंबर XNUMX। विधायी अधिनियम इलेक्ट्रॉनिक रूप में लेखांकन और लेखा दस्तावेजों के लिए आवश्यकताओं को व्यवस्थित करने का प्रावधान करता है।
शामिल आप रूसी संघ के मध्यस्थता प्रक्रियात्मक संहिता को ध्यान में रख सकते हैं, जो अदालत में सबूत के रूप में इलेक्ट्रॉनिक हस्ताक्षर द्वारा हस्ताक्षरित दस्तावेजों की अनुमति देता है।
और यहीं पर मेरे मन में सुरक्षा के मुद्दे पर गहराई से विचार करने का विचार आया, क्योंकि क्रिप्टो-सुरक्षा साधनों के लिए हमारे मानक एफएसबी द्वारा प्रदान किए जाते हैं और अनुरूपता प्रमाणपत्र जारी करना सुनिश्चित करते हैं। 18 फरवरी को, नए GOST मानक पेश किए गए। इस प्रकार, क्लाउड में संग्रहीत कुंजियाँ सीधे FSTEC प्रमाणपत्रों द्वारा संरक्षित नहीं होती हैं। स्वयं कुंजियों की सुरक्षा करना और "क्लाउड" में सुरक्षित प्रवेश वे आधारशिलाएं हैं जिन्हें हमने अभी तक हल नहीं किया है। आगे, मैं यूरोपीय संघ में विनियमन का उदाहरण देखूंगा, जो स्पष्ट रूप से अधिक उन्नत सुरक्षा प्रणाली का प्रदर्शन करेगा।
क्लाउड डिजिटल हस्ताक्षर का उपयोग करने में यूरोपीय अनुभव
आइए मुख्य बात से शुरू करें - क्लाउड प्रौद्योगिकियों में न केवल डिजिटल हस्ताक्षर का एक स्पष्ट मानक है। इसका आधार यूरोपीय दूरसंचार मानक संस्थान (ईटीएसआई) का क्लाउड स्टैंडर्ड कोऑर्डिनेशन (सीएससी) समूह है। हालाँकि, विभिन्न देशों में डेटा सुरक्षा मानकों में अभी भी अंतर हैं।
व्यापक डेटा सुरक्षा का आधार सूचना सुरक्षा प्रबंधन प्रणालियों के लिए ISO 27001:2013 के अनुसार प्रदाताओं के लिए अनिवार्य प्रमाणीकरण है (संबंधित रूसी GOST R ISO/IEC 27001-2006 इस मानक के 2006 संस्करण पर आधारित है)।
आईएसओ 27017 क्लाउड के लिए अतिरिक्त सुरक्षा तत्व प्रदान करता है जो आईएसओ 27002 से गायब हैं। इस मानक का पूरा आधिकारिक नाम "क्लाउड सेवाओं के लिए आईएसओ/आईईसी 27002 पर आधारित सूचना सुरक्षा नियंत्रण के लिए अभ्यास संहिता" है। क्लाउड सेवाओं के लिए आईएसओ/आईईसी 27002 ").
2014 की गर्मियों में, आईएसओ ने क्लाउड में व्यक्तिगत डेटा की सुरक्षा पर आईएसओ 27018:2015 मानक प्रकाशित किया, और 2015 के अंत में, क्लाउड समाधानों के लिए सूचना सुरक्षा नियंत्रण पर आईएसओ 27017:2015 मानक प्रकाशित किया।
2014 के पतन में, यूरोपीय संसद संख्या 910/2014 का एक नया संकल्प, जिसे ईआईडीएएस कहा जाता है, लागू हुआ। नए नियम उपयोगकर्ताओं को एक मान्यता प्राप्त विश्वसनीय सेवा प्रदाता, तथाकथित टीएसपी (ट्रस्ट सर्विस प्रोवाइडर) के सर्वर पर ईपीसी कुंजी को संग्रहीत करने और उपयोग करने की अनुमति देते हैं।
अक्टूबर 2013 में, यूरोपीय मानकीकरण समिति (सीईएन) ने क्लाउड डिजिटल हस्ताक्षरों के विनियमन के लिए समर्पित तकनीकी विनिर्देश सीईएन/टीएस 419241 "सर्वर साइनिंग का समर्थन करने वाले भरोसेमंद सिस्टम के लिए सुरक्षा आवश्यकताएं" को अपनाया। दस्तावेज़ सुरक्षा अनुपालन के कई स्तरों का वर्णन करता है। उदाहरण के लिए, योग्य इलेक्ट्रॉनिक हस्ताक्षर उत्पन्न करने के लिए आवश्यक "स्तर 2" अनुपालन के लिए मजबूत उपयोगकर्ता प्रमाणीकरण विकल्पों के लिए समर्थन की आवश्यकता होती है। इस स्तर की आवश्यकताओं के अनुसार, उपयोगकर्ता प्रमाणीकरण सीधे हस्ताक्षर सर्वर पर होता है, इसके विपरीत, उदाहरण के लिए, किसी एप्लिकेशन में "स्तर 1" के लिए अनुमत प्रमाणीकरण जो अपनी ओर से हस्ताक्षर सर्वर तक पहुंचता है। इसके अलावा, इस विनिर्देश के अनुसार, एक योग्य इलेक्ट्रॉनिक हस्ताक्षर उत्पन्न करने के लिए उपयोगकर्ता हस्ताक्षर कुंजी को एक विशेष सुरक्षित डिवाइस (हार्डवेयर सुरक्षा मॉड्यूल, एचएसएम) की मेमोरी में संग्रहीत किया जाना चाहिए।
क्लाउड सेवा में उपयोगकर्ता प्रमाणीकरण कम से कम दो-कारक होना चाहिए। एक नियम के रूप में, सबसे सुलभ और उपयोग में आसान विकल्प एक एसएमएस संदेश में प्राप्त कोड के माध्यम से लॉगिन की पुष्टि करना है। उदाहरण के लिए, रूसी बैंकों के अधिकांश व्यक्तिगत आरबीएस खाते लागू किए गए हैं। सामान्य क्रिप्टोग्राफ़िक टोकन के अलावा, स्मार्टफोन पर एक एप्लिकेशन और वन-टाइम पासवर्ड जेनरेटर (ओटीपी टोकन) का भी प्रमाणीकरण के साधन के रूप में उपयोग किया जा सकता है।
अभी के लिए, मैं इस तथ्य के संबंध में एक अंतरिम निष्कर्ष निकाल सकता हूं कि क्लाउड सीईपी अभी भी बन रहे हैं और हार्डवेयर से दूर जाना जल्दबाजी होगी। सिद्धांत रूप में, यह एक प्राकृतिक प्रक्रिया है, जो यूरोप में भी (ओह, बढ़िया!) लगभग 13-14 वर्षों तक चली जब तक कि अधिक या कम सटीक मानक विकसित नहीं हो गए।
जब तक हम अपनी क्लाउड सेवाओं को विनियमित करने वाले अच्छे GOST मानक विकसित नहीं कर लेते, तब तक हार्डवेयर समाधानों के पूर्ण परित्याग के बारे में बात करना जल्दबाजी होगी। बल्कि, इसके विपरीत, वे अब "हाइब्रिड" की ओर बढ़ना शुरू कर देंगे, यानी क्लाउड सिग्नेचर के साथ भी काम करेंगे। क्लाउड के साथ काम करने के लिए यूरोपीय मानकों को पूरा करने वाले कुछ उदाहरण पहले ही लागू किए जा चुके हैं। लेकिन हम इस बारे में एक नई सामग्री में थोड़ा और विस्तार से बात करेंगे।

स्रोत: www.habr.com