Симонович С.В. (ред.) Информатика для юристов и экономистов

Подождите немного. Документ загружается.

имеет удостоверенного сертификата и пользоваться им нельзя.

В связи с тем, что в настоящее время как в России, так и в мире структура органов сертификации

электронной подписи только начинает складываться, существуют многочисленные самодеятельные,

неуполномоченные и, возможно, фиктивные «центры сертификации». Опрометчиво выразив доверие

подобному центру, можно неумышленно настроить свое программное средство таким образом, что

оно перестанет предупреждать о негодности сертификатов, заверенных данным органом, и сертифи-

катов, выданных его уполномоченными органами.

Столкнувшись с сертификатом, достоверность которого нельзя проследить до корневого цен-

тра сертификации, категорически нельзя выражать ему доверие!

Сетевая модель сертификации. Взаимная сертификация

Структура системы сертификации ЭЦП в государстве определяется «За-

коном об электронной цифровой подписи». Если же таковой закон отсутствует,

то могут действовать другие модели системы сертификации, основанные на

подзаконных актах или на взаимных договоренностях сторон (в последнем слу-

чае они будут иметь правовое значение, только если прямо отражены в двусто-

ронних договорах). Так, например, при отсутствии централизованной структу-

ры доверенных центров сертификации (или параллельно с ней, если Закон это

допускает), могут действовать сетевые модели сертификации. Такие модели

охватывают группы юридических и физических лиц по ведомственной или,

например, картельной принадлежности.

Два юридических или физических лица, вступающих в электронные ком-

мерческие взаимоотношения, могут сами взаимно заверить друг другу откры-

тые ключи, если обменяются ими при личной встрече с предъявлением друг

другу учредительных документов или удостоверений личности (для физиче-

ских лиц). В этом случае у них нет оснований сомневаться в истинной принад-

лежности открытых ключей.

Однако электронная коммерция должна строиться исходя из того факта,

что ее участники не нуждаются в очной встрече. В этом случае две стороны мо-

гут договориться о том, что им взаимно заверит ключи третья сторона, которую

они выберут сами. Так же могут договориться и прочие участники рынка. В ре-

зультате возникает сложная структура, в которой все участники связаны, с од-

ной стороны, двусторонними договорными отношениями, а с другой стороны,

еще и выполняют функции заверителей для своих традиционных партнеров. С

точки зрения отдельного коммерсанта, доверие к его открытому ключу будет

тем выше, чем большее количество сертификатов он получит от прочих участ-

ников рынка.

Рассмотрим пример. Допустим, клиенту Anna приходится регулярно по-

купать писчую бумагу у поставщика Bella, и до сих пор проблем в их взаимоот-

ношениях не было, несмотря на то что электронная подпись поставщика никем

не была сертифицирована. В этом случае можно говорить о том, что клиент

Anna сам сертифицировал для себя открытый ключ своего партнера Bella, выра-

зив ему полное доверие.

Это возможно, если эти партнеры встретились лично и обменялись

321

открытыми ключами «из рук в руки».

Далее предположим, что у клиента Anna возникла потребность в приоб-

ретении картриджа для лазерного принтера. Он обращается по электронным

средствам связи к поставщику Charly, получает от него открытый ключ и видит,

что этот ключ имеет сертификат компании Bella с полным доверием. В этом

случае Anna может предположить, что Bella и Charly когда-то тоже встречались

лично и взаимно сертифицировали друг другу открытые ключи. Таким образом,

возникает ситуация, при которой Anna тоже может доверять ключу Charly, хотя

это доверие и не полное (ведь они не встречались), а ограниченное.

Может ли в данном случае клиент Anna отправлять поставщику Charly

свои конфиденциальные данные, зашифровав их его открытым ключом? Этот

вопрос остается открытым на усмотрение самого клиента. Чем больше среди

сертификатов ключа Charly будет таких, которые выданы партнерами, извест-

ными клиенту Anna, тем больше доверия к ключу Charly. Далее Anna может по

своему усмотрению настроить свое программное обеспечение. Например, мож-

но сделать так, чтобы два или три сертификата с ограниченным доверием

рассматривались как один сертификат с полным доверием.

Так работает сетевая модель сертификации. Она связывает между собой

группу участников, находящихся в сложной системе взаимоотношений. Еще

раз обращаем внимание на то, что, взаимно сертифицируя открытые ключи, а

стало быть, и электронные подписи друг друга, никто не принимает на себя от-

ветственность за деловую репутацию партнера. Речь идет только о том, что сто-

роны либо подтверждают факт принадлежности открытого ключа данному

партнеру, либо имеют основание на это полагаться. В первом случае они выра-

жают полное, а во втором случае — ограниченное доверие.

Пример структуры электронного сертификата

Структура электронного сертификата закреплена Международным сою-

зом связи в стандарте ITU-T X.509. С этой структурой можно наглядно позна-

комиться с помощью броузера Internet Explorer, рассмотренного нами выше при

изучении службы World Wide Web. Поскольку при занятии электронной ком-

мерцией в Web достаточно часто приходится работать с сертификатами, в эту

программу уже встроены некоторые сертификаты, которые могут потребовать-

ся наиболее часто при работе со службами WWW, поставляющими программ-

ное обеспечение. Пример сертификата, удостоверяющего центр сертификации

компании Microsoft, приведен на рис. 9.4.

Чтобы открыть сертификат, запустите программу Microsoft Internet Ex-

plorer 5.0 и дайте команду Сервис > Свойства обозревателя. В открывшемся

диалоговом окне Свойства обозревателя выберите вкладку Содержание и на па-

нели Сертификаты щелкните на кнопке Сертификатов — откроется диалоговое

окно Диспетчер сертификатов. Далее выберите вкладку Доверенные корневые

центры сертификации, в поле Кому выдан разыщите запись Microsoft Root Au-

thority, а в поле Кем выдан убедитесь, что этот самодеятельный центр сертифи-

кации выдал сертификат сам себе.

В этом нет ничего удивительного. В частности, пока в России не принят

322

закон об ЭЦП, у нас тоже можно встретиться с центрами сертификации, серти-

фицировавшими себя самолично.

Выделив сертификат Microsoft Root Authority, щелкните на кнопке Про-

смотр и изучите свойства данного сертификата. На вкладке Общие приведены

основные сведения о сертификате (для чего он предназначен), а на вкладке Со-

став приведена структура полей сертификата (рис. 9.5).

Версия (V3). Стандарт ITU-T X.509 постепенно меняется. В этом поле

указано с какой версией стандарта совместим данный сертификат. Это важно

для правильного подбора программ, способных с ним работать. В данном слу-

чае речь идет о третьей версии (Version 3).

Серийный номер. Это уникальный номер, присвоенный сертификату ор-

ганизацией, которая его выписывала. Во-первых, он используется для учета вы-

данных сертификатов внутри центра сертификации, а во-вторых, он важен в

случае, если сертификат будет отозван при компрометации закрытого ключа

владельца. Именно по этому номеру просматривается список аннулированных

сертификатов.

Рис. 9.4. Диспетчер сертификатов в броузере Internet Explorer

Алгоритм подписи (md5RSA). Указывает на то, какой метод несиммет-

ричного шифрования был использован при подписании данного сертификата, а

также на метод генерации дайджеста (электронной печати).

323

Рис. 9.5. Пример структуры сертификата

Метод RSA относится к широко распространенным. Он был разработан в

1976 г. на базе новой математической дисциплины — дискретного логариф-

мирования и назван по именам своих создателей (Ron Rivest, Adi Shamir, Le-

onard Adleman).

MD5 (Message Digest Algorythm 5) — это метод получения дайджеста со-

общения. Он генерирует дайджест длиной 128 бит с помощью хэш-функции.

Метод был введен разработчиками алгоритма RSA и, несмотря на то что в по-

следние годы стало известно о некоторых его слабостях, продолжает использо-

ваться преимущественно с сообщениями, зашифрованными алгоритмом RSA.

Поставщик. Сведения, идентифицирующие издателя сертификата (кто

выдал сертификат).

Действителен с... Дата начала действия сертификата. Действителен по...

Дата окончания действия сертификата.

Субъект. Сведения, идентифицирующие держателя сертификата (кому

сертификат выдан).

Открытый ключ (RSA 2048 bits). Сам сертифицируемый открытый

ключ с указанием метода его получения. В данном случае приводится ключ, по-

лученный методом RSA, имеющий длину 2048 бит.

Идентификатор ключа. Это поле является дополнительным. Такие поля

принято называть расширениями стандарта. Некоторые производители про-

граммного обеспечения вводят подобные расширения для удобств центров сер-

тификации. В данном случае здесь приводится внутренний идентификатор клю-

ча, позволяющий центру сертификации ускорить свои процедуры. Нет гаран-

тий, что расширения стандарта могут быть понятны произвольным средствам

324

ЭЦП.

Алгоритм печати (SHA1). Имеется в виду алгоритм хэш-функции, с по-

мощью которой получен дайджест ключа (электронная печать). В данном слу-

чае использован стандартный алгоритм SHA {Secure Hashing Algorithm), разра-

ботанный Агентством национальной безопасности США (National Security

Agency, NSA) для Национального института стандартов и технологии (National

Institute of Standards and Technology, NIST). С помощью этого алгоритма созда-

ется «отпечаток» сертификата, имеющий стандартный размер 160 бит.

Печать. Здесь приводится сам дайджест (электронная печать), имеющий

для принятого алгоритма размер 20 байтов (160 бит). Необходимость в наличии

дайджеста связана с особенностями распространения сертификата в составе

программы Microsoft Internet Explorer 5.0. Поскольку никто заранее не может

предсказать, каким образом (откуда, из чьих рук) конкретный пользователь по-

лучит эту программу вместе с сертификатом, электронная печать гарантирует

целостность и неизменность сертификата на всех этапах хранения, распростра-

нения и эксплуатации программы.

В качестве примера мы рассмотрели международный стандарт на формат

электронного сертификата, введенный Международным союзом связи. Однако

не следует забывать, что наряду с ним могут существовать национальные стан-

дарты, стандарты отраслей и ведомств, а также квазистандарты, связанные с

отдельными средствами ЭЦП и действующие в ограниченных кругах пользова-

телей данных средств. Обычно структура сертификата специально оговаривает-

ся в национальном законодательстве, посвященном электронной коммерции и

электронной цифровой подписи, или в постановлениях органов, уполномочен-

ных государством на ведение деятельности, связанной с регулированием отно-

шений, возникающих в сфере электронной коммерции.

9.4. ПРАВОВОЕ ОБЕСПЕЧЕНИЕ ЭЛЕКТРОННОЙ

ЦИФРОВОЙ ПОДПИСИ

Правовое обеспечение электронной цифровой подписи следует понимать

не только как совокупность нормативно-правовых актов, обеспечивающих пра-

вовой режим ЭЦП и средств ЭЦП. Это гораздо более широкое понятие. Оно

лишь начинается с государственного закона об электронной цифровой подписи,

но развивается далее и впоследствии охватывает все теоретические и практиче-

ские вопросы, связанные с электронной коммерцией вообще.

Становление законодательства об электронной подписи

Первый в мире закон об электронной цифровой подписи был принят в

марте 1995 г. Законодательным собранием штата Юта (США) и утвержден Гу-

бернатором штата.

Закон получил название Utah Digital Signature Act. Ближайшими последо-

вателями штата Юта стали штаты Калифорния, Флорида, Вашингтон, где вско-

ре тоже были приняты соответствующие законодательные акты.

325

В качестве основных целей первого закона об электронной подписи были

провозглашены:

• минимизация ущерба от событий незаконного использования и поддел-

ки электронной цифровой подписи;

• обеспечение правовой базы для деятельности систем и органов сертифи-

кации и верификации документов, имеющих электронную природу;

• правовая поддержка электронной коммерции (коммерческих операций,

совершаемых с использованием средств вычислительной техники);

• придание правового характера некоторым техническим стандартам, ра-

нее введенным Международным союзом связи (ITU — International Telecommu-

nication Union) и Национальным институтом стандартизации США (ANSI —

American National Standards Institute), а также рекомендациям Наблюдательного

совета Интернета (IAB — Internet Activity Board), выраженным в документах

RFC 1421 — RFC 1424.

Закон состоит из пяти частей:

1.В первой части вводятся основные понятия и определения, связанные с

использованием ЭЦП и функционированием средств ЭЦП. Здесь же рассматри-

ваются формальные требования к содержательной части электронного сертифи-

ката, удостоверяющего принадлежность открытого ключа юридическому или

физическому лицу.

2.Вторая часть закона посвящена лицензированию и правовому регулиро-

ванию деятельности центров сертификации.

Прежде всего, здесь оговорены условия, которым должны удовлетворять

физические и юридические лица для получения соответствующей лицензии, по-

рядок ее получения, ограничения лицензии и условия ее отзыва. Важным мо-

ментом данного раздела являются условия признания действительности серти-

фикатов, выданных нелицензированными удостоверителями, если участники

электронной сделки выразили им совместное доверие и отразили его в своем

договоре. Фактически здесь закрепляется правовой режим сетевой модели сер-

тификации, рассмотренной нами выше.

Кроме того, во второй части закона определен порядок квалификации

центров сертификации и контроля за их деятельностью посредством внешнего

аудита. Здесь же рассмотрены практические вопросы, связанные с ведением

регистров изданных сертификатов и порядком прекращения деятельности цен-

тра сертификации.

3.В третьей части закона сформулированы обязанности центров сертифи-

кации и владельцев ключей. В частности, здесь рассмотрены:

• порядок выдачи сертификата;

• порядок предъявления сертификата и открытого ключа;

• условия хранения закрытого ключа;

• действия владельца сертификата при компрометации закрытого ключа;

• порядок отзыва сертификата;

• срок действия сертификата;

• условия освобождения центра сертификации от ответственности за не-

правомерное использование сертификата и средств ЭЦП;

326

• порядок создания и использования страховых фондов, предназначенных

для компенсации ущерба третьим лицам, возникшего в результате неправомоч-

ного применения ЭЦП.

4.Четвертая часть закона посвящена непосредственно цифровой подписи.

Ее основное положение заключается в том, что документ, подписанный цифро-

вой подписью, имеет ту же силу, что и обычный документ, подписанный руко-

писной подписью.

5.В пятой части закона рассмотрены вопросы взаимодействия центров

сертификации с административными органами власти, а также порядок функ-

ционирования так называемых репозитариев — электронных баз данных, в ко-

торых хранятся сведения об изданных и отозванных сертификатах.

В целом закон об ЭЦП штата Юта отличается от других аналогичных

правовых актов высокой подробностью.

Закон об электронной подписи Германии

Германский закон об электронной подписи (Signaturgesetz) был введен в

действие в 1997 г. и стал первым европейским законодательным актом такого

рода. Целью закона объявлено создание общих условий для такого применения

электронной подписи, при котором ее подделка или фальсификация подписан-

ных данных могут быть надежно установлены.

В Законе прослеживаются следующие основные направления:

• установление четких понятий и определений;

• подробное регулирование процедуры лицензирования органов сертифи-

кации и процедуры сертификации открытых ключей пользователей средств

ЭЦП (правовой статус, порядок функционирования центров сертификации, их

взаимодействие с государственными органами и другими центрами сертифика-

ции, требования к сертификату открытого ключа электронной подписи);

• рассмотрение вопросов защищенности цифровой подписи и данных,

подписанных с ее помощью, от фальсификации;

• порядок признания действительности сертификатов открытых ключей.

По своему духу германский Закон об электронной подписи является регу-

лирующим.

Закон об электронной подписи США

К моменту написания данной книги Федеральный Закон США об элек-

тронной подписи принят Конгрессом, но еще не вступил в действие (он вступа-

ет в силу 1 октября 2000 г.). В отличие от аналогичного закона Германии, Феде-

ральный Закон об электронной подписи США является координирующим пра-

вовым актом. Это связано с тем, что ко времени его принятия соответствующее

регулирующее законодательство уже сложилось в большинстве отдельных шта-

тов.

Как видно из названия Закона (Electronic Signatures in Global and National

Commerce Act), его основное назначение состоит в обеспечении правового ре-

жима цифровой электронной подписи в электронной коммерции. Подписание

Закона Президентом США состоялось в день национального праздника — 4

327

июля 2000 г. (День независимости), что должно придать этому законодательно-

му акту особое значение. По мнению обозревателей принятие данного закона

символизирует вступление человечества в новую эру — эру электронной ком-

мерции.

По содержанию Закон отличается краткостью. Он вводит ограниченное

число основных понятий, устанавливает правовой режим электронной подписи

и определяет компетенцию государственных органов, ответственных за функ-

ционирование ее инфраструктуры. Не сосредоточиваясь на конкретных правах

и обязанностях центров сертификации, которым уделяется особое внимание в

законодательствах других стран, Федеральный Закон США относит их к поня-

тию инфраструктура ЭЦП и в самых общих чертах оговаривает взаимодействие

элементов этой структуры с правительственными органами.

Проект закона об электронной подписи Российской Федерации

В России Федеральный Закон об электронной подписи в настоящее время

еще не принят, но с его основными положениями можно познакомиться на при-

мере проекта. Согласно проекту, Закон состоит из пяти глав и содержит более

двадцати статей.

1.В первой главе рассмотрены общие положения, относящиеся к Закону.

Как и аналогичные законы других государств, российский законопроект опира-

ется на несимметричную криптографию. Основной целью Закона провозглаша-

ется обеспечение правовых условий для применения ЭЦП в электронном доку-

ментообороте и реализации услуг по удостоверению ЭЦП участников договор-

ных отношений.

2.Во второй главе рассмотрены принципы и условия использования элек-

тронной подписи. Здесь, во-первых, выражена возможность, а во-вторых, при-

ведены условия равнозначности рукописной и электронной подписи. Кроме

того, особо акцентировано внимание на характерных преимуществах ЭЦП:

• лицо может иметь неограниченное количество закрытых ключей ЭЦП,

то есть, создать себе разные электронные подписи и использовать их в разных

условиях;

• все экземпляры документа, подписанные ЭЦП, имеют силу оригинала.

Проект российского Закона предусматривает возможность ограничения

сферы применения ЭЦП. Эти ограничения могут накладываться федеральными

законами, а также вводиться самими участниками электронных сделок и отра-

жаться в договорах между ними.

Интересно положение статьи о средствах ЭЦП, в которой закрепляется

утверждение о том, что «средства ЭЦП не относятся к средствам, обеспечиваю-

щим конфиденциальность информации». На самом деле это не совсем так. По

своей природе средства ЭЦП, основанные на механизмах несимметричной

криптографии, конечно же, могут использоваться для защиты информации.

Возможно, это положение включено для того, чтобы избежать коллизий с дру-

гими нормативными актами, ограничивающими применение средств крипто-

графии в обществе.

Важным отличием от аналогичных законов других государств является

328

положение российского законопроекта о том, что владелец закрытого ключа не-

сет ответственность перед пользователем соответствующего открытого ключа

за убытки, возникающие в случае ненадлежащим образом организованной

охраны закрытого ключа.

Еще одной отличительной чертой российского законопроекта является

список требований к формату электронного сертификата. Наряду с общеприня-

тыми полями, рассмотренными нами выше, российский законодатель требует

обязательного включения в состав сертификата наименования средств ЭЦП, с

которыми можно использовать данный открытый ключ, номер сертификата на

это средство и срок его действия, наименование и юридический адрес центра

сертификации, выдавшего данный сертификат, номер лицензии этого центра и

дату ее выдачи. В зарубежном законодательстве и в международных стандартах

мы не находим требований столь подробного описания программного средства

ЭЦП, с помощью которого генерировался открытый ключ. По-видимому, это

требование российского законопроекта продиктовано интересами безопасности

страны.

Массовое применение программного обеспечения, исходный код которого не опубликован и потому

не может быть исследован специалистами, представляет общественную угрозу. Это относится не

только к программным средствам ЭЦП, но и вообще к любому программному обеспечению, начиная с

операционных систем и заканчивая прикладными программами.

Россия не единственная страна в мире, проявляющая осторожность в во-

просе применения на своей территории закрытых программных средств с

неопубликованным содержанием, не прошедшим всесторонней проверки в виде

исходного кода. Беспечность в этом вопросе может приводить к стратегическо-

му ущербу не только в смысле государственной, но и в смысле экономической

безопасности. Такую же осторожность проявляют Франция, Китай и некоторые

другие страны.

3. В третьей главе рассмотрен правовой статус центров сертификации (в

терминологии законопроекта — удостоверяющих центров открытых ключей

электротой подписи). В России оказание услуг по сертификации электронной

подписи является лицензируемым видом деятельности, которым могут зани-

маться только юридические лица. Удостоверение электронной подписи госу-

дарственных учреждений могут осуществлять только государственные удосто-

веряющие центры.

Законопроект предусматривает материальную ответственность удостове-

ряющего центра за убытки лиц, пострадавших в результате доверия к сведени-

ям, указанным в сертификате, которые центр был обязан проверить и под-

твердить. Эта ответственность исчисляется в размере реального ущерба и не

включает штрафные санкции, упущенную выгоду, возмещение морального вре-

да.

По своему характеру структура органов сертификации — централизован-

ная иерархическая.

329

4.Содержание четвертой главы российского законопроекта определяет са-

мые общие черты порядка использования электронной цифровой подписи. Важ-

ным положением этой главы является то, что в корпоративных информацион-

ных системах использование ЭЦП может регламентироваться внутренними

нормативными документами системы, соглашениями между участниками си-

стемы или между ее владельцами и пользователями. Указанные нормативные

документы или соглашения должны содержать положения о правах, обязанно-

стях и ответственности лиц, использующих ЭЦП, а также о распределении рис-

ков убытков при использовании недостоверной ЭЦП между участниками систе-

мы.

5.Пятая глава законопроекта называется «Заключительные положения» и

рассматривает:

• вопросы признания иностранных сертификатов на открытые ключи

электронной подписи;

• вопросы использования документов, подписанных ЭЦП, в судебном

разбирательстве;

• ответственность за нарушение законодательства при использовании

ЭЦП;

• порядок разрешения споров.

Международное признание электронной подписи

Важный шаг в деле координации законодательств различных государств

в области электронной цифровой подписи предприняла Комиссия Организации

Объединенных Наций по международному торговому праву (UNCITRAL). Она

разработала модельный закон, который предлагается использовать в качестве

основы при разработке национальных законодательств. Этот закон был опубли-

кован в 1995 г.

Сегодня в большинстве национальных законодательных актов вопрос

международного признания электронной подписи (и связанных с ней ключей и

их сертификатов) обеспечивается включением соответствующих положений. В

частности, обычно в них говорится, что электронная подпись, которая может

быть проверенаоткрытым ключом, имеющим иностранный сертификат, призна-

ется таковой, если с государством, орган которого выдал сертификат, имеется

договор о признании таких свидетельств.

Однако существуют и другие интересные правовые конструкции. Так,

например, в Своде правительственных актов штата Калифорния (California

Government Code) сказано, что «...цифровая подпись — это электронный иден-

тификатор, созданный средствами вычислительной техники, обладающий все-

ми необходимым атрибутами полноценной общепризнанной подписи, как то:

уникальностью и возможностью проверки; находящийся в нераздельном распо-

ряжении своего владельца, связанный с документом таким образом, что при из-

менении документа подпись нарушается, а также признанный в качестве стан-

дартного по крайней мере двумя из следующих организаций:

• Международный союз связи ITU;

• Национальный институт стандартизации США ANSI;

330