8.Криптография
Система СЭД может использовать криптографическое шифрование при передаче пакетов данных и электронно-цифровую подпись (ЭЦП) документов, которыми абоненты СЭД обмениваются между собой. Шифрование защищает данные от НСД, ЭЦП однозначно удостоверяет авторство данных и защищает документ от изменения.
Клиент использует один или несколько комплектов ключей. Каждый комплект состоит из закрытого ключа и сертификата (открытого ключа) клиента и сертификата (открытого ключа) сервера. Клиент не может работать в системе в части приема/отправки документов на сервер, не имея комплекта ключей.
Каждый документ, передаваемый на сервер, должен быть подписан требуемым количеством (до пяти) электронно-цифровых подписей. При приеме документа сервер проверяет верность электронных подписей.
8.1.Общая информация о комплекте ключей
Система СЭД для защиты информации использует библиотеку криптографических преобразований (СКЗИ) КриптоПро CSP 2.0 [build 2049] или CSP 3.0, при работе которой для реализации задач формирования/проверки цифровой подписи и шифрации/расшифровки данных используются так называемые ключевые пары, состоящие из двух связанных между собой ключей: открытого и закрытого.
Закрытый ключ – уникальная последовательность символов, известная владельцу сертификата ключа подписи и предназначенная для создания в электронном документе ЭЦП с использованием средств ЭЦП. Закрытый ключ хранится на носителе ключевой информации и является конфиденциальной информацией. За защиту данного ключа от несанкционированного копирования несет ответственность владелец ключа. При выдаче набора ключей пользователю системы, последний должен быть поставлен в известность относительно правил хранения закрытых ключей и недопустимости доступа третьих лиц к носителю закрытого ключа.
Второй частью ключевой пары является открытый ключ – уникальная последовательность символов, соответствующая секретному ключу ЭЦП, доступная всем пользователям и предназначенная для подтверждения, с использованием средств ЭЦП подлинности ЭЦП пользователя в ЭД. Открытый ключ предназначен для проверки корректности ЭЦП. Принадлежность открытого ключа пользователю системы подтверждается сертификатом ключа подписи. Сертификат ключа подписи – документ на бумажном носителе или электронный документ с ЭЦП Уполномоченного удостоверяющего центра (УУЦ), включающий в себя открытый ключ ЭЦП и выдаваемый УУЦ пользователю для подтверждения подлинности ЭЦП пользователя и идентификации владельца.
Открытый ключ не является конфиденциальной информацией и может распространяться по открытым каналам связи без дополнительной защиты.
Каждая ключевая пара, используемая в системе, характеризуется уникальным идентификатором – UIDом.
Ключевая пара может создаваться на сервере или на АРМ (если установлен Центр Авторизации) – подробнее об этом описано в п. 8.3.1 Генерация закрытого ключа.
Срок годности сертификата определяется автоматически при установке сертификата. Срок годности – величина корректируемая. Посмотреть и при необходимости скорректировать его можно в окне «Сертификат абонента». Для этого следует выполнить действия:
Выбрать пункт меню «Администрирование – Криптозащита – Список абонентов ЭЦП». На экране появится диалоговое окно «Криптографические профили».
В списке криптографических профилей выбрать нужный профиль и нажать клавишу «Enter». На экране появится окно «Настройки криптографического профиля».
На вкладке «Сертификаты» выбрать в списке нужный сертификат и нажать клавишу «Enter». На экране появится окно «Сертификат абонента».
Срок годности сертификата определяется значениями следующих параметров:
«Дата ввода» – дата начала действия сертификата;
«Дата запрета» – дата окончания действия сертификата.
8.2.Типы криптографических преобразований и их параметры
Для выполнения различных операций криптографических преобразований используются различные части ключевой пары.
1. Типы криптографических преобразований
Наименование операции
|
Используемые ключи
|
Формирование цифровой подписи
|
Закрытый ключ подписывающего абонента.
|
Проверка цифровой подписи
|
Открытый ключ (сертификат) подписавшего абонента.
|
Шифрация данных
|
Открытый ключ (сертификат) получателя шифрованных данных.
|
Расшифровка данных
|
Закрытый ключ абонента, получившего зашифрованные данные.
|
8.2.1.Подпись документов
Цифровая подпись применяется для контроля целостности данных и подтверждения авторства их подписавшего. Подписывать можно только незашифрованные данные.
Документ может быть подписан одной или несколькими (до пяти) подписями. Количество необходимых подписей под документом определяется настройками.
Абонент, обладающий правом подписывать единственной подписью, может подписать документы, требующие наличие нескольких подписей.
Система СЭД позволяет выполнять процедуру подписи документов в зависимости от настроенных параметров. Такими параметрами являются:
Криптографический профиль пользователя системы.
Параметры документа:
Название документарной схемы;
ID организации, создавшей документ;
ID АРМа, создавшего документ;
Сумма документа.
Настройка «Выводить диалог выбора абонента подписи».
Кроме того, пользователь обязательно должен иметь доступ к закрытому ключу, с помощью которого выполняется процедура подписи документов.
Уникальный идентификатор криптографического профиля и все права пользователя на выполнение операций криптографических преобразований можно посмотреть в окне «Настройки криптографического профиля». Настройка количества подписей под документами выполняется в окне «Количество подписей».
Настройка параметра «Выводить диалог выбора абонента подписи» выполняется в окне «Дополнительные настройки криптозащиты» на вкладке «Документы». Если флаг установлен, при выполнении подписи документов пользователю выводится список абонентов, UID которых пригодны для получения параметров подписи; после выбора пользователем абонента подписи в списке остаются только UID выбранных абонентов. В случае если флаг не установлен, список абонентов подписи не выводится и подпись документов осуществляется первым доступным из списка возможных ключей.
8.2.2.Проверка подписи документов
Проверка цифровой подписи может быть осуществлена любым абонентом, имеющим доступ к открытому ключу подписавшего абонента.
При проверке подписи определяется: кто и когда подписал данные, искажены они или нет.
Для выполнения проверки подписи документов исходными параметрами являются:
Криптографический профиль пользователя системы.
Тип криптобиблиотеки, с помощью которой подписан документ.
Количество подписей под документом.
Уникальный идентификатор криптографического профиля и все права пользователя на выполнение операций криптографических преобразований можно посмотреть в окне «Настройки криптографического профиля». Настройка количества подписей под документами выполняется в окне «Количество подписей».
8.2.3.Подпись пакетов
Подпись транспортных пакетов производится автоматически, если в настройках профиля подписывающего абонента указано наличие прав приема/отправки почты.
Подпись транспортного пакета осуществляется закрытым ключом подписывающего абонента. Если для подписи могут быть использованы несколько ключей абонента, подпись осуществляется первым из списка возможных ключей.
Для выполнения подписи транспортного пакета исходными параметрами являются:
Криптографический профиль пользователя системы.
UID Клиента, которому отправляются данные.
8.2.4.Проверка подписи пакетов
Проверка цифровой подписи транспортных пакетов производится автоматически, если в настройках профиля абонента, получившего данные, указано наличие прав приема/отправки почты.
Проверка цифровой подписи может быть осуществлена любым абонентом, имеющим в своем каталоге открытый ключ подписавшего абонента.
При проверке подписи определяется: кто и когда подписал данные, искажены они или нет.
Если транспортный пакет подписан неактивным (но не запрещенным) ключом, это не является поводом признания подписи неверной.
В системе имеется возможность ручной проверки подписи с использованием старого комплекта ключей.
Для выполнения проверки подписи исходными параметрами являются:
Криптографический профиль пользователя системы.
Версия криптобиблиотеки, с помощью которой подписан пакет.
8.2.5.Шифрование пакетов
Шифрование данных применяется с целью исключения несанкционированного ознакомления с ними при их хранении и передаче по каналам связи.
Для сокращения объема зашифрованных данных в системе предусмотрена возможность их предварительного сжатия с помощью встроенного архиватора. Данные после шифрования сжать нельзя. Параметр, устанавливающий или отменяющий режим сжатия данных, указывается при выборе настроек пользователя.
Шифрование данных осуществляется по алгоритму в соответствии с ГОСТ 28147-89. Шифрование данных выполняется открытым ключом (сертификатом) получателя шифрованных данных.
Внимание! Если абонент не укажет себя в списке абонентов, для которых шифруются данные, он не сможет их расшифровать!
Для выполнения шифрации исходными параметрами являются:
Криптографический профиль пользователя системы.
Тип криптобиблиотеки, с помощью которой подписан пакет.
UID Клиента, для какого шифруются данные.
8.2.6.Расшифрование пакетов
Расшифровка транспортных пакетов производится автоматически, если в настройках профиля абонента, получившего зашифрованные данные, указано наличие прав приема/отправки почты.
Распаковка данных, если они были сжаты, при расшифровке транспортных пакетов происходит автоматически.
При расшифровке данных сначала определяется возможность доступа к ним, потом данные расшифровываются по алгоритму криптобиблиотеки. Осуществляется контроль целостности данных.
Для расшифровки транспортных пакетов используется закрытый ключ абонента, получившего зашифрованные данные. В случае невозможности расшифровки на активных ключах могут использоваться неактивные (но не запрещенные) ключи.
Для выполнения дешифрации исходными параметрами являются:
Криптографический профиль пользователя системы.
Тип криптобиблиотеки, с помощью которой зашифрован пакет.
|
