5.1 Хранение закрытого ключа

Закрытый ключ является наиболее уязвимым компонентом всей криптосистемы цифровой подписи. Злоумышленник, укравший закрытый ключ пользователя, может создать действительную цифровую подпись любого электронного документа от лица этого пользователя. Поэтому особое внимание нужно уделять способу хранения закрытого ключа. Пользователь может хранить закрытый ключ на своем персональном компьютере, защитив его с помощью пароля. Однако такой способ хранения имеет ряд недостатков, в частности, защищенность ключа полностью зависит от защищенности компьютера, и пользователь может подписывать документы только на этом компьютере. В настоящее время существуют следующие устройства хранения закрытого ключа:

• Дискеты

• Смарт-карты

• USB-брелоки

• Таблетки Touch-Memory

Кража или потеря одного из таких устройств хранения может быть легко замечена пользователем, после чего соответствующий сертификат может быть немедленно отозван.

Наиболее защищенный способ хранения закрытого ключа — хранение на смарт-карте. Для того, чтобы использовать смарт-карту, пользователю необходимо не только её иметь, но и ввести PIN-код, то есть, получается двухфакторная аутентификация. После этого подписываемый документ или его хэш передается в карту, её процессор осуществляет подписывание хэша и передает подпись обратно. В процессе формирования подписи таким способом не происходит копирования закрытого ключа, поэтому все время существует только единственная копия ключа. Кроме того, произвести копирование информации со смарт-карты сложнее, чем с других устройств хранения.

6. Виды электронной подписи

Электронные подписи разделяются законом 2011 г. на три вида.

Простая подпись. Это разного рода логины, пароли, коды подтверждения, и прочие средства идентификации. Т.е. это адреса электронной почты, пароли.

К примеру, у вас есть электронный кошелек. Для того чтобы его использовать, нужно ввести свои идентификационные данные (логин и пароль), — это раз. Для совершения операции (перевести деньги на другой кошелек или банковскую карту) нужно ввести еще один пароль,— это два. Таким образом, вы, для системы электронного кошелька, удостоверяете себя дважды: при входе подтверждаете свое право пользования кошельком и когда совершаете операцию, как бы электронное подписываете виртуальный чек.

Именно поэтому логины и пароли нужно держать в секрете.

Неквалифицированная электронная подпись. Такой вид ЭЦП можно использовать в случаях, когда не требуется особого оформления документа (например, оформления договора аренды, когда наличие на документе печати не обязательно). В данном случае документы, подписанные неквалифицированной электронной подписью, должны предусматривать возможность проверки этой подписи.

Такая подпись должна быть получена в результате криптографического преобразования информации, которая позволит определить личность, которой эта подпись принадлежит. Эта подпись должна быть получена с использованием ключа подписи и должна позволять обнаруживать внесение изменений (если таковые будут) в электронный документ после момента его подписания.

Неквалифицированная электронная подпись усилена средствами криптошифрования (ст.12 ФЗ- № 63). Для шифрования факсимиле можно использовать различные программы (например, российскую КриптоАРМ, заграничные Verisign или Thawte), которые соответствуют минимальным требованиям к надежности (ст. 4 и ст.7 ФЗ- № 63). В отличие от усиленной квалифицированной электронной подписи, не нужно пользоваться услугами удостоверяющего центра (сертификат и ключ), т.к. подтвердить, что данная подпись принадлежит конкретному лицу, можно и без него.

Усиленная квалифицированная электронная подпись. Для получения такой ЭЦП потребуются услуги аккредитованного удостоверяющего центра. Такие центры, используя сертифицированные программы, создают ключи подписей для клиентов. То есть, именно сертификация государством и делает подпись квалифицированной.

Такой вид подписи должен соответствовать всем требованиям для неквалифицированной электронной подписи, а также иметь ключ проверки подписи, который указан в квалифицированном сертификате.

Документ, подписанный квалифицированной электронной подписью, приравнивается к документу, на котором есть собственноручная подпись и печать. Именно квалифицированная электронная подпись используется при отправке отчетных документов в налоговые органы через Интернет либо при отправке банковских документов через клиент-банк.

Для организаций в ЭЦП вписывается не только данные организации, но и данные лица, имеющего право подписи. Однако, в законе не указывается, что делать в случае форс-мажорных обстоятельств, когда лицо, имеющее право подписи, больше им не является.

В случае утери электронной подписи, нужно действовать также как и при потере банковской карты: срочно обратиться в удостоверяющий центр, которым подпись была выдана, и заблокировать ее.

Квалифицированная электронная подпись признается действительной до тех пор, пока решением суда не установлено иное.