Сертифікати персональної електронної пошти

Подробнее о сертификатах для подписи email >>> в специализированной мобильной версии сайта

Цифровий підпис. Зміст листа не шифрується. Зміст листа можуть прочитаь усі . Текст і вкладення листа не можна змінити "по дорозі ". Відкритий ключ відправника пересилається разом з листом.

Шифрування листа. Зміст листа може прочитати тільки одержувач. Лист шифрується відкритим ключем одержувача і може бути розшифровано тільки закритим ключем одержувача

Зашифрований і підписаний лист. Зміст листа може прочитати тільки одержувач. Лист шифрується відкритим ключем одержувача і може бути розшифровано тільки закритим ключем одержувача. Текст листа не можна змінити "по дорозі ". Відкритий ключ відправника пересилається разом з листом

Іноді, відправляючи пошту, нам необхідно бути абсолютно упевненими в тім , що адресат одержить саме той лист, що ми відправляли: не змінений поштовими роботами, не підроблений злісними хакерами і так далі і так далі. Трапляються ситуації, коли один лист від Вашого імені , але не від Вас може погубити відносини (ділові або особисті ), що будувалися кілька місяців або більше. Як захистити себе від усього цього? За допомогою електронних підписів/сертифікатів!

У сучасних компанія через електронну пошту проходить практично весь обсяг документів. По електронній пошті співробітники обмінюються невеликими робочими записками, керівники розсилають розпорядження і циркуляри, департаменти погоджують між собою пакети документів. Навіть найважливіші документи, що у паперовому виді будуть зберігатися в сейфі, найчастіше при підготовці й узгодженні перекидаються через e-maіl. По електронній же пошті йде постійний обмін документами, прайсами, договорами... Перехоплення і навіть підробка електронної кореспонденції з погляду технології досить нескладні. Єдина міра захисту ділової переписки - застосування особистого електронного цифрового підпису . Лист, підписаної ЕЦП, не може прочитати ніхто, крім адресата. У такому листі не можна змінити ні букви, його не можна підробити або зняти копію. Більш того, у випадку судового розгляду, лист, завіреної ЕЦП, може бути розглянуте як доказ.

Трохи історії

Ідея шифрування змісту електронної пошти з'явилася ще в 1991 році. Саме тоді Фил Циммерман написав програму Pretty Good Prіvacy (PGP), що відразу стала популярної серед "просунутих" мережних користувачів.

Останні кілька років технології шифровки пошти привернули увагу керівництва України. Перший законодавчий акт, що регулює цю сферу діяльності, Закон "Про електронний цифровий підпис", - набрав сили з 1 січні 2004 року. Закон "Про електронний документ і електронний документообіг" був підписаний президентом України Леонідом Кучмою 22 травня 2003 р. Цей закон встановлює основні організаційно-правові положення електронного документообігу і використання електронних документів в Україні. Закон "Про електронні документи та електронний документообіг" прийнятий прийнятий 22 травня Верховною Радою України надає право фізичним і юридичним особам використовувати електронний підпис у документах і матеріалах, що представляються в електронному виді . Передбачається, що вступ у силу цих законів буде сприяти розвиткові на Україні Інтернет-банкинга та Інтернет-комерції. У цих законах, дається визначення термінів, що використовуються в процесі здійснення електронного документообігу і використання електронних документів. До таких термінів, зокрема , відносяться "електронна інформаційна система", "електронний цифровий підпис", "таємний ключ", "засіб нанесення і перевірки електронного цифрового підпису".

Відповідно до закону, оригіналом електронного документа вважається його електронний екземпляр з електронним цифровим підписом підписанта. При цьому однакові по змісту і реквізитам документи в паперовому й електронному виді мають однакову юридичну чинність. Ці закони забезпечують правові умови, при дотриманні яких ЕЦП визнається рівнозначного власноручного підпису на паперовому документі.

Законом також встановлюються обмеження на використання електронного документа як оригіналу. Оригіналами, зокрема, не можуть бути свідчення про право на спадщину. Суб'єкти електронного документообігу повинні зберігати електронні документи на електронних носіях інформації у формі, що дозволяє перевірити їхня цілісність на цих носіях. При цьому термін збереження електронних документів повинний бути не менше терміну, установленого для звичайних документів аналогічного призначення. По задуму його авторів, він повинний був перевести державний документообіг на новий рівень, забезпечивши законодавчу базу для впровадження електронних технологій у діловодство. Однак закон виявився реально "непрацюючим ": у ньому були описані тільки загальні положення, а конкретних пунктів (про сертифікації засобів ЕЦП, про ліцензування центрів, що засвідчують, ЕЦП і ін.), що дозволяють держорганам сприймати ЕЦП не тільки як технічний засіб інформаційної безпеки, але і як реальну альтернативу паперовому документообігові, у ньому не було.

Пріоритетна задача - зробити так, щоб звітні документи в електронному виді , підписані ЕЦП, приймали усі відомства, щоб в усі системи електронного документообігу була інтегрована ЕЦП і будь-які організації могли обмінюватися електронними документами, що мають юридичну значимість. І дуже важлива мета - зробити так, щоб українські бізнесмени могли обмінюватися юридично значимими електронними документами з закордонними партнерами.

Генерація ключів ЕЦП в інформаційній системі загального користування може бути здійснена як учасником системи, так і спеціальною організацією, що має назву підтверджуючий центр. Діяльність цієї організації підлягає ліцензуванню у відповідності із законом "Про ліцензування певних видів діяльності". В Україні жоден міжнародний підтверджуючий центр не має ліцензії, оскільки ліцензуючий орган в Україні не створено. Це звичайно юридичний пробіл.

Згідно законодавства -електронний цифровий підпис (ЕЦП) - це "реквізит електронного документу, призначений для захисту данного документу від підробки, отриманий в результаті криптографічного перетворення інформації з використанням закритого ключа електронного цифрового підпису, що дозволяє ідентифікувати власника сертифікату ключа підпису, а також встановити відсутність спотворення інформації в електронному документі".

"Засоби електронного цифрового підпису- аппаратні та (або) програмні засоби, що забезпечують реалізацію хоча б однієї з наступних функцій - створення електронного цифрового підпису в електронному документі з використанням закритого ключа електронного цифрового підпису, підтвердження з використанням відкритого ключа електронного цифрового підпису достовірності ЕЦП в електронному документі, створення відкритих та закритих ключів електронних цифрових підписів.

Припустимо, ви - глава организації і вирішили перейти на електронний документообіг всередині своєї контори. Ви видаєте наказ в електронному вигляді і розповсюджуєте його серед працівників. Як відомо, наказ повинен бути підписаним. Але електронний документ не підпишешь звичаним чином: це Вам не папірець. Можна, звичайно, зберігати накази на дискетах та підписувати етикетки. Однак немає жодної гарантії, що який-небудь розумник не схоче підправити зміст дискети на свою користь, тим більше що довести виправлення можна далеко не завжди.

Те саме може відбутися якщо додати в електронний документ логотип або факсимиле підпису: його занадто легко скопіювати та поставити в інший документ. Вихід тільки один: підпис повинен залежати від кожного символу важливої інформації в документі, що підписується (найпростіший варіант - підпис містить контрольну суму всіх символів документу). У цьому випадку вже можна виявити наявність в документі несанкціонованих змін за допомогою спеціальної програми, що перевіряє відповідність інформації в документі данним підпису.

Підпис також буде формуватися спеціальною програмою. Але цього недостатньо. Уявіть собі, що у вас є декілька заступників, які повинні видавати письмові розпорядження та, відповідно, підписувати їх. Один підпис на всіх із зрозумілих причин використовувати не можна, а писати програми підписання та перевірки достовірності документів (кожному свою програму зі своїм алгоритмом) накладно, так і підлеглим незручно запускати на кожного начальника свою програму перевірки достовірності підпису.

Вирішити цю проблему можна за допомогою розробки таких алгоритмів підписання та перевірки ЕЦП, щоб крім інформации листа в підпису враховувався так званий ключ ЕЦП. Ключом може бути випадкове число або послідовність символів, унікальна для кожного керівника. Можна вкласти ці ключі безпосередньо в програми, але це потягне за собою необхідність переписування програм у випадку зміни структури керівного апарату организації або зміни керівництва.

Можна брати ключі зі спеціально заведеної бази даних, це дуже зручно, якщо комп'ютери підприємства з'єднані в мережу. Однак це може привести до того що ключі ЕЦП будуть розкриті зловмисниками та використані для підробки документів зі всіма витікаючими з цього наслідками. Тому закон знає тільки двохключеву систему ЕПЦ. При використанні цієї системи на кожну особу заводиться по 2 ключа -відкритий та закритий.

"...закритий ключ електронного цифрового підпису - унікальна послідовність символів, відома власнику сертифіката ключа підпису, призначена для створення в електронних документах електронного цифрового підпису з використанням засобів ЕЦП..."

"...відкритий ключ електронного цифрового підпису- унікальна послідовність символів, що відповідає закритому ключу електронного цифрового підпису, доступна будь-якому користувачу інформаційної системи і призначена для підтвердження з використанням засобів ЕЦП достовірності електронної цифрового підпису в електронному документі..."

Відкритий ключ ЕЦП розповсюджується відкрито серед учасників інформаційної системи й використовується для перевірки достовірності підписаного ЕЦП документа. Закритий же ключ використовується для підписання документів, а тому повинен бути відомим тільки власнику підпису. Оскільки відкритий та закритий ключі відрізняються один від одного, алгоритми підписання та перевірки достовірності документа також різні. При цьому вони повинні розроблятися таким чином, щоб при наявності відкритого ключа та (або) підписаного документа вирахувати відкритий ключ було б дуже складно або взагалі неможливо.

Робота підтверджуючого центра схожа з дільністю нотаріуса. Особливість видачі сертифіката ЕЦП як послуги заключається в тому що, клієнт являє собою певний пакет документів у оригіналі. Нотаріус підтверджує, що людина, що бажає отримати підпис, -саме та, за яку себе видає. Процедура отримання ЕЦП по важливості та відповідальності порівняна з видачею паспорта.

При впровадженні ЕЦП в систему електронного документообігу корпорації остання отримує можливості принципово нового рівня: обмін електронними документами приобретает юридичну значимість. В сучасній корпорації головним робочим середовищем є не офіс, а складна внутрішня система електронних робочих місць. Дії працівників в цих електронних середовищах повинні бути відповідальними. Єдино можливий спосіб забезпечити справжню, визнану з юридичною точки зору відповідальность за дії в інтранеті компанії, – особисті ЕЦП сотрудников организации.

Власники платних онлайн-сервісів повинні забеспечувати своїм користувачам безпеку та однозначно підтверджувати всі власні дії в онлайні. Відомо багато історій про фальшиві сайти великих інтернет-магазинів, онлайн-аукціонів, за допомогою яких шахраї знімали з кредитних карток гроші користувачів. Всі крупні компанії постійно попереджают клієнтів про фальшиві листи «від служби технічної підтримки», довіряючі яким люди видають зловмисникам свої паролі. Як би всі «саппорти» підписували свої послання, шанси шахраїв обманути користувача зменшились б у багато разів. Багато крупних компаній розміщують на своїх сайтах договори суспільної оферти – це хостинг-провайдери, торгові фірми. Несанкціоновані зміни такого договору можуть привести до вкрай негативних наслідків. Підтвердження цього договору суспільної оферти та прайс-листа ЕЦП зніме усі можливі непорозуміння. Є різного роду платні послуги в Інтернеті – дуже часто вони досить дорогі. Це використання баз данных, трейдингових стрічок новин, архивів і т.д.. Доступ до цих сервісів оптимально забезпечується за допомогою особистої ЕЦП користувача, а не через досить умовну систему «логин-пароль». Найбільш вигідно займатися впровадженням ЕЦП у вже існуючих сервісах, а також тим, хто зацікавлений у стратегічному розвітку.

Ви можете отримати серверні сертифікати в загальновизнаних CA – DigiCert (VeriSign), Thawte, GeoTrust тощо. Загальновизнання полягає в тому, що істинність підписів на выданных ними сертификатах можна перевірити по вбудованих у поштові агенти та браузери сертифікати цих CA. Тобто користувальницькі програми довіряють їм за замовчуванням (чи довіряють користувачі -це інше питання). Сертифікати цих CA платні. У багатьох випадках використовуються самовидані сертифікати або такі що не включені в списки довірених CA. У цьому випадку користувальницька програма видає віконце з питанням, чи до віряє користувач цьому центру сертифікації.