Обеспечение криптографической безопасности
Основными функциями системы криптографической защиты являются шифрование информации на дисках и в каналах связи и генерация и проверка электронной цифровой подписи ,генерация и распределение ключей.
Электронная цифровая подпись (ЭЦП) — реквизит электронного документа, предназначенный для защиты данного электронного документа от подделки. ЭЦП (открытый и закрытый ключи) генерируется в ОИБУБ владельцем с помощью специального программного обеспечения и специализированных автоматизированных систем путем криптографического преобразования информации. ЭЦП является аналогом обычной подписи для электронных документов, позволяющим идентифицировать владельца закрытого ключа подписи, а также установить отсутствие искажения информации в электронном документе. Использование ЭЦП в качестве аналога собственноручной подписи предполагает визуальный контроль владельцем ЭЦП содержания электронного документа перед его подписанием и отправкой.
Подписание электронного документа закрытым ключом ЭЦП обеспечивает возможность его передачи по открытым каналам связи. При этом, получатель проверяет авторство электронного документа (его создателя), его целостность и подлинность с помощью соответствующего открытого ключа ЭЦП.
Закрытый ключ – ключ, самостоятельно изготавливаемый владельцем электронной цифровой подписи с использованием программного обеспечения по генерации ключей ЭЦП и предназначенный для формирования им электронной цифровой подписи электронных документов. Закрытый ключ хранится на электронном носителе Touch Memory.
Открытый ключ – ключ, автоматически формируемый при изготовлении владельцем электронной цифровой подписи закрытого ключа и однозначно зависящий от него. Открытый ключ предназначен для проверки корректности электронной цифровой подписи. Открытый ключ считается принадлежащим владельцу, если он был зарегистрирован в соответствующих библиотеках открытых ключей.
PKI – (Public Key Infrastructure) инфраструктура открытых ключей технология аутентификации с помощью открытых ключей, хранящихся в базе центра сертификации, который является основной структурой, формирующей цифровые сертификаты подчиненных центров сертификации и конечных пользователей. Центр сертификации сам формирует собственный секретный ключ, сертификат, содержащий открытый ключ данного центра и подписанный им самим. В чистом виде эта технология не применяется в банке. Применяются базы открытых ключей, которые сопровождаются специальными сотрудниками банка - функционирует удостоверяющий центр, который выдает сертификаты ключей подписей для использования в корпоративных информационных системах.
По сертификату ключа подписи можно установить подлинность ЭЦП и идентифицировать владельца ключа подписи. Удостоверяющий центр управляет выданными сертификатами ключей подписей (может аннулировать действие определенных сертификатов ключей подписей, приостанавливать их действие, вносить их в реестр сертификатов ключей подписей и т.д.), обеспечивает выдачу сертификата ключа подписи на бумажном носителе, предоставляет участникам корпоративных информационных систем иные связанные с применением ЭЦП услуги.
При использовании ЭЦП необходимо соблюдать правила хранения и использования носителя ключа ЭЦП, т.е. обеспечить надежную защиту от НСД для исключения возможности подделки электронных документов при его краже или несанкционированном использовании (например, подписать электронный документ от имени владельца ключа), для снижения уровня своего риска при использовании ЭЦП. Но даже при соблюдении всех условий срок действия ключей ЭЦП не может составлять более 2 лет.
При компрометации или подозрении на компрометацию конфиденциального ключа ЭЦП владелец ключа или другое лицо, установившее факт компрометации, обязано сообщить об этом руководителю своего подразделения и в подразделение защиты информационных технологий. Владелец ключа ЭЦП обязан безотлагательно прекратить эго использование. Администратор криптоключей должен незамедлительно организовать удаление соответствующего открытого ключа из всех баз. По факту компрометации конфиденциального ключа ЭЦП ОИБ проводит расследование. К нарушителям могут применяться любые меры дисциплинарного воздействия. При подозрение на мошенничество с использованием ЭЦП или наличии материального ущерба документы передаются в следственные органы.
ЭЦП широко применяется как при электронном документообороте внутри банка, так и при электронном документообороте с Клиентами банка, заключившими договора на обслуживание. Внедрение электронного документооборота с использованием ЭЦП повышает скорость прохождения банковских документов, а также обеспечивает их подлинность.
Правовые условия применения ЭЦП на территории России, а также общие требования ее применения в сферах государственного управления и в корпоративной информационной системе на территории РФ определены Федеральным законом № 1-ФЗ «Об электронной цифровой подписи». На территории РФ действует государственный стандарт ГОСТ Р 34.10-2001, обеспечивающий алгоритм ЭЦП, основанный на эллиптических кривых. Его стойкость основывается на сложности вычисления дискретного логарифма в группе точек эллиптической кривой, а также на стойкости хэш-функции по ГОСТ Р 34.11-94. После подписывания сообщения М к нему дописывается цифровая подпись и текстовое поле. В текстовом поле могут содержаться, например, дата и время отправки или различные данные об отправителе.
Банк применяет ключи ЭЦП, сформированные в соответствии с данным стандартом.