Облачная ЭЦП или сейф с картонкой
Данный пост перенесён автоматически с предыдущего варианта сайта. Возможны артефакты. Если информация этого поста важна для вас, свяжитесь со мной для получения полного содержимого.
Нередко, когда хорошо зарекомендовавшая себя технология защиты информации становится достаточно широко распространённой, возникают два важных фактора, влияющих на её дальнейшую судьбу: удобство использования и универсальность применения.
Специализированному решению для ограниченного круга лиц простительны многие недостатки, но продукт для массового потребителя не может эти факторы не учитывать. И особенно остро этот вопрос встаёт в тех случаях, когда приходится как-то адаптировать имеющуюся технологию к новым требованиям.
Рассмотрим, например, такую, без сомнения, удобную вещь как электронную цифровую подпись (ЭЦП). Как известно, в основе идеи ЭЦП лежит тот факт, что конкретным закрытым ключом может пользоваться только его владелец, поэтому документы с ЭЦП, сделанной при помощи этого закрытого ключа, считаются подписанными именно этим владельцем.
Проблема, собственно в том, как безопасно хранить закрытые ключи, и в посте конца 2013 года данный вопрос достаточно подробно рассматривал. Кратко напомню основные эволюционные вехи на пути развития технологий хранения закрытых ключей (подробнее в посте):
- Этап 1: Жёсткий диск (ветка реестра ОС или файл-контейнер);
- Этап 2: Внешние незащищённые носители (дискеты, позже - флешки);
- Этап 3: Смарт-карты и USB-токены с чипом смарт-карты, позже - усиленные трастскринами;
- ...?
И вот тут, как раз к тому времени, когда ЭЦП становится действительно распространённой, на сцене появляются смартфоны и планшеты. Возникают проблемы о которых я говорил выше: недостаток удобства и универсальности. Технология удачная, массовая, но страдает из-за отсутствия простого решения, совместимого с новыми типами устройств.
По моему личному мнению, для мобильных устройств столь же удачного решения, каким в своё время были USB-токены для компьютеров и ноутбуков, пока так и не появилось, хотя попытки предпринимались и неоднократно. Чего только не перепробовали производители (подробнее опять-таки в посте):
- карт-ридеры, подключаемые к специализированным разъёмам смартфонов;
- специальные чехлы со встроенными ридерами смарт-карт;
- внешние беспроводные карт-ридеры, работающие по Bluetooth;
- токены в форм-факторе microSD-карты;
- microUSB-токены;
- ...
…настоящий цирк зоопарк вариантов, каждый из которых имеет какие-то свои плюсы, но и очевидных недостатков не лишён. Мне, к слову, по-прежнему больше всего за универсальность и удобство нравится то, что предложила компания Актив - Рутокен ЭЦП Bluetooth. Эдакая коробочка, являющаяся токеном (чип внутри) и подключаемая к любому устройству беспроводным способом. Чем-то в повседневном использовании напоминает Yota Many - можно носить в сумке, без проводов и тоже надо заряжать отдельно.
Вернёмся к ЭЦП. Задумываясь полтора года назад о дальнейшей судьбе хранителей закрытых ключей, надо признать, упустил из вида ещё один тренд: вместо того, чтобы пытаться как-то подключить персональный носитель закрытого ключа к мобильному устройству связи, можно попросту забрать его (персональный носитель) у пользователя и поместить в доверенном месте, предоставив пользователю простое и удобное подключение к этому месту хранения из любой точки мира. Речь о так называемой ЭЦП по воздуху или облачной ЭЦП.
Самый простой хэндмейд вариант ЭЦП в облаке - это домашний стационарный постоянно подключенный к Интернету компьютер с USB-токеном в разъёме, к которому с любого устройства можно подключиться удалённо (например, через TeamViewer, Parallels Access и пр.). Лёжа на пляже, через WiFi подсоединился к Интернет со смартфона, зашёл удалённо на рабочий стол, отправил платёжку, отключился и, перевернувшись на другой бок, продолжил пить освежающий коктейль. Идиллия!
Картинка настолько радужная, что соответствующие предложения сервисов не замедлили появиться. Конечно, никто не организует подобные облачные решения закупкой USB-разветвителей на терминальный сервер: для надёжного хранения используются более технологичные решения - такие как HSM-модули (российский вариант решения). Ну, по крайней мере, хотелось бы, чтобы они использовались, фраза “надёжно защищённый сервер” из рекламного проспекта оптимизм вселяет, но лишь частично.
Казалось бы, никакого подвоха - сплошные удобство, универсальность и безопасность. На самом же деле, с точки зрения безопасности происходит вот что: надёжный криптографический способ подменяется простым паролем, одноразовым кодом или чем-то подобным, что можно использовать на телефоне/планшете без проблем. Зачем в этом случае вообще нужна криптография даже не очень понятно - безопасность всё равно упирается в то, насколько надёжна аутентификация пользователя при доступе к облаку, где лежит его закрытый ключ. Облачную ЭЦП можно сравнить с неприступным сейфом со сложными замками, у которого вместо задней стенки прибита картонка.
Оставляя токен дома в порте USB и используя удалённое подключение, пользователь принимает все риски на себя, но сейчас можно заказать облачную ЭЦП как услугу. Компании, которые предлагают такой сервис, даже обещают отсутствие проблем с тем, чтобы такая ЭЦП была признана юридически значимой, хотя даже банального подробного технического описания на сайте не предлагают. Как подсказывает здравый смысл (и коллеги в твиттере), какую-то юридическую экспертизу вопроса такие компании должны были проводить, но скорее всего у этой облачной ЭЦП будет очень ограниченное применение, всё же 63-ФЗ “Об электронной подписи” достаточно чётко устанавливает требования для квалифицированной электронной подписи:
- позволяет определить лицо, подписавшее электронный документ;
- для создания и проверки электронной подписи используются средства электронной подписи, получившие подтверждение соответствия требованиям, установленным в соответствии с настоящим Федеральным законом.
Полный перечень требований ещё больше, но даже этих двух достаточно, чтобы возникли сомнения. Ни Google, ни Apple, ни даже Microsoft в свои мобильные операционные системы никаких средств, получивших подтверждение соответствия, пока не встраивают, а без них как проверить только удалёнными средствами на самом сервере, что:
- получивший доступ к закрытому ключу в облаке действительно является его владельцем?
- документ не был подменён в процессе передачи с мобильного устройства на сервер?
- передаваемый на подпись документ отправлен именно сейчас, а не является, например, попыткой трояна на телефоне повторить прошлую транзакцию?
- и т.п.
К слову, сам 63-ФЗ дополнительно предусматривает такие виды подписи как:
- неквалифицированная подпись - для неё не требуется использование получивших подтверждение соответствия средств и сертификат может быть выдан не обязательно удостоверяющим центром;
- простая электронная подпись, в роли которой может и вовсе может выступать пароль или код - удобное и универсальное решение, доступное и для мобильных платформ.
В каких-то случаях и при гарантиях со стороны сервиса облачной ЭЦП пользоваться с оговорками можно, но универсальным это решение точно не является.
Комментарии из Telegram
Комментарии ВКонтакте