रूस र संसारमा क्लाउड इलेक्ट्रोनिक हस्ताक्षर

शुभ दिउँसो, प्रिय पाठक!
मैले केही समयदेखि डिजिटल इकोनोमी कार्यक्रमको अपडेट र समाचारलाई सक्रिय रूपमा पछ्याइरहेको छु। EGAIS प्रणालीको आन्तरिक कर्मचारीको दृष्टिकोणबाट, अवश्य पनि, प्रक्रिया दशकौंसम्म रहनेछ। दुबै विकासको दृष्टिकोणबाट, र परीक्षण, रोलब्याक र थप कार्यान्वयनको दृष्टिकोणबाट, सबै प्रकारका बगहरूको अपरिहार्य र पीडादायी समायोजनहरू पछि। तैपनि, मुद्दा आवश्यक, महत्त्वपूर्ण र अत्यावश्यक छ। यो सबै मजाको मुख्य ग्राहक र चालक राज्य हो। वास्तवमा, संसारभर जस्तै।
सबै प्रक्रियाहरू लामो समयदेखि डिजिटलमा सरेका छन् वा यसको बाटोमा छन्। यो अझै अद्भुत छ। यद्यपि, उत्कृष्टताका लागि पदकका नकारात्मक पक्षहरू छन्। म निरन्तर डिजिटल हस्ताक्षर संग काम गर्ने व्यक्ति हुँ। म सायद "हिजो" को समर्थक हुँ, तर टोकनहरू प्रयोग गरेर इलेक्ट्रोनिक हस्ताक्षरहरू सुरक्षित गर्ने "पुरानो जमाना" भरपर्दो र जित्ने विधिहरू। तर डिजिटलाइजेसनले हामीलाई देखाउँदछ कि सबै कुरा लामो समयदेखि "क्लाउड" मा रहेको छ र CEP पनि त्यहाँ आवश्यक छ र धेरै चाँडो आवश्यक छ।
मैले विधायी र प्राविधिक ढाँचाको स्तरमा, जहाँ सम्भव छ, यहाँ र युरोपमा क्लाउड इलेक्ट्रोनिक हस्ताक्षरहरूसँग कसरी चीजहरू खडा छन् भनेर पत्ता लगाउने प्रयास गरें। वास्तवमा, यस विषयमा पहिले नै एक भन्दा बढी वैज्ञानिक शोध प्रबंध प्रकाशित भइसकेका छन्। त्यसकारण, हामी यस विषयमा पेशेवरहरूलाई विषयको विकासमा सामेल हुन प्रोत्साहित गर्छौं।
क्लाउडमा CEP किन आकर्षक छ? वास्तवमा, त्यहाँ फाइदाहरू छन्। यी फाइदाहरू पर्याप्त छन्। यो छिटो र सुविधाजनक छ। यो एक विज्ञापन नारा जस्तो लाग्दछ, तपाईं सहमत हुनुहुनेछ, तर यी क्लाउड डिजिटल हस्ताक्षरको उद्देश्य विशेषताहरू हुन्।
गति टोकन वा स्मार्ट कार्डमा बाँधिएको बिना कागजातहरूमा हस्ताक्षर गर्ने क्षमतामा निहित छ। हामीलाई डेस्कटप मात्र प्रयोग गर्न बाध्य गर्दैन। कुनै पनि OS र ब्राउजरहरूको लागि एक सय प्रतिशत क्रस-प्लेटफर्म कथा। यो विशेष गरी एप्पल उत्पादनहरु को प्रशंसकहरु को लागी साँचो हो, जसको लागि MAC प्रणाली मा इलेक्ट्रोनिक हस्ताक्षरहरु को समर्थन मा केहि कठिनाइहरु छन्। संसारको कुनै पनि ठाउँबाट बाहिर निस्कनुहोस्, CAs को छनौटको स्वतन्त्रता (गैर-रूसीहरू पनि)। CEP हार्डवेयरको विपरीत, क्लाउड टेक्नोलोजीहरूले तपाईंलाई सफ्टवेयर र हार्डवेयरको अनुकूलतामा कठिनाइहरूबाट बच्न अनुमति दिन्छ। कुन, हो, सुविधाजनक छ, र, हो, छिटो।
र कसरी यस्तो सुन्दरता द्वारा मोहित हुन सक्दैन? शैतान विवरणमा छ। सुरक्षाको कुरा गरौं।
रूस मा "क्लाउड" CEP
क्लाउड समाधानहरूको सुरक्षा, र विशेष गरी डिजिटल हस्ताक्षरहरू, सुरक्षा पेशेवरहरूको लागि मुख्य पीडा बिन्दुहरू मध्ये एक हो। मलाई के मनपर्दैन, पाठकले मलाई सोध्नेछ, किनकि सबैजनाले लामो समयदेखि क्लाउड सेवाहरू प्रयोग गर्दै आएका छन्, र एसएमएसको साथ यो बैंक स्थानान्तरण गर्न अझ बढी भरपर्दो छ।
वास्तवमा, फेरि, विवरणहरूमा फर्कौं। क्लाउड डिजिटल हस्ताक्षर एक भविष्य हो जुन बहस गर्न गाह्रो छ। तर अहिले होइन। यो गर्नको लागि, नियामक परिवर्तनहरू हुनुपर्दछ जसले क्लाउड डिजिटल हस्ताक्षरहरूको मालिकलाई सुरक्षित गर्दछ।
आज हामीसँग के छ? त्यहाँ डिजिटल हस्ताक्षर, इलेक्ट्रोनिक कागजात व्यवस्थापन (EDF), साथै सूचना सुरक्षा र डाटा सर्कुलेशन सम्बन्धी कानूनहरूको अवधारणा परिभाषित गर्ने कागजातहरू छन्। विशेष गरी, तपाईंले नागरिक संहिता (रूसी संघको नागरिक संहिता) लाई ध्यानमा राख्नु पर्छ, जसले कागजातहरूमा इलेक्ट्रोनिक हस्ताक्षरहरूको प्रयोगलाई विनियमित गर्दछ।
संघीय कानून नम्बर 63-FZ "इलेक्ट्रोनिक हस्ताक्षरमा" मिति 06.04.2011/XNUMX/XNUMX। आधारभूत र ढाँचा कानून जसले विभिन्न प्रकारको लेनदेन गर्दा र सेवाहरू प्रदान गर्दा डिजिटल हस्ताक्षर प्रयोग गर्ने सामान्य अर्थ वर्णन गर्दछ।
संघीय कानून नं. 149-FZ "सूचना, सूचना प्रविधि र सूचना संरक्षण मिति जुलाई 27.07.2006, XNUMX मा। यो कागजातले इलेक्ट्रोनिक कागजात र सबै सम्बन्धित खण्डहरूको अवधारणा निर्दिष्ट गर्दछ।
त्यहाँ अतिरिक्त विधायी कार्यहरू छन् जुन EDI को नियमनमा संलग्न छन्
संघीय कानून 402-FZ "लेखामा" डिसेम्बर 06.12.2011, XNUMX मा। विधायी ऐनले इलेक्ट्रोनिक फारममा लेखा र लेखा कागजातहरूको लागि आवश्यकताहरूको व्यवस्थितीकरणको लागि प्रदान गर्दछ।
समावेश तपाईले रूसी संघको मध्यस्थता प्रक्रियात्मक कोडलाई ध्यानमा राख्न सक्नुहुन्छ, जसले अदालतमा प्रमाणको रूपमा इलेक्ट्रोनिक हस्ताक्षरद्वारा हस्ताक्षर गरिएका कागजातहरूलाई अनुमति दिन्छ।
र यो यहाँ थियो कि मलाई सुरक्षाको मुद्दामा गहिरो अध्ययन गर्न आयो, किनकि क्रिप्टो-सुरक्षा साधनहरूको लागि हाम्रो मापदण्डहरू FSB द्वारा प्रदान गरिएको छ र अनुरूपता प्रमाणपत्रहरू जारी गर्ने सुनिश्चित गर्दछ। फेब्रुअरी 18 मा, नयाँ GOST मापदण्डहरू पेश गरियो। यसरी, क्लाउडमा भण्डारण गरिएका कुञ्जीहरू प्रत्यक्ष रूपमा FSTEC प्रमाणपत्रहरूद्वारा सुरक्षित हुँदैनन्। कुञ्जीहरू आफैं सुरक्षित गर्ने र "क्लाउड" मा सुरक्षित प्रवेश गर्ने आधारहरू हुन् जुन हामीले अहिलेसम्म समाधान गरेका छैनौं। अर्को, म युरोपेली संघमा नियमनको उदाहरण हेर्नेछु, जसले स्पष्ट रूपमा अझ उन्नत सुरक्षा प्रणाली प्रदर्शन गर्नेछ।
क्लाउड डिजिटल हस्ताक्षर प्रयोग मा युरोपेली अनुभव
मुख्य कुराको साथ सुरू गरौं - क्लाउड टेक्नोलोजीहरू, न केवल डिजिटल हस्ताक्षरहरूमा स्पष्ट मानक छ। आधार युरोपेली दूरसंचार मानक संस्थान (ETSI) को क्लाउड मानक समन्वय (CSC) समूह हो। यद्यपि, विभिन्न देशहरूमा डेटा सुरक्षा मापदण्डहरूमा अझै पनि भिन्नताहरू छन्।
विस्तृत डेटा सुरक्षाको आधार भनेको सूचना सुरक्षा व्यवस्थापन प्रणालीहरूको लागि ISO 27001: 2013 अनुसार प्रदायकहरूको लागि अनिवार्य प्रमाणीकरण हो (सम्बन्धित रूसी GOST R ISO/IEC 27001-2006 यस मानकको 2006 संस्करणमा आधारित छ)।
ISO 27017 ले ISO 27002 बाट छुटेका क्लाउडका लागि अतिरिक्त सुरक्षा तत्वहरू प्रदान गर्दछ। यस मानकको पूर्ण आधिकारिक नाम हो "क्लाउड सेवाहरूको लागि ISO/IEC 27002 मा आधारित सूचना सुरक्षा नियन्त्रणहरूको लागि अभ्यास संहिता।" क्लाउड सेवाहरूको लागि ISO/IEC 27002 ")
2014 को गर्मी मा, ISO ले क्लाउड मा व्यक्तिगत डेटा को सुरक्षा मा ISO 27018: 2015 मानक प्रकाशित गर्यो, र 2015 को अन्त मा, क्लाउड समाधान को लागी सूचना सुरक्षा नियन्त्रण मा ISO 27017: 2015।
2014 को पतनमा, युरोपेली संसद नम्बर 910/2014 को नयाँ संकल्प, eIDAS भनिन्छ, लागू भयो। नयाँ नियमहरूले प्रयोगकर्ताहरूलाई एक मान्यता प्राप्त विश्वसनीय सेवा प्रदायक, तथाकथित TSP (ट्रस्ट सेवा प्रदायक) को सर्भरमा EPC कुञ्जी भण्डारण गर्न र प्रयोग गर्न अनुमति दिन्छ।
अक्टोबर 2013 मा, मानकीकरणको लागि यूरोपीयन समिति (CEN) ले क्लाउड डिजिटल हस्ताक्षरहरूको नियमनमा समर्पित CEN/TS 419241 "विश्वसनीय प्रणाली सपोर्टिङ सर्भर साइनिङका लागि सुरक्षा आवश्यकताहरू" लाई अपनायो। कागजातले सुरक्षा अनुपालनको धेरै स्तरहरू वर्णन गर्दछ। उदाहरणका लागि, योग्य इलेक्ट्रोनिक हस्ताक्षर उत्पन्न गर्न आवश्यक "स्तर 2" अनुपालनलाई बलियो प्रयोगकर्ता प्रमाणीकरण विकल्पहरूको लागि समर्थन चाहिन्छ। यस स्तरको आवश्यकताहरू अनुसार, प्रयोगकर्ता प्रमाणीकरण सिधै हस्ताक्षर सर्भरमा हुन्छ, यसको विपरीत, उदाहरणका लागि, आफ्नो तर्फबाट हस्ताक्षर सर्भर पहुँच गर्ने अनुप्रयोगमा "स्तर १" को लागि अनुमति दिइएको प्रमाणीकरणमा। साथै, यस विशिष्टता अनुसार, योग्य इलेक्ट्रोनिक हस्ताक्षर उत्पन्न गर्न प्रयोगकर्ता हस्ताक्षर कुञ्जीहरू एक विशेष सुरक्षित उपकरण (हार्डवेयर सुरक्षा मोड्युल, HSM) को मेमोरीमा भण्डारण गरिनु पर्छ।
क्लाउड सेवामा प्रयोगकर्ता प्रमाणीकरण कम्तिमा दुई-कारक हुनुपर्छ। नियमको रूपमा, सबैभन्दा पहुँचयोग्य र प्रयोग गर्न सजिलो विकल्प भनेको एसएमएस सन्देशमा प्राप्त कोड मार्फत लगइन पुष्टि गर्नु हो। उदाहरण को लागी, रूसी बैंकहरु को व्यक्तिगत RBS खाताहरु को अधिकांश लागू गरिएको छ। सामान्य क्रिप्टोग्राफिक टोकनहरूको अतिरिक्त, स्मार्टफोनमा एउटा अनुप्रयोग र एक-पटक पासवर्ड जनरेटरहरू (OTP टोकनहरू) पनि प्रमाणीकरणको माध्यमको रूपमा प्रयोग गर्न सकिन्छ।
अहिलेको लागि, म क्लाउड सीईपीहरू अझै भर्खरै गठन भइरहेको तथ्यको सन्दर्भमा अन्तरिम निष्कर्ष निकाल्न सक्छु र हार्डवेयरबाट टाढा जान धेरै चाँडो छ। सिद्धान्तमा, यो एक प्राकृतिक प्रक्रिया हो, जुन युरोपमा पनि (ओह, महान!) लगभग 13-14 वर्षसम्म चलेको थियो जबसम्म कम वा कम सटीक मापदण्डहरू विकसित भएनन्।
हामीले हाम्रा क्लाउड सेवाहरू नियमन गर्ने राम्रो GOST मापदण्डहरू विकास नगरेसम्म, हार्डवेयर समाधानहरूको पूर्ण परित्यागको बारेमा कुरा गर्न धेरै चाँडो हुनेछ। बरु, तिनीहरू अब, यसको विपरित, "हाइब्रिडहरू" तिर जान थाल्छन्, अर्थात्, क्लाउड सिग्नेचरको साथ काम गर्दै। क्लाउडसँग काम गर्ने युरोपेली मापदण्डहरू पूरा गर्ने केही उदाहरणहरू पहिले नै लागू भइसकेका छन्। तर हामी यसको बारेमा नयाँ सामग्रीमा थोरै थप विवरणमा कुरा गर्नेछौं।

स्रोत: www.habr.com