חתימה אלקטרונית בענן ברוסיה ובעולם

צהריים טובים, קורא יקר!
אני עוקב באופן פעיל אחר העדכונים והחדשות של תוכנית הכלכלה הדיגיטלית כבר זמן מה. מנקודת מבטו של עובד פנימי של מערכת EGAIS, כמובן, התהליך יימשך עשרות שנים. גם מבחינת הפיתוח, וגם מבחינת הבדיקה, החזרה והטמעה נוספת, ואחריה התאמות בלתי נמנעות וכואבות של כל מיני באגים. אף על פי כן, העניין הכרחי, חשוב ודחוף. הלקוח והנהג העיקרי של כל הכיף הזה הוא, כמובן, המדינה. למעשה, בדיוק כמו בכל העולם.
כל התהליכים עברו מזמן לדיגיטל או שהם בדרך אליו. זה עדיין נפלא. עם זאת, יש חסרונות למדליות למצוינות. אני אדם שעובד כל הזמן עם חתימות דיגיטליות. אני תומך אולי בשיטות אמינות ו-win-win של "אתמול", אבל "המיושנות" להגנה על חתימות אלקטרוניות באמצעות אסימונים. אבל הדיגיטליזציה מראה לנו שהכל נמצא ב"עננים" כבר הרבה זמן וגם שם צריך CEP וצריך מהר מאוד.
ניסיתי להבין, ברמת המסגרת החקיקתית והטכנית, במידת האפשר, איך המצב עם חתימות אלקטרוניות בענן כאן ובאירופה. למעשה, יותר מעבודה מדעית אחת כבר פורסמה בנושא זה. לכן אנו מעודדים אנשי מקצוע בעניין זה להצטרף לפיתוח הנושא.
מדוע CEP בענן אטרקטיבי? למעשה, יש יתרונות. יש מספיק מהיתרונות האלה. זה מהיר ונוח. זה נשמע כמו סלוגן פרסומי, תסכימו, אבל אלו הם המאפיינים האובייקטיביים של חתימה דיגיטלית בענן.
המהירות טמונה ביכולת לחתום על מסמכים מבלי להיות קשור לאסימונים או כרטיסים חכמים. לא מחייב אותנו להשתמש רק בשולחן העבודה. מאה אחוז סיפור חוצה פלטפורמות לכל מערכת הפעלה ודפדפן. זה נכון במיוחד לחובבי מוצרי אפל, עבורם יש קשיים מסוימים בתמיכה בחתימות אלקטרוניות במערכת ה-MAC. יציאה מכל מקום בעולם, חופש בחירה של CAs (אפילו שאינם רוסים). בניגוד לחומרת CEP, טכנולוגיות הענן מאפשרות לך להימנע מקשיים עם תאימות התוכנה והחומרה. וזה, כן, נוח, וכן, מהיר.
ואיך אפשר שלא להתפתות ליופי כזה? השטן נמצא בפרטים. בואו נדבר על בטיחות.
"ענן" CEP ברוסיה
אבטחת פתרונות הענן, ובעיקר חתימות דיגיטליות, היא אחת מנקודות הכאב העיקריות של אנשי אבטחה. מה בדיוק אני לא אוהב, ישאל אותי הקורא, כי כולם משתמשים בשירותי ענן כבר הרבה זמן, ועם SMS אמין אפילו יותר לבצע העברה בנקאית.
למעשה, שוב, בואו נחזור לפרטים. חתימה דיגיטלית בענן היא עתיד שקשה להתווכח איתו. אבל לא עכשיו. לשם כך, חייבים להתרחש שינויים רגולטוריים שיגנו על הבעלים של חתימות דיגיטליות בענן.
מה יש לנו היום? ישנם מספר מסמכים המגדירים את המושג חתימה דיגיטלית, ניהול מסמכים אלקטרוני (EDF), וכן חוקים בנושא הגנת מידע והפצת מידע. בפרט, אתה צריך לקחת בחשבון את הקוד האזרחי (הקוד האזרחי של הפדרציה הרוסית), המסדיר את השימוש בחתימות אלקטרוניות במסמכים.
חוק פדרלי מס' 63-FZ "על חתימות אלקטרוניות" מתאריך 06.04.2011/XNUMX/XNUMX. חוק היסוד והמסגרת המתאר את המשמעות הכללית של שימוש בחתימות דיגיטליות בעת ביצוע עסקאות מסוגים שונים ומתן שירותים.
חוק פדרלי מס' 149-FZ "על מידע, טכנולוגיות מידע והגנת מידע מתאריך 27.07.2006 ביולי XNUMX. מסמך זה מפרט את הרעיון של מסמך אלקטרוני ואת כל הקטעים הקשורים אליו.
ישנם פעולות חקיקה נוספות המעורבות בהסדרת EDI
החוק הפדרלי 402-FZ "על חשבונאות" מתאריך 06.12.2011 בדצמבר XNUMX. חוק החקיקה קובע שיטתיות של דרישות למסמכים חשבונאיים וחשבונאיים בצורה אלקטרונית.
כולל אתה יכול לקחת בחשבון את קוד הבוררות של הפדרציה הרוסית, המאפשר מסמכים החתומים בחתימה אלקטרונית כראיה בבית המשפט.
וכאן עלה בדעתי להעמיק בנושא האבטחה, כי הסטנדרטים שלנו לאמצעי הגנה קריפטו מסופקים על ידי ה-FSB ומבטיחים הנפקת תעודות התאמה. ב-18 בפברואר הוצגו תקני GOST חדשים. לפיכך, מפתחות המאוחסנים בענן אינם מוגנים ישירות על ידי תעודות FSTEC. הגנה על המפתחות עצמם וכניסה מאובטחת ל"ענן" הן אבני היסוד שעדיין לא פתרנו. לאחר מכן, אסתכל על הדוגמה של רגולציה באיחוד האירופי, שתדגים בבירור מערכת אבטחה מתקדמת יותר.
ניסיון אירופאי בשימוש בחתימות דיגיטליות בענן
נתחיל מהעיקר – טכנולוגיות ענן, לא רק לחתימות דיגיטליות יש סטנדרט ברור. הבסיס הוא קבוצת ה-Cloud Standard Coordination (CSC) של מכון התקנים האירופי לתקשורת (ETSI). עם זאת, עדיין קיימים הבדלים בתקני הגנת מידע בין מדינות שונות.
הבסיס להגנת מידע מקיפה הוא אישור חובה לספקים לפי ISO 27001:2013 למערכות ניהול אבטחת מידע (התקן הרוסי המקביל GOST R ISO/IEC 27001-2006 מבוסס על גרסת 2006 של תקן זה).
ISO 27017 מספק רכיבי אבטחה נוספים לענן שחסרים ב-ISO 27002. השם הרשמי המלא של תקן זה הוא "קוד נוהג לבקרות אבטחת מידע המבוסס על ISO/IEC 27002 לשירותי ענן." ISO/IEC 27002 לשירותי ענן ").
בקיץ 2014 פרסמה ISO את תקן ISO 27018:2015 להגנה על נתונים אישיים בענן, ובסוף 2015, ISO 27017:2015 על בקרות אבטחת מידע עבור פתרונות ענן.
בסתיו 2014, נכנסה לתוקף החלטה חדשה של הפרלמנט האירופי מס' 910/2014, בשם eIDAS. הכללים החדשים מאפשרים למשתמשים לאחסן ולהשתמש במפתח ה-EPC בשרת של ספק שירות מהימן מוסמך, מה שנקרא TSP (Trust Service Provider).
באוקטובר 2013, הוועדה האירופית לתקינה (CEN) אימצה את המפרט הטכני CEN/TS 419241 "דרישות אבטחה למערכות אמינות התומכות בחתימת שרתים", המוקדש לרגולציה של חתימות דיגיטליות בענן. המסמך מתאר מספר רמות של תאימות אבטחה. לדוגמה, תאימות "רמה 2" הנדרשת ליצירת חתימה אלקטרונית מוסמכת דורשת תמיכה באפשרויות אימות משתמש חזקות. בהתאם לדרישות של רמה זו, אימות המשתמש מתרחש ישירות על שרת החתימות, בניגוד למשל לאימות המותרת ל"רמה 1" באפליקציה הניגשת לשרת החתימות בשמה. כמו כן, בהתאם למפרט זה, מפתחות חתימת משתמש להפקת חתימה אלקטרונית מוסמכת חייבים להיות מאוחסנים בזיכרון של התקן מאובטח מיוחד (מודול אבטחת חומרה, HSM).
אימות המשתמש בשירות ענן חייב להיות דו-גורמי לפחות. ככלל, האפשרות הנגישה והקלה ביותר לשימוש היא אישור כניסה באמצעות קוד שהתקבל בהודעת SMS. לדוגמה, רוב חשבונות ה-RBS האישיים של בנקים רוסיים יושמו. בנוסף לאסימוני ההצפנה הרגילים, אפליקציה בסמארטפון ומחוללי סיסמאות חד-פעמיים (אסימוני OTP) יכולים לשמש גם כאמצעי אימות.
לעת עתה, אני יכול להסיק מסקנת ביניים בנוגע לעובדה ש-CEPs בענן עדיין מתגבשים וזה מוקדם מדי להתרחק מהחומרה. באופן עקרוני מדובר בתהליך טבעי, שגם באירופה (אוי, נהדר!) נמשך כ-13-14 שנים עד שפותחו סטנדרטים מדויקים יותר או פחות.
עד שנפתח תקני GOST טובים המסדירים את שירותי הענן שלנו, מוקדם מדי לדבר על נטישה מוחלטת של פתרונות חומרה. במקום זאת, הם יתחילו כעת, להיפך, להתקדם לכיוון "היברידיות", כלומר לעבוד גם עם חתימות ענן. כמה דוגמאות שעומדות בסטנדרטים האירופיים לעבודה עם Cloud כבר יושמו. אבל נדבר על זה קצת יותר בפירוט בחומר חדש.

מקור: www.habr.com