Электронная подпись и бизнес: применяют ли в России облачную ЭП?
-
- 12 августа 2014
- Наш взгляд
В
Действительно, удобство работы с электронной подписью на документах на данный момент снижено необходимостью использовать только один конкретный ключ. Проведу аналогию: поставить подпись на бумажном документе мы можем в любом месте и любой ручкой, так как защитой выступает уникальность рисунка подписи. Поставить же электронную подпись — это как ставить подпись на бумаге только одной особой «ручкой», и любой, кто ей завладеет, сможет поставить такую же. Получается парадокс – Вы можете получить электронный документ почти мгновенно в любое место, но подписать его сможете, только имея эту специальную «ручку» — закрытый ключ.
В статье предлагается решение – хранить закрытый ключ во внешней специальной системе, и получать к нему доступ по авторизации. Выглядит удобно, так как доступ к возможности подписать документ есть везде. Однако, на мой взгляд, такой революционный способ работы с подписью если и будет развиваться на рынке, то очень маленькими шагами. Давайте рассмотрим детально особенности работы с ЭЦП и текущее законодательство.
Прежде всего, потенциальный сегмент потребителей продукта ограничивается пользователями системы обмена электронными документами (например, как описываемый в статье Диадок). В случаях использования другого ПО, необходимо будет интегрировать его с облачным хранилищем ключей. При этом возникнет препятствие в том, чтобы защитить каналы связи и сделать надежную авторизацию.
Согласно ФЗ-63, регулирующему отношения в области использования ЭЦП, обязанность по обеспечению безопасности ложится на того, кому принадлежит ключ. В том числе, обязанность уведомлять о компрометации ключа. Если хранение и операции с ключом можно передоверить, то перевести обязанности на другое юридическое лицо нельзя. В статье приводится тезис о том, что хранить ключи на внешнем облачном сервисе надежнее, чем локально в компании. Позволю себе его опровергнуть. Наиболее надежным способом хранения закрытых ключей является смарт-карта. Так как в этом случае закрытый ключ не только не копируется из смарт-карты, но и она сама защищена пин-кодом от несанкционированного доступа в случае утери.
Не стоит забывать, что сами интернет-сервисы являются мишенью для атак, причем результативных. Приведу примеры:
Успешная атака на центр сертификации Comodo – создание действительных сертификатов (
Множество утечек данных банковских карт. Последние крупные связаны с ошибкой Heartbleed (
Еще одним сдерживающим фактором является то, что данная возможность хранения закрытого ключа в облаке предлагает на замену известным и принятым на практике протоколам работы с шифрованием и хранением ключей новые, а зачастую и сильно различные, новые способы. Например, нужно предлагать схему удостоверения личности пользователя. Будет ли она являться надежной – это вопрос реализации. Предложенная в статье схема удостоверения по SMS, как минимум, будет требовать контроля смены SIM-карты, что даже не во всех интернет-банках реализовано. Таким образом, в схему «Сотрудник – Удостоверяющий центр» добавляется облачное хранилище и оператор связи, что может снизить безопасность.
Данный способ работы с ключами для подписи, конечно, будет применяться: он добавляет удобство работы с ЭЦП. Но он, скорее, для малого бизнеса, где использование интернет-сервисов больше, и где не нужно администрировать инфраструктуру. В компаниях чуть более крупных применение данного способа будет редким, в основном из-за вопросов безопасности и новизны технологии, к которой нет доверия.