RSS лента

Визначення

Аутентифікація – це процедура, що перевіряє, чи має користувач із пред’явленим ідентифікатором право на доступ до ресурсу. Якщо пояснювати ще простіше — перевірка відповідності імені входу й пароля. Аутентифікація виконується програмним модулем, що перебуває безпосередньо на комп’ютері. Спочатку модуль запитує пароль користувача (наприклад), після чого користувач уводить свою аутентифікаційну інформацію, яка рівняється з еталоном. На підставі результатів цього порівняння юзер уважається пізнаним або ні.

Авторизація – в ​​інформаційних технологіях – надання певних повноважень особі або групі осіб на виконання деяких дій у системі обробки даних. За допомогою авторизації встановлюються і реалізуються права доступу до ресурсів.

Для чого застосовується електронний цифровий підпис?

Метою застосування систем цифрового підпису є автентифікація інформації — захист учасників інформаційного обміну від нав’язування хибної інформації, встановлення факту модифікації інформації, яка передається або зберігається, й отримання гарантії її справжності, а також вирішення питання про авторство повідомлень. Система цифрового підпису припускає, що кожен користувач мережі має свій таємний ключ, який використовується для формування підпису, а також відповідний цьому таємному ключу відкритий ключ, відомий решті користувачів мережі й призначений для перевірки підпису. Цифровий підпис обчислюється на основі таємного ключа відправника інформації й власне інформаційних бітів документу (файлу). Спосіб обчислення цифрового підпису такий, що знання відкритого ключа не може призвести до підробки підпису.

Що таке «сертифікат ключа» ? Для чого він призначений?

Сертифікат являє собою електронний документ, який пов’язує дані для перевірки електронних підписів з певною особою, підтверджує ідентичність цієї особи й завіряється електронним цифровим підписом надавача послуг — центром сертифікації ключів. Посилений сертифікат являє собою сертифікат, який відповідає спеціальним вимогам Закону України “Про електронний цифровий підпис” щодо обов’язкових полів.

Чому сертифікат має термін дії?

     Як мінімум, у сертифікаті має бути подана інформація, характер та обсяг якої визначається документом RFC 2459 (Internet X.509 Public Key Infrastructure Certificate and CRL Profile). Він може містити інші відомості, наприклад поштові адреси, встановлені витратні ліміти або права доступу власника сертифікату. Іншими словами, сертифікат може містити будь-яку інформацію, з якою здатен працювати центр сертифікації.

     На виданий сертифікат встановлюється термін дії. Наприклад, він може бути чинним протягом 365 днів. По закінченню цього терміну його власнику видається новий сертифікат. Існує непряма залежність корисного терміну дії від інформації, яку містить сертифікат. Чим більше інформації містить цей документ, тим менше корисний термін його дії. Це пов’язано з тим, що інформація може змінюватися, власнику доведеться видати новий сертифікат до того, як завершується термін дії старого. До того ж будь-яка інформація, яку містить сертифікат, стає загальнодоступною. Таким чином, здоровий глузд підказує, що до сертифікату необхідно включати як можна менше інформації. Процедура відкликання сертифікату є невід’ємною частиною процесу сертифікації. Існує багато причин для відкликання сертифікату до закінчення терміну його дії. Наприклад, його власник змінив місце роботи або втратив свій цифровий ключ.

     У таких випадках сертифікат необхідно відкликати достроково, щоб його неможливо було використати випадково або із зловмисними намірами.

Як відбувається накладання й перевірка підпису? Чи змінюється при цьому документ?

     На відміну від рукописного тексту, електронний документ дуже легко підлягає різним, непомітним для отримувача документу, змінам. Тому часто необхідно не зашифровувати зміст інформаційного повідомлення, а забезпечити гарантії справжності авторства й визначити, — чи не вносилися несанкціоновані автором зміни до інформації. З цією метою використовується алгоритм цифрового підпису. За допомогою цифрового підпису інформація зашифровується й залишається доступною будь-якому користувачу, який має до неї доступ. Для визначення справжності автора та змісту використовується спеціальна функція, що називається «дайджест» або хеш-функція.

     Процес підписання документу виглядає наступним чином:

— на першому кроці будується спеціальна функція, яка нагадує контрольну суму — хеш-функція, вона ідентифікує зміст документу;

— на другому кроці автор документу шифрує зміст хеш-функції своїм персональним закритим ключем. Зашифрована хеш-функція поміщується в те саме повідомлення, що й сам документ. Отримане таким чином повідомлення може зберігатися на будь-якому носієві або пересилатися електронною поштою. Хеш-функція має невеликий розмір й збільшує розмір повідомлення незначною мірою.

     При отриманні підписаного електронним підписом документу користувач може пересвідчитися в його справжності. Алгоритм верифікації електронного підпису полягає у наступному:

— на першому етапі отримувач повідомлення будує власний варіант хеш-функції підписаного документу;

— на другому етапі відбувається розшифрування хеш-функції, яка міститься у повідомленні. На третьому етапі відбувається порівняння двох хеш-функцій. Їх співпадіння гарантує одночасно справжність змісту документу та його авторство.

Чи можливо підробити відкритий ключ?

     Якщо розшифрування інформації без знання ключа — досить непроста справа, то підроблення відкритого ключа є не таким складним завданням. Достатньо просто повідомити потенційному відправнику таємної інформації підроблений ключ, перехопивши переслане таємне повідомлення, й отримати доступ до таємної інформації. Можливо також поширити дезінформацію від імені іншої особи, що може призвести до різних негативних наслідків.

     Природно, що зловмисник не зможе довго користуватися підробленим ключем. Однак цього може виявитися достатньо для того, щоб користувачу, ключ якого було підроблено, в подальшому шифрування вже не знадобилося. Таким чином, вкрай важливо та необхідно пересвідчитися у справжності отриманого відкритого ключа.

     Засвідчити чинність ключа користувача, отриманого Вами, може будь-хто, кому Ви безумовно довіряєте. Саме так це відбувається у випадку звичайних текстових повідомлень. Ваша довірена особа може завірити Вас в справжності підпису під повідомленням, після чого Ви зможете самі визначити, чи справжній цей підпис.

     З використанням сучасних алгоритмів цифрового підпису забезпеченню гарантії справжності відкритих ключів служить сертифікат ключа.

Чому необхідно використовувати саме сертифіковані засоби? Чи не можна використовувати безкоштовні несертифіковані засоби?

     Простий аналіз інформаційних ризиків, які виникають при використанні несертифікованих засобів криптографічного захисту інформації (до яких, безумовно, відносяться засоби електронного цифрового підпису) без будь-яких обумовлень, вже дає достатньо підстав зробити вибір на користь застосування сертифікованих Державною службою спеціального зв’язку та захисту інформації України  засобів для здійснення ЕЦП.

     Власне ризик фальсифікації електронного підпису навряд чи можна вважати значним. По-перше, більшість несертифікованих засобів ЕЦП використовуються вже досить давно й на практиці довели свою надійність; по-друге, навіть для того, щоб фальсифікувати підпис, який накладається за допомогою будь-якого недосконалого алгоритму, можуть знадобитися досить значні витрати. Між тим є менш затратні способи компрометації системи, ніж спроби прямого злому.

     Перший ризик полягає в тому, що учасник системи документообігу може, посилаючись на те, що засоби ЕЦП не сертифіковані (а значить, не мають гарантій криптографічної стійкості), заявити, що його підпис було підроблено, й відкликати таким чином електронний документ із своїм підписом. Відзначимо, що для цього зовсім не потрібно, щоб підробка дійсно мала місце! Віртуальний, за великим рахунком, ризик фальсифікації ЕЦП породжує абсолютно реальний ризик відмови від ЕЦП.

     З цією проблемою в системах документообігу, які використовують несертифіковані засоби, справляються єдиним чином: укладаючи додаткові угоди між учасниками документообігу, в яких сторони визнають даний засіб ЕЦП як достатній для забезпечення юридичної сили підписаних ЕЦП документів. Підписуючи таку угоду, учасники документообігу фактично визнають, що даний засіб ЕЦП забезпечує високий рівень криптостійкості, підпис не може бути підробленим, а тому вони добровільно відмовляються від можливості надати рекламацію у зв’язку з фальсифікацією підпису. Проблема в тому, що підписання такої угоди вимагає достатньої сміливості — адже рядовий учасник документообігу навряд чи здатен самостійно провести експертизу й пересвідчитися в істинності того твердження, під яким він підписується.

     Інший ризик, що пов’язаний з можливістю відмовитися від авторства підписаного документу, ще серйозніший. Річ у тім, що несертифікований засіб ЕЦП ніхто не перевіряв, по-перше, з точки зору якості виконання основної функції (й на цьому засновано описаний вище ризик), а по-друге, з точки зору відсутності бічної дії. Автор завіреного ЕЦП електронного документу може в принципі спробувати відмовитися від змісту цього документу, стверджуючи, що засіб ЕЦП неадекватно перетворив запропонований йому файл: не тільки поставив ЕЦП, але й «випадково» щось ще змінив у файлі в силу помилки у програмі. Скоріше за все це твердження хибне. Досить малоймовірно, щоб випробуваний на практиці засіб ЕЦП дійсно дав такий збій. Ризик неадекватного перетворення вхідного файлу — суто віртуальний. В той же час, заснований на ньому ризик відмови від змісту файлу цілком реальний. Автор стверджує, що програма дала збій й на виході отримано правильно завірений ЕЦП файл, відмінний від того, який було передано програмі на вхід. Це неправда,  але як це довести?

     За використання сертифікованих засобів криптографічного захисту інформації гарантом якості виконання основної функції й відсутності бічної дії виступає Державна служба спеціального зв’язку та захисту інформації України. А при використанні несертифікованих засобів криптографічного захисту інформації таких гарантій не може дати ніхто.

Для чого необхідно два ключі?

     На відміну від шифрування симетричним ключем в асиметричних системах для шифрування й розшифрування інформації використовують два різних ключі, кожен з яких не може бути отриманим з іншого. Один ключ використовується для шифрування, інший — для розшифрування. Принцип дії систем з відкритим ключем засновано на застосуванні односторонніх функцій з лазівкою (потайним ходом).

     Генерація ключів здійснюється користувачем системи, який залишає у себе ключ, який в подальшому буде використовувати для розшифровки інформації (таємний ключ), а інший ключ, який застосовується для шифрування інформації (відкритий ключ), широко розповсюджується всім, кому він необхідний. Даний ключ не може бути використаний для розшифрування інформації, тому не має сенсу обмежувати його розповсюдження.

     За допомогою відкритого ключа отримувача інформації, інші користувачі системи можуть зашифровувати необхідну інформацію, й ніхто, крім отримувача не зможе розшифрувати зміст, так як закритий ключ, який для цього необхідний, наявний лише в розпорядженні отримувача інформації.

     У свою чергу, алгоритми з відкритим ключем забезпечують більш високий ступень таємності ключів, бо закритий ключ отримувача інформації взагалі ніколи не полишає його персонального інформаційного архіву. У зв’язку з цим, на практиці, при шифруванні персональної інформації використовуються алгоритми з симетричним ключем, а при шифруванні інформації, що розповсюджується, комбінація обох алгоритмів.

     На відміну від шифрування, асиметричні системи електронного цифрового підпису базуються на таємному ключі для формування підпису та відкритому ключі для його перевірки. Таким чином, автор підпису завжди зберігає свій ключ в таємниці і ніхто не може підписати за нього електронний документ. У цей момент  будь-хто може за допомогою відкритого ключа пересвідчитися у чинності такого підпису і його авторстві.

Хто займається видачею сертифікатів електронного цифрового підпису (ЕЦП) в Україні? Який механізм отримання ЕЦП?

     Згідно Закону України «Про електронний цифровий підпис», послуги ЕЦП, у тому числі й видачу сертифікатів відкритих ключів, здійснює центр сертифікації ключів.

     Центром сертифікації ключів (далі — ЦСК) може бути юридична чи фізична особа – суб’єкт підприємницької діяльності, який надає послуги в сфері ЕЦП і засвідчив свій відкритий ключ в органі технічного управління сфери ЕЦП — центральному засвідчувальному органі. В загальному вигляді визначається два типи надавачів послуг в сфері ЕЦП — центр сертифікації ключів й акредитований центр сертифікації ключів. Акредитованим ЦСК є центр сертифікації, який пройшов добровільну процедуру акредитації, що підтверджує його здатність виконувати зобов’язання щодо обслуговування посилених сертифікатів. Додатково, до обов’язків і вимог встановленим Законом для ЦСК, акредитований ЦСК повинен використовувати для надання послуг в сфері цифрового підпису лише надійні засоби ЕЦП. Надійним вважається засіб ЕЦП, який має сертифікат відповідності або позитивний експертний висновок за результатами державної експертизи в сфері криптографічного захисту інформації.

     У загальному вигляді система ЕЦП функціонує наступним чином:

— Фізична або юридична особа, яка бажає стати учасником системи, в термінах Закону — підписувачем, звертається безпосередньо в ЦСК (акредитований ЦСК) або до його повноважного представника, який у ході процедури реєстрації з певним ступенем достовірності здійснює ідентифікацію заявника й отриманих від нього даних, необхідних для формування сертифікату (посиленого сертифікату).

— ЦСК формує сертифікат відкритого ключа користувача й завіряє його своїм підписом.

— Новий сертифікат переміщується до бази даних дійсних сертифікатів ЦСК й стає доступним для всіх користувачів по загальнодоступних телекомунікаційних каналах.

     Разом із підписаним документом отримувачу може направлятися сертифікат відправника та/або, отримавши повідомлення, отримувач звертається до бази даних сертифікатів, за ідентифікаційними даними відправника отримує його сертифікат і перевіряє статус цього сертифікату (чинний, заблокований, скасований). Якщо сертифікат дійсний на момент перевірки ЕЦП, з отриманого сертифікату вилучається відкритий ключ відправника й виконується перевірка його підпису. Слід відмітити, що клієнтське програмне забезпечення, яке виконує формування й перевірку ЦЕП, проводить ці операції автоматизовано й абсолютно прозоро для користувачів.

Добавить комментарий

Заполните поля или щелкните по значку, чтобы оставить свой комментарий:

Логотип WordPress.com

Для комментария используется ваша учётная запись WordPress.com. Выход / Изменить )

Фотография Twitter

Для комментария используется ваша учётная запись Twitter. Выход / Изменить )

Фотография Facebook

Для комментария используется ваша учётная запись Facebook. Выход / Изменить )

Google+ photo

Для комментария используется ваша учётная запись Google+. Выход / Изменить )

Connecting to %s

%d такие блоггеры, как: