러시아와 세계의 클라우드 전자 서명

안녕하세요, 친애하는 독자 여러분!
나는 얼마 동안 디지털 경제 프로그램의 업데이트와 뉴스를 적극적으로 따라왔습니다. 물론 EGAIS 시스템의 내부 직원의 관점에서 보면 수십 년 동안의 과정입니다. 그리고 개발의 관점과 테스트, 롤백 및 추가 구현의 관점에서 모든 종류의 버그에 대한 불가피하고 고통스러운 조정이 이어집니다. 그럼에도 불구하고 문제는 필요하고 중요하며 기한이 지났습니다. 물론 이 모든 재미의 주요 고객이자 동인은 국가입니다. 사실 전 세계가 그렇듯.
모든 프로세스는 오랫동안 디지털화되었거나 진행 중입니다. 여전히 훌륭합니다. 그러나 구별을 위해 메달의 뒷면도 있습니다. 저는 디지털 서명으로 꾸준히 작업하는 사람입니다. 저는 "어제"일 수도 있지만 토큰을 사용하여 전자 서명을 보호하는 "구식"의 신뢰할 수 있고 윈윈하는 방법을 지지합니다. 그러나 디지털화는 모든 것이 오랫동안 "클라우드"에 있었고 CEP도 거기에 가야 하고 매우 빨리 필요하다는 것을 보여줍니다.
지금까지 입법 및 기술 기반 수준에서 가능한 경우 우리나라와 유럽에서 Cloud ES가 어떻게 작동하는지 알아 내려고 노력했습니다. 사실, 이 주제에 대해 이미 하나 이상의 과학 논문이 출판되었습니다. 따라서 그들은 주제 개발에 연결하기 위해이 문제의 전문가를 호출합니다.
클라우드의 CEP가 매력적인 이유는 무엇입니까? 사실 긍정적인 면도 있습니다. 이러한 장점으로 충분합니다. 빠르고 편리합니다. 광고 슬로건처럼 들리겠지만 동의하시겠지만 이것이 클라우드 기반 EDS의 객관적인 특성입니다.
속도는 토큰이나 스마트 카드에 얽매이지 않고 문서에 서명하는 기능에 있습니다. 데스크탑 만 사용하도록 강요하지는 않습니다. 모든 OS 및 브라우저에 대한 XNUMX% 교차 플랫폼 기록. 이는 MAC 시스템에서 ES를 지원하는 데 특정 어려움이 있는 Apple 제품 팬에게 특히 해당됩니다. 전 세계 어디에서나 CA를 선택할 수 있습니다(러시아인도 아님). CEP 하드웨어와 달리 클라우드 컴퓨팅은 소프트웨어 및 하드웨어 호환성의 복잡성을 피합니다. 예, 편리하고 빠릅니다.
그리고 어떻게 그런 아름다움에 유혹을 받지 않을 수 있겠습니까? 악마는 디테일에 있다. 보안에 대해 이야기해 봅시다.
러시아의 "흐린" CEP
클라우드 솔루션의 보안, 특히 디지털 서명은 보안 담당자의 주요 고충 중 하나입니다. 내가 정확히 싫어하는 것은 모든 사람이 오랫동안 클라우드 서비스를 사용해 왔으며 SMS를 사용하면 은행 송금이 훨씬 더 안정적이기 때문에 독자가 나에게 물을 것입니다.
사실, 다시 세부 사항으로 돌아갑니다. Cloud EDS는 논쟁하기 어려운 미래입니다. 하지만 지금은 아닙니다. 이를 위해서는 클라우드 EDS 소유자를 보호할 규제 및 법적 변경이 있어야 합니다.
오늘 우리는 무엇을 가지고 있습니까? 정보 보호 및 데이터 순환에 관한 법률뿐만 아니라 ES, 전자 문서 관리(EDF)의 개념을 정의하는 문서가 많이 있습니다. 특히 문서에서 ES 사용을 규제하는 민법(러시아 연방 민법)을 고려해야 합니다.
63년 06.04.2011월 XNUMX일자 "전자 서명에 관한" 연방법 No. XNUMX-FZ. 다양한 성격의 거래 및 서비스 제공에서 전자 서명 사용의 일반적인 의미를 설명하는 기본 및 기본 법률.
149년 27.07.2006월 XNUMX일자 연방법 No. XNUMX-FZ "정보, 정보 기술 및 정보 보호". 이 문서는 전자 문서 및 모든 관련 세그먼트의 개념을 지정합니다.
EDF의 규제와 관련된 추가 입법 행위가 있습니다.
402년 06.12.2011월 XNUMX일자 연방법 XNUMX-FZ "회계". 입법법은 회계 및 회계 문서에 대한 요구 사항을 전자 형식으로 체계화하도록 규정합니다.
포함 ES가 서명한 문서를 법정에서 증거로 허용하는 러시아 연방 중재 절차법을 고려할 수 있습니다.
암호화 보호 도구에 대한 우리의 표준은 FSB에서 제공하고 적합성 인증서의 발급을 보장하기 때문에 보안 문제를 더 깊이 파고들어야 한다는 생각이 들었습니다. 18월 XNUMX일부터 새로운 GOST가 도입되었습니다. 따라서 클라우드에 저장된 키는 FSTEC 인증서로 직접 보호되지 않습니다. 키 자체의 보호와 "클라우드"로의 보안 진입은 아직 결정되지 않은 초석입니다. 다음으로 유럽 연합의 규제 사례를 살펴보겠습니다. 이는 보다 진보된 보안 시스템을 명확하게 보여줄 것입니다.
클라우드 ES 사용에 대한 유럽 경험
중요한 것부터 시작하겠습니다. ES뿐만 아니라 클라우드 기술에는 명확한 표준이 있습니다. ETSI(European Telecommunications Standards Institute)의 CSC(Cloud Standard Coordination) 그룹의 기반입니다. 그러나 국가별로 데이터 보호 표준에는 여전히 차이가 있습니다.
포괄적인 데이터 보호의 기초는 정보 보안 관리 시스템에 대한 ISO 27001:2013에 따른 공급자에 대한 필수 인증입니다(해당 러시아 GOST R ISO/IEC 27001-2006은 이 표준의 2006 버전을 기반으로 함).
ISO 27017은 ISO 27002에 없는 클라우드에 대한 추가 보안 요소를 제공합니다. 이 표준의 전체 공식 제목은 "클라우드 서비스에 대한 ISO/IEC 27002에 기반한 정보 보안 제어에 대한 실천 강령"("정보 보안에 대한 실천 강령"입니다. 클라우드 서비스에 대한 ISO/IEC 27002 기반 제어").
2014년 여름에 ISO는 클라우드의 개인 데이터 보호에 관한 ISO 27018:2015를, 2015년 말에는 클라우드 솔루션의 정보 보안 제어에 관한 ISO 27017:2015를 발표했습니다.
2014년 가을, eIDAS라고 하는 새로운 유럽 의회 규정 No. 910/2014가 발효되었습니다. 새 규칙을 통해 사용자는 소위 TSP(Trust Service Provider)라고 하는 인증된 신뢰할 수 있는 서비스 제공자의 서버에서 CEP 키를 저장하고 사용할 수 있습니다.
2013년 419241월 유럽 표준화 위원회(CEN)는 클라우드 EDS 규정 전용 기술 사양 CEN/TS 2 "서버 서명을 지원하는 신뢰할 수 있는 시스템에 대한 보안 요구 사항"을 채택했습니다. 이 문서는 여러 수준의 보안 준수에 대해 설명합니다. 예를 들어 적격 전자 서명의 형성에 필요한 "레벨 1"를 준수하는 것은 사용자 인증을 위한 강력한 옵션을 지원하는 것입니다. 이 수준의 요구 사항에 따라 사용자 인증은 서명 서버에서 직접 발생합니다. 예를 들어 자체적으로 서명 서버에 액세스하는 애플리케이션의 "수준 XNUMX"에 허용되는 인증과는 대조적입니다. 또한 본 명세서에 따르면 적격 ES 형성을 위한 사용자 서명키는 특수 보안 장치(하드웨어 보안 모듈, HSM)의 메모리에 저장되어야 한다.
클라우드 서비스의 사용자 인증은 최소 XNUMX단계 이상이어야 합니다. 일반적으로 가장 접근하기 쉽고 사용하기 쉬운 옵션은 SMS 메시지로 받은 코드를 통해 입장을 확인하는 것입니다. 예를 들어 러시아 은행 RBS의 개인 계정 대부분이 구현되었습니다. 일반적인 암호화 토큰 외에도 스마트폰의 애플리케이션과 일회용 암호 생성기(OTP 토큰)도 인증 수단으로 사용할 수 있습니다.
우리나라에서 여전히 클라우드 CEP가 형성되고 있고 철에서 벗어나기에는 너무 이르다는 점에 대해서는 당분간 중간 결과를 요약 할 수 있습니다. 원칙적으로 이것은 유럽에서도 (오, 훌륭합니다!) 다소 정확한 표준이 개발될 때까지 약 13-14년 동안 지속되는 자연스러운 과정입니다.
클라우드 서비스를 규제하는 우수한 GOST를 개발할 때까지 하드웨어 솔루션의 완전한 거부에 대해 이야기하기에는 너무 이릅니다. 오히려 그들은 이제 반대로 "하이브리드", 즉 클라우드 서명으로도 작업하기 시작합니다. 클라우드 작업에 대한 유럽 표준에 해당하는 몇 가지 예가 이미 구현되었습니다. 그러나 이에 대한 자세한 내용은 새 기사에서 확인하십시오.

출처 : habr.com