PKI в корпоративной инфраструктуре: состояние и пути развития. Часть 2

PKI в корпоративной инфраструктуре: состояние и пути развития

Часть 2

Ника Комарова, руководитель направления маркетинговых
и PR-коммуникаций компании Aladdin

Установление отношений доверия между УЦ

Когда две (или более) организаций, в инфраструктурах которых развернуты корпоративные УЦ, испытывают потребность в информационном обмене, они должны установить так называемые отношения доверия.

В ряде случаев для признания двух корпоративных УЦ в качестве доверенных сторон друг для друга вполне достаточно заключения двустороннего (или более) соглашения о доверии. То есть две организации подписывают спецсоглашение, и после этой несложной процедуры, согласно Гражданскому кодексу РФ, они действуют в рамках правовой ответственности друг перед другом. На практике электронная цифровая подпись (ЭЦП) под любыми документами, которыми они будут обмениваться, для этих сторон может считаться аналогом подписи собственноручной.

Но если компании заинтересованы в использовании защищенного юридически значимого электронного документооборота и хотели бы, чтобы документы одной системы, подписанные ЭЦП, безоговорочно принимались другой системой, процедура взаимного признания несколько усложняется. Для этой цели применяется кросс-сертификация УЦ, суть которой в объединении домена доверия между двумя структурами, каждая из которых поддерживается своим УЦ.

Кросс-сертификация является двусторонней операцией: оба УЦ выдают сертификаты друг другу, согласуют политики информационной безопасности (ИБ), а также, при необходимости, юридические аспекты взаимодействия, и после этого между участниками информационного обмена (допустим, между бизнес-партнерами или, скажем, вендором и его партнерами) образуются доверительные связи.

Сразу оговоримся, что таким образом строятся отношения доверия между однотипными корпоративными УЦ.

Удостоверяющие центры в организациях, связанных той или иной формой подчинения, как правило, используют иерархические отношения.

Безопасность удостоверяющих центров

Наличие разработанной политики безопасности удостоверяющего центра (в терминологии ФЗ - концепция безопасности) является необходимым условием для его создания. Согласно статье 6 ФЗ "Об электронной цифровой подписи", УЦ до начала своей деятельности должен представить УФО свою концепцию безопасности, включая меры по обнаружению подделки сертификата подписи.

Основное требование к безопасности при использовании электронной цифровой подписи состоит в том, что закрытые ключи должны быть доступны только их владельцам. Если злоумышленник может получить закрытый ключ какой-либо из сторон информационного обмена, это означает, что он легко может расшифровать все сообщения, посланные этой стороне. Кроме того, он может подписать любое сообщение от имени легального пользователя и успешно исполнить его роль в информационном обмене.

Более тонкий вопрос, который возникает в этом случае, заключается в том, что неотка-зуемость ЭЦП можно также считать утраченной, как только пользователь получит возможность утверждать, что его закрытый ключ мог быть нелегально использован (неважно, действительно ли фактическое воровство имело место или нет). Признание того факта, что закрытый ключ пользователя мог быть применен нелегально, является основанием для поддержки судом заявления о том, что подписанный заказ, финансовый документ или приказ является фальсификацией. Безусловно, наличие такой возможности у недобросовестных пользователей могло бы иметь разрушительные последствия для системы электронных цифровых подписей в юридическом контексте транзакций.

Использование программных контейнеров (как в случае со штатными средствами MS CA) для хранения закрытых ключей пользователя в памяти ПК на отчуждаемых носителях (дискетах, CD) не обеспечивает должного уровня безопасности закрытого ключа. В связи с этим PKI-решения, предполагающие применение таких средств, заведомо уязвимы.

На данный момент единственной надежной альтернативой указанным способам хранения является использование аппаратных электронных ключей или токенов. Они обеспечивают сохранение в тайне закрытых ключей пользователя на всех этапах их жизненного цикла (генерация ключевой пары, хранение, использование и уничтожение закрытого ключа) и являются специализированными устройствами, архитектура которых базируется на микросхеме смарт-карты. В таких устройствах выполняются все криптографические операции с закрытым ключом, а сам закрытый ключ никогда не покидает устройство и не может быть из него извлечен.

Компания, использующая аппаратные токены в качестве защищенных хранилищ для закрытых ключей при организации корпоративной системы PKI, получает в свое распоряжение эффективный инструмент для защиты не только внутреннего, но и внешнего электронного документооборота. Развертывание инфраструктуры токенов в рамках компании является базовой платформой для дополнительных защитных мер, таких как безопасный доступ к информационным ресурсам, контроль физического доступа и контроль доступа к приложениям.

Резюмируя вышесказанное, кратко перечислим основные задачи по обеспечению информационной безопасности УЦ:

• защита конфиденциальной информации при ее хранении, обработке и передаче;
• контроль целостности конфиденциальной и открытой информации;
• контроль целостности программных и аппаратных компонент комплекса;
• обеспечение безотказной работы.

Будущее технологий PKI в корпоративном секторе

На сегодняшний день на территории России официально зарегистрированы и работают 110 удостоверяющих центров в 47 объектах РФ¹. Однако судить о распространении PKI, опираясь на эту цифру, неверно. Ведь речь идет лишь об УЦ, занесенных в реестр УФО. На практике же в отечественных организациях в большинстве своем функционируют рассмотренные нами корпоративные УЦ, общее число которых подсчитать практически не представляется возможным. Таким образом, мы имеем два направления развития УЦ, неравноправных по отношению друг к другу, но при этом реализующих свою деятельность и удовлетворяющих свои потребности независимо друг от друга.

Стоит отметить растущую заинтересованность в технологиях PKI со стороны участников внешнеэкономической деятельности, разработчиков и поставщиков продуктов защиты информации в развитии инфраструктуры трансграничного информационного обмена, имеющего юридическую силу, для оптимизации логистических процедур экспорта и импорта.

Часто от скептически настроенных компаний можно слышать, что причиной отсутствия мощных инвестиций в автоматизацию документооборота является невысокая прибыль. По данным НТЦ "ИнтерТрастИнфо", 71% УЦ по-прежнему работает в зоне риска. Однако есть все основания полагать, что ситуация все-таки выравнивается, ведь еще в 2006 г. эта цифра была равна 80%.