Электронная подпись и бизнес: применяют ли в России облачную ЭП?

• 
  Михаил Захаров
• 12 августа 2014
• Наш взгляд

В статье на сайте «Компьютерра» предлагается новый подход к работе с подписями: хранение ключей (в частности, закрытого) во внешней системе, а не локально. При этом пользователь будет делать подпись, авторизуясь в этой системе, например, через SMS. 

Действительно, удобство работы с электронной подписью на документах на данный момент снижено необходимостью использовать только один конкретный ключ. Проведу аналогию: поставить подпись на бумажном документе мы можем в любом месте и любой ручкой, так как защитой выступает уникальность рисунка подписи. Поставить же электронную подпись — это как ставить подпись на бумаге только одной особой «ручкой», и любой, кто ей завладеет, сможет поставить такую же. Получается парадокс – Вы можете получить электронный документ почти мгновенно в любое место, но подписать его сможете, только имея эту специальную «ручку» — закрытый ключ.

В статье предлагается решение – хранить закрытый ключ во внешней специальной системе, и получать к нему доступ по авторизации. Выглядит удобно, так как доступ к возможности подписать документ есть везде. Однако, на мой взгляд, такой революционный способ работы с подписью если и будет развиваться на рынке, то очень маленькими шагами. Давайте рассмотрим детально особенности работы с ЭЦП и текущее законодательство.

Прежде всего, потенциальный сегмент потребителей продукта ограничивается пользователями системы обмена электронными документами (например, как описываемый в статье Диадок). В случаях использования другого ПО, необходимо будет интегрировать его с облачным хранилищем ключей. При этом возникнет препятствие в том, чтобы защитить каналы связи и сделать надежную авторизацию.

Согласно ФЗ-63, регулирующему отношения в области использования ЭЦП, обязанность по обеспечению безопасности ложится на того, кому принадлежит ключ. В том числе, обязанность уведомлять о компрометации ключа. Если хранение и операции с ключом можно передоверить, то перевести обязанности на другое юридическое лицо нельзя. В статье приводится тезис о том, что хранить ключи на внешнем облачном сервисе надежнее, чем локально в компании. Позволю себе его опровергнуть. Наиболее надежным способом хранения закрытых ключей является смарт-карта. Так как в этом случае закрытый ключ не только не копируется из смарт-карты, но и она сама защищена пин-кодом от несанкционированного доступа в случае утери.

Не стоит забывать, что сами интернет-сервисы являются мишенью для атак, причем результативных. Приведу примеры:

Успешная атака на центр сертификации Comodo – создание действительных сертификатов (https://technet.microsoft.com/en-us/library/security/2524375.aspx, http://www.symantec.com/connect/blogs/fraudulent-comodo-digital-certificates-affect-multiple-services ). Причем проблема связана не с утечкой каких-либо данных, а с компрометацией УЦ. Это показывает, что даже такие надежные сервисы, как удостоверяющие центры, могут иметь проблемы.

Множество утечек данных банковских карт. Последние крупные связаны с ошибкой Heartbleed (http://ru.wikipedia.org/wiki/Heartbleed), например, карт, по которым делались покупки билетов РЖД (http://www.vedomosti.ru/finance/news/26228171/banki-nachali-blokirovat-karty-iz-za-utechki-dannyh-rzhd ) Нельзя забывать о «силовом» и «государственном» факторах, типа нашумевшего скандала с АНБ и доступом к персональным данным: http://www.washingtonpost.com/blogs/the-switch/wp/2013/11/04/how-we-know-the-nsa-had-access-to-internal-google-and-yahoo-cloud-data/ Отечественные примеры также есть.

Еще одним сдерживающим фактором является то, что данная возможность хранения закрытого ключа в облаке предлагает на замену известным и принятым на практике протоколам работы с шифрованием и хранением ключей новые, а зачастую и сильно различные, новые способы. Например, нужно предлагать схему удостоверения личности пользователя. Будет ли она являться надежной – это вопрос реализации. Предложенная в статье схема удостоверения по SMS, как минимум, будет требовать контроля смены SIM-карты, что даже не во всех интернет-банках реализовано. Таким образом, в схему «Сотрудник – Удостоверяющий центр» добавляется облачное хранилище и оператор связи, что может снизить безопасность.

Данный способ работы с ключами для подписи, конечно, будет применяться: он добавляет удобство работы с ЭЦП. Но он, скорее, для малого бизнеса, где использование интернет-сервисов больше, и где не нужно администрировать инфраструктуру. В компаниях чуть более крупных применение данного способа будет редким, в основном из-за вопросов безопасности и новизны технологии, к которой нет доверия.