Международные стандарты аутентификации электронных документов

Вариант № 1. Международные стандарты аутентификации электронных документов.

«Информационно-коммуникационные технологии (ИТ) являются одним из наиболее важных факторов, влияющих на формирование общества двадцать первого века», - говорится в Окинавской Хартии Глобального Информационного Общества, которая была подписана в прошлом году главами «восьмерки» ведущих государств планеты.

 

В последнее время в  мире бурно развивается электронная  коммерция или торговля по сети Интернет, осуществляемая при непосредственном участии кредитно-финансовых организаций. И этот способ торговли становится все более популярным, по крайней  мере, там, где новым электронным  рынком можно воспользоваться значительной части предприятий и населения.

 

Однако, за рубежом, где электронная  коммерция наиболее широко распространена, объем сделки или стоимость товаров  часто ограничиваются 300-400 дол. Это  объясняется недостаточным решением проблем информационной безопасности в компьютерных сетях. По оценке Комитета ООН по предупреждению преступности и борьбе с ней, компьютерная преступность вышла на уровень одной из международных  проблем. В США этот вид преступной деятельности по доходности занимает третье место после торговли оружием  и наркотиками.

 

 

 

 

Безопасная информация и  ее свойства

 

По мнению ведущих зарубежных специалистов, развитие процесса электронной  коммерции в основном определяется прогрессом в области безопасности информации. Уточним само понятие  «безопасность информации» –  это состояние устойчивости информации к случайным или преднамеренным воздействиям, исключающее недопустимые риски ее уничтожения, искажения  и раскрытия, которые приводят к  материальному ущербу владельца  или пользователя информации.

 

Основные задачи при достижении безопасности информации заключаются  в обеспечении ее доступности, конфиденциальности, целостности и юридической значимости. Каждая угроза должна рассматриваться  с точки зрения того, насколько  она может затронуть эти четыре свойства или качества безопасной информации. Конфиденциальность означает, что информация ограниченного доступа должна быть доступна только тому, кому она предназначена. Под целостностью информации понимается ее свойство существования в неискаженном виде. Доступность информации определяется способностью системы обеспечивать своевременный беспрепятственный  доступ к информации субъектов, имеющих  на это надлежащие полномочия. Юридическая  значимость информации приобретает  все большую важность по мере создания нормативно-правовой базы безопасности информации в нашей стране.

 

Последнее актуально при  необходимости обеспечения строгого учета платежных документов и  любых информационных услуг. Например, наиболее важным (ценным) объектом защиты в автоматизированных банковских системах является электронный платежный документ, его информация или данные, о чем, в частности, говорится в приказе ЦБ РФ №02-144 от 3 апреля 1997 г.

 

Кроме прочего должна обеспечиваться строгая нотаризация (юридически значимая регистрация) информации, которая необходима при разборе любых конфликтов между заказчиками и исполнителями работ по информационному обслуживанию.

 

По прогнозам авторитетных аналитиков, начало стремительного развития электронной коммерции в России придется на конец текущего года. Внешними приметами этого процесса могут  служить участившиеся конференции, выставки и семинары, посвященные  использованию Интернета. На отечественном  финансовом рынке начали развиваться  е-трейдинг и е-банкинг. Зарубежные компании активно скупают популярные российские сайты или создают совместные предприятия для электронной коммерции. В Государственной Думе обсуждаются различные законопроекты, связанные с использованием Интернета.

 

Вот почему несомненный интерес  представляет опыт обеспечения безопасности коммерческой информации в глобальной сети Интернет и смежных Интранет-сетях. Эти вопросы рассматривались на конференции «Информационная безопасность корпоративных сетей», прошедшей в апреле на Валдае и организованной департаментом информатизации Минсвязи России, Главгоссвязьнадзором России, ВНИИПВТИ и компанией «Телестарт». Рассмотрим некоторые аспекты защиты телекоммуникаций.

 

Стандартизация обеспечения  безопасности информации

 

Обеспечение безопасности ИТ невозможно без создания грамотной и качественной системы защиты информации. Это и определило деятельность мирового сообщества по систематизации и упорядочению основных требований и характеристик безопасности информации. Одним из главных результатов стала система международных и национальных стандартов безопасности информации, насчитывающая более сотни различных документов.

 

Это особенно актуально для  так называемых открытых систем коммерческого  применения, обрабатывающих информацию ограниченного доступа, не содержащую государственную тайну и стремительно развивающихся в нашей стране. Под открытыми системами понимают совокупность всевозможного вычислительного  и телекоммуникационного оборудования разного производства, совместное функционирование которого обеспечивается соответствием  требованиям стандартов, прежде всего  международных.

 

Термин «открытые» подразумевает  также, что если вычислительная система  соответствует стандартам, то она  будет открыта для взаимосвязи  с любой другой системой, соответствующей  тем же стандартам. Это, в частности, относится и к криптографической  защите информации или к защите от несанкционированного доступа (НСД) к  информации.

 

В отличие от локальных  сетей, сеть Интернет основана на открытых стандартах, и фирмы используют ее для продвижения продукции на мировой рынок.

 

Развитие Интернета заставило  по-новому взглянуть на технологии открытых систем. Во-первых, Интернет поощряет применение открытых стандартов, доступных  для внедрения всем, кто проявит  к ним интерес. Во-вторых, он представляет собой крупнейшую в мире, и, вероятно, единственную сеть, к которой подключается множество компьютеров. И, наконец, Интернет становится общепринятым средством  представления быстроменяющихся технологий и продукции на мировом рынке. Чтобы быть в курсе всех связанных  с Интернетом новшеств и своевременно реагировать на эти изменения, требуются  время и ресурсы, как и для  любой другой информационной технологии, например, связанной с архитектурой клиент-сервер или объектно-ориентированным  программированием. Целесообразно  также следить за действиями органов  стандартизации и поддерживать адекватную гибкость структуры своей организации.

 

В мире уже давно существует целый ряд комитетов, куда входят, в основном, организации-добровольцы, которые ведут работы по стандартизации предлагаемых технологий Интернета. Эти  комитеты, составляющие основную часть  Рабочей группы инженеров Интернета (Internet Engineering Task Force - IETF), провели стандартизацию нескольких важных протоколов, тем самым, ускорив их внедрение. Среди результатов усилий IETF - такие протоколы, как семейство TCP/IP для передачи данных, SMTP (Simple Mail Transport Protocol) и POP (Post Office Protocol) для электронной почты, а также SNMP (Simple Network Management Protocol) для управления сетью.

 

Другие органы по стандартизации, такие как Международный союз электросвязи (ITU), Американский национальный институт стандартов (ANSI) и Институт инженеров по электронике и электромеханике (Institute of Electrical and Electronic Engineers - IEEE), тоже оказывают влияние на развитие Интернета. Однако IETF является единственным органом, изначально сформированным для этой цели.

 

Между тем, по сравнению с ITU или ANSI, IETF, скорее, неформальная структура. Поэтому IETF публикует свои стандарты  в форме рекомендаций и не может  требовать от предпринимателей их внедрения. Но, несмотря на то, что стандарты IETF необязательны для исполнения, за ними стоит сила рынка. И если предприниматель  хочет выйти на огромный рынок, формируемый  Интернетом, ему необходимо позаботиться, чтобы его продукция была совместима с другой, используемой в Интернете, а значит, соответствовала «необязательным» стандартам IETF.

 

В последние годы наблюдается  фрагментированное влияние на формирование сетевых стандартов. По мере того как  Интернет ширился и обретал черты  как потребительского, так и коммерческого  рынка, некоторые фирмы стали  искать пути влияния на стандартизацию, создав подобие конкурентной борьбы. Давление почувствовали даже такие  неформальные органы стандартизации, как IETF. Предприниматели начали объединяться в специальные группы или консорциумы  для внедрения своих собственных  стандартов. В качестве примеров можно упомянуть OMG (Object Management Group), Форум VRML (Virtual Reality Markup Language Forum) и Java Development Connection. В виду того, что группа IETF обладает значительным авторитетом, эти специальные группы (или отдельные компании) предлагают свои стандарты на ее рассмотрение. В случае их одобрения рекомендация IETF послужит дополнительным «знаком качества». Если стандарт утвержден IETF, то можно быть уверенным, что он будет максимально открытым и принесет выгоду многим предпринимателям.

 

Одна из причин возникновения  специальных групп по стандартизации - противоречие между возрастающими  темпами развития технологий и длительным циклом рассмотрения стандартов. Некоторые  производители считают, что органы стандартизации тратят слишком много  времени на подготовку и утверждение  стандартов. И это свидетельствует, насколько напряженная борьба идет между компаниями за контроль над  стандартами.

 

Протоколы безопасной передачи данных

 

IETF считается самой «быстрой»  из организаций, выпускающих свои  стандарты на основе уже работающих  реализаций. Однако, по мнению Netscape, Cisco и других компаний, хотя IETF делает это более оперативно, чем другие организации (например, ISO и ITU), но все же недостаточно быстро. А чем больше времени уходит у органа по стандартизации на разработку и публикацию стандарта, тем шире временное «окно» для желающих выдвинуть собственные стандарты.

 

В Интернете популярны  протоколы безопасной передачи данных: SSL, SET, IPv6. Они появились сравнительно недавно для защиты ценной информации и сразу стали стандартами  де-факто.

 

SSL

 

SSL (Secure Socket Layer) был разработан американской компанией Netscape Communications Corp. http://home.netscape.com/eng/ssl3/index.html как протокол, обеспечивающий защиту данных между сервисными протоколами (такими как HTTP, NNTP, FTP и т.д.) и транспортными протоколами (TCP/IP) с помощью современной криптографии.

 

Протокол SSL предназначен для  решения традиционных задач обеспечения  защиты информационного взаимодействия, которые в среде «клиент-сервер»  интерпретируются следующим образом:

 

- при подключении пользователь  и сервер должны быть взаимно  уверены, что они обменивается  информацией не с подставными  абонентами, не ограничиваясь паролевой  защитой; 

 

- после установления соединения  между сервером и клиентом  весь информационный поток должен  быть защищен от несанкционированного  доступа; 

 

- при обмене информацией  стороны должны быть уверены  в отсутствии случайных или  умышленных искажений при ее  передаче.

 

Протокол SSL позволяет серверу  и клиенту перед началом информационного  взаимодействия аутентифицировать  или провести проверку подлинности  друг друга (server/client authentication), согласовать алгоритм шифрования и сформировать общие криптографические ключи. С этой целью в протоколе используются двухключевые (асимметричные) криптосистемы, в частности, RSA.

 

Конфиденциальность информации, передаваемой по установленному защищенному  соединению, обеспечивается путем шифрования потока данных на сформированном общем  ключе с использованием симметричных криптографических алгоритмов (например, RC4_128, RC4_40, RC2_128, RC2_40, DES40). Контроль целостности  передаваемых блоков данных производится за счет использования так называемых кодов аутентификации сообщений (Message Autentification Code - MAC), вычисляемых с помощью хэш-функций (в частности, MD5).

 

Последняя версия SSLeay v. 0.8.0, доступная в исходных текстах, поддерживает SSLv3. Этот пакет предназначен для создания и управления различного рода сертификатами. В его состав входит и библиотека для поддержки SSL различными программами.

 

Протокол SSL принят W3 консорциумом (W3 Consortium) на рассмотрение как основной защитный протокол для клиентов и серверов (WWW browsers and servers) в сети Интернет.

 

SET

 

Наиболее распространенный зарубежный опыт решения вопросов управления криптографическими ключами электронного документооборота основывается на использовании Инфраструктуры открытых ключей (Public Key Infrastructure - PKI), названной так по способу защиты электронных документов - криптография с открытыми ключами. Этим термином описывается полный комплекс программно-аппаратных средств и организационно- технических мероприятий, необходимых для использования технологии с открытыми ключами. Основным компонентом инфраструктуры является собственно система управления цифровыми ключами и сертификатами.

 

Эта инфраструктура подразумевает  использование цифровых сертификатов, удовлетворяющих рекомендациям  международного стандарта Х.509 ITU-T, и  развернутой сети центров сертификации, обеспечивающих выдачу и сопровождение  цифровых сертификатов для всех участников электронного обмена документами. По своим  функциям цифровые сертификаты аналогичны обычной печати, которой удостоверяют подпись на бумажных документах.

 

Цифровые сертификаты  содержат открытые криптографические  ключи абонентов, заверенные электронной  цифровой подписью центра сертификации, и обеспечивают однозначную аутентификацию участников обмена. Цифровой сертификат - это определенная последовательность битов, основанных на криптографии с  открытым ключом, представляющая собой  совокупность персональных данных владельца  и открытого ключа его электронной  подписи (при необходимости, и шифрования), связанных в единое неизменяемое целое электронной подписью центра сертификации. Цифровой сертификат оформляется  в виде файла или области памяти и может быть записан на дискету, интеллектуальную карту, элемент touch-memory, любой другой носитель данных.