Электронная цифровая подпись

Электронная цифровая подпись применяется для подписи электронных документов, как обычная подпись - для документов бумажных. В России юридическую значимость имеет ЭЦП, выданная (заверенная) удостоверяющим центром.

ЭЦП можно разделить на три составляющие: открытый ключ, закрытый ключ и сертификат. Сертификат содержит сведения о владельце ЭЦП и может включать в себя не только персональные данные, но и реквизиты компании, то есть служить аналогом печати.

С помощью закрытого ключа осуществляется формирование подписи электронного документа. Открытый ключ служит для верификации подписи. Он виден всем участникам системы электронного документооборота.

Закрытый ключ используется для генерации самой подписи и хранится, как правило, на смарт-карте (карте со встроенным чипом) или флешке - брелке eToken.

Для генерации ЭЦП необходимо установить на компьютер специальную (обычно платную) сертифицированную программу-криптопровайдер (CryptoPro, Lissi и т. п.).

Поскольку ЭЦП допускает наличие различных криптопровайдеров и различных данных в сертификате, при использовании подписи необходимо удостовериться, что она годится для той или иной системы электронного документооборота, например системы электронных торгов.

Более полно с термином ЭЦП можно ознакомиться в Федеральном Законе РФ от 10.01.2002 N 1-ФЗ "Об электронной цифровой подписи", который ныне действует в редакции от 08.11.2007 N 258-ФЗ и утрачивает силу с 1 июля 2012 года в связи с изданием нового Федерального закона от 06.04.2011 N 63-ФЗ "Об электронной подписи".

Ранее термин определялся как:

"электронная  цифровая подпись - реквизит электронного  документа, предназначенный для  защиты данного электронного  документа от подделки, полученный  в результате криптографического  преобразования информации с  использованием закрытого ключа  электронной цифровой подписи  и позволяющий идентифицировать  владельца сертификата ключа  подписи, а также установить отсутствие  искажения информации в электронном  документе"

Согласно последнему ФЗ, из термина пропало слово "цифровая", и он звучит теперь так:

"электронная  подпись - информация в электронной  форме, которая присоединена к  другой информации в электронной  форме (подписываемой информации) или  иным образом связана с такой  информацией и которая используется  для определения лица, подписывающего  информацию".

Определения остальных связанных терминов также претерпели изменения.

Что такое eToken

eToken – флешка, брелок с USB-разъемом, служащий в качестве персонального электронного ключа-идентификатора. Иногда выпускается в форм-факторе смарт-карты (пластиковой карты с чипом) или в виде программного приложения (так называемые виртуальные электронные ключи).

В случае использования в системе дистанционного банковского обслуживания eToken служит для подтверждения финансовой операции - электронной цифровой подписью или одноразовым паролем.

Наиболее защищенными считаются устройства, где подтверждение трансакции проходит внутри ключа-флешки, то есть пароль не покидает пределов брелка. Однако и такая схема не спасает на 100% от мошенников, использующих вредоносное ПО, способное заранее подменить сумму и реквизиты платежа и отправить для подтверждения на ключ ложную трансакцию.

Банки, первоначально продвигавшие eToken только среди VIP- или корпоративных клиентов, начинают все активнее предлагать такие устройства и рядовым пользователям – физическим лицам. Цена электронного ключа может составлять - в зависимости от объемов флеш-памяти и функционала - от нескольких сотен до нескольких тысяч рублей.

 
Также у пользователей не должно складываться впечатление, что носитель, будь то Токен, дискета или флешка – и есть полноценная ЭЦП. Без закрытого ключа внутри и настройки ключевой связки это просто похожие на флэшку бесполезные штучки. 
 
Итак, сейчас будет немного терминологии. 
Центр сертификации – это место, в которое надо идти за получением ЭЦП. Процедура получения связана с генерацией заявок и бумажной волокитой. Также необходимо определить права, которые вам нужны в системе. Подробно на получении ЭЦП внимание заострять не буду, в каждом центре свои нюансы и свои АРМ для генерации заявок.  
Перейдем к тому, что у должно быть на руках после того, как вы завершили процесс получения эцп в центре сертификации: 
Корневые сертификаты – это файл(ы) формата .cer, без них ничего работать не будет, поскольку они позволяют системе идентифицировать центр сертификации. Обязательно требуйте их у вашего центра, хотя обычно они в открытом доступе и их можо скачать с официальных сайтов.  
Открытый ключ – файл формата .cer, обычно именной. Его можно отсылать кому угодно и как угодно. Это публичная информация, которая поможет идентифицировать владельца электронного ключа. 
Закрытый ключ – набор файлов, которые должны храниться на электронном носителе. Выглядят как адакадабра, однако при утере данных файлов возможны серьезные последствия. Вдруг злоумышленник захочет ими попользоваться, а на пин-коды и встроенную защиту надежды особой нет. В любом случае при малейшем подозрении на утерю ключа надо писать заявку в центр сертификации на отзыв сертификата. И проходить процедуру получения заново. Так можно избежать ненужной “головной боли”. 
Программа-криптопровайдер – жизненно необходима для работы с эцп. У нас стоит Крипто-Про, и другими я не пользовался. Важный нюанс, версия Крипто-Про 3.0 не работает с Win7, необходима версия 3.6. WinXP же работает со всеми версиями.  
Все, с терминами покончено, перейдем теперь конкретно к процессу настройки рабочего места пользователя, на лице которого застыло недоуменное выражение с немым вопросом “Ну зачем мне нужно это ЭЦП?” Вы представляете, даже детские сады и школы обязали проводить закупки в электронной форме. Чтобы купить, например, йогурты, необходимо создать котировку на портале закупок. 
Итак, поехали: 
 
1. Устанавливаем криптопровайдер. Запускаем инсталлятор Крипто-про CSP, настраиваем считыватели (т.е. если у вас закрытый ключ будет на дискете, тогда считывателем будет флоппик), вводим лицензию, далее, далее, далее – готово. Офсайт.  
2. Качаем и устанавливаем объект Capicom версии 2.1.0.2. Он необходим для корректрой работы с площадками. Лежит он на сайте Microsoft – 
3. Если необходимо, ставим драйвера для корректной работы носителей (Токенов, смарт-карт). Их можно найти на официальных сайтах. У нас используются RuToken'ы. 
4. Устаналиваем корневые сертификаты. Помещаем их в хранилище корневых центров сертификации. 
5. Создаем связку ключей через крипто-про. Делается это достаточно просто. Запускаем крипто-про, выбираем “Cервис -> установить личный сертификат”. Указываем открытый ключ, указываем носитель закрытого ключа, вводим пин-код, помещаем сертификат в личное хранилице.  
Вот и все, ЭЦП настроена. Поздравляю! Но… осталось еще проделать нескоторые манипуляции с браузером. Браузер, кстати, для работы с торговыми площадками — только Internet Explorer. 
 
Во-первых, заносим электронную площадку в безопасные узлы, в точности так как на скрине. 
Во-вторых, для безопасных узлов разрешаем использование всех ActiveX компонентов. Да, и в безопасные узлы не добавляйте опасные! 
В-третьих, разрешайте все вылетающие надстройки на площадках, а то будут различные проблемы возникать. 
Как проверить работу ЭЦП? На электронной площадке ММВБ есть тестовая страница, на которой можно проверить работоспособность ЭЦП, и понять, чего не хватает для полноценной работы.