PKI в корпоративной инфраструктуре: состояние и пути развития

Часть 1

Ника Комарова, руководитель направления маркетинговых и PR-коммуникаций компании Aladdin

СО ВСТУПЛЕНИЕМ в силу Федерального закона "Об электронной цифровой подписи"¹ наша страна сделала значительный шаг вперед в сфере создания электронного документооборота, более технологичного и экономного, но при этом имеющего тот же статус и полномочия, что и бумажное ведение документации. Принятие данного законодательного акта обеспечило возможность применения электронной цифровой подписи (ЭЦП) как аналога собственноручной, для подтверждения личности пользователя и достоверности электронных документов. ЭЦП до сих пор является наиболее совершенным решением для однозначной идентификации документа, его автора и сторон, его подписавших. Данные возможности ЭЦП открыли ряд перспектив развития для государственных и корпоративных информационных систем в области защиты информации от несанкционированного доступа, надежной аутентификации сторон информационного обмена, обеспечения целостности и достоверности электронных документов. Технологической базой для реализации ЭЦП в информационных системах является PKI - инфраструктура открытых ключей.

Какие задачи решает PKI в корпоративной инфраструктуре

"Традиционными" сферами применения ЭЦП являются банковские системы (в частности, e-banking), электронная торговля, биллинговые системы, система мобильных платежей, передачи телеграфных и телематических сообщений и т.п. Для организаций корпоративного сектора двумя важнейшими "ветвями" применения PKI является поддержка комплексной системы защиты информации, использующей криптографические средства, и построение на ее основе корпоративного защищенного документооборота.

Круг задач по обеспечению безопасности, решаемый с помощью внедренной инфраструктуры открытых ключей, достаточно широк. В частности, к ним относятся:

• защита от несанкционированного доступа к персональным компьютерам, серверам и рабочим станциям;
• обеспечение достоверности, безопасности и целостности транзакций, электронных документов или почтовых сообщений;
• строгая аутентификация пользователей и программных сервисов;
• ведение электронной коммерции;
• защита электронной почты;
• контроль происхождения транзакции, документа или почтового сообщения;
• установление достоверного времени создания документа/транзакции;
• шифрование файлов и трафика.

Результаты исследования "Криптографические сервисы ИБ на основе инфраструктуры открытых ключей (PKI)", проводимого журналом "Information Security/Информационная безопасность", показали, что с точки зрения востребованности возможностей PKI в области безопасности 69,9% респондентов выбрали аутентификацию и управление доступом пользователя при регистрации в ИС предприятия.

Технология PKI, как базовая составляющая для реализации процедур с использованием ЭЦП, обеспечивает возможность пользователю подписывать или шифровать сообщение. Эти взаимодополняющие процессы служат доказательством идентичности пользователя. Например, при входе в ОС Windows по смарт-карте пользователь получает некие реквизиты для удостоверения личности, которые зашифрованы с помощью открытого ключа пользователя. Эти реквизиты имеют смысл, только если они расшифрованы, причем сделать это может только владелец закрытого ключа. Владение этими реквизитами считается доказательством идентичности пользователя.

PKI позволяет создать иерар-хичную, прозрачную и управляемую систему контроля доступа с возможностью отзыва сертификата в случае увольнения сотрудника и приостановлением действия - во время отпуска. Понятно, что в случае приостановления действия сертификата никто не сможет воспользоваться правами ушедшего в отпуск сотрудника для несанкционированного доступа к информационным ресурсам.

Корпоративный электронный документооборот (ЭДО) -вторая важнейшая задача, которую решает применение инфраструктуры открытых ключей. За преимущества использования юридически значимых документов, по данным того же источника, отдали свои голоса 80,8% респондентов. ЭДО позволяет существенно облегчить работу с документами, повысить оперативность их обработки, но самое главное - обеспечить конфиденциальность электронной переписки.

Критически важным свойством ЭЦП является неотказу-емость или неотрекаемость. Подписав электронное сообщение своей ЭЦП, мы тем самым гарантируем его достоверность и обеспечиваем целостность. После отправки подписанного документа отправитель не сможет отрицать факт его подписания и отказаться от совершенного им действия. Неотказуемость, как свойство ЭЦП, дает возможность использовать документы, подписанные с помощью ЭЦП, в качестве доказательной базы в суде и обеспечивает неотменяемость электронных заказов или распоряжений.

Таким образом, создание и использование PKI является эффективным, гибким и высокотехнологичным методом для решения ряда важных технологических задач, стоящих перед современными корпорациями. Рассмотрим возможные варианты развертывания инфраструктуры открытых ключей и построения корпоративного удостоверяющего центра.

Строим PKI: способ первый, простой

Самый простой и распространенный вариант построения инфраструктуры открытых ключей в масштабе корпорации заключается в развертывании удостоверяющего центра Microsoft Certification Authority. Такой тип УЦ называется корпоративный. УЦ Microsoft Certification Authority входит в состав стандартной поставки серверных версий ОС Windows Server 2000/2003. В качестве криптопровайдера при этом обычно используется также входящий в состав различных версий Windows набор криптографических библиотек (Microsoft Base Cryptographic Provider и др.).

Главным преимуществом такого подхода является низкая стоимость решения и отработанные технологии интеграции. Использование входящих в комплект поставки ОС криптографических средств позволяет существенно уменьшить первоначальные расходы на построение корпоративной системы PKI. Однако при реализации такого варианта компания должна быть готова к возможным проблемам. Первая из них - это относительно невысокая надежность защиты. При такой системе все криптографические ключи записываются в обычное хранилище Windows, что не соответствует современным представлениям о высокой степени ИБ. Основная проблема программных хранилищ состоит в том, что их надежность зависит от безопасности среды, в которой они постоянно находятся, то есть от компьютера. ПК небезопасны: как только получен физический доступ или машина заражена вирусом, закрытый ключ пользователя может быть скомпрометирован.

К этому стоит добавить, что факт атаки может остаться незамеченным для пользователя, и злоумышленник в течение долгого времени сможет расшифровывать корреспонденцию легального пользователя и отправлять от его имени и за его подписью фальсифицированную информацию. Таким образом, не может быть достигнута как конфиденциальность и целостность информации, так и нео-трекаемость ЭЦП. Именно поэтому программное хранилище обеспечивает относительно низкий уровень безопасности, и его использование в организациях, оперирующих конфиденциальной информацией, должно быть минимизировано, а лучше - полностью сведено на нет.

Стоит добавить, что при таком типе построения корпоративного УЦ используются не-сертифицированные крипто-средства. Поэтому любой участник информационного обмена может заявить о своих сомнениях в подлинности такой ЭЦП.

Получение лицензии на деятельность данного УЦ не обязательно, поскольку для внутрикорпоративной деятельности или отношений в рамках "корпорация - корпорация" в этом необходимости нет.

Аккредитовать корпоративный УЦ невозможно, поскольку официальное признание уполномоченным федеральным органом требует выполнения удостоверяющим центром требований, установленных ФЗ об ЭЦП.

Строим PKI: способ второй, правильный

Второй подход к реализации корпоративной системы PKI заключается в выполнении всех требований, определенных действующим законодательством. В первую очередь это относится к криптопровайдеру. Он должен реализовывать процедуры формирования и проверки ЭЦП в соответствии с отечественными стандартами ГОСТ Р 34.10-94, ГОСТ Р 34.11-94 и ГОСТ Р 34.10-2001, а также иметь сертификат соответствия ФСБ.

Стоит отметить, что порядок функционирования такого УЦ определяется корпоративным договором, из которого следуют взаимные обязанности пользователей и УЦ, а также мера ответственности сторон при их возможном нарушении. Подчеркнем, что для надежной защиты ключевой информации необходимо использовать сертифицированные аппаратные средства, представляющие собой доверенную среду для хранения закрытых ключей.

Удостоверяющие центры общего пользования, в отличие от корпоративных, могут оказывать различные услуги, связанные с ЭЦП, юридическим и физическим лицам. Эти УЦ, построенные в соответствии с требованиями ФЗ об ЭЦП, должны проходить процедуру аккредитации, суть которой фактически сводится к регистрации самоподписанного сертификата УЦ в реестре Уполномоченного Федерального Органа (УФО), который проверяет представленную УЦ документацию (концепцию безопасности и соблюдение требований ФЗ) и в случае положительного результата выдает УЦ свидетельство об аккредитации. При этом обязанности и ответственность сторон определяются в Регламенте УЦ.