Récemment, dans le magazine
Inside , nous avons parlé du stockage d'archives à long terme des documents électroniques (ED) certifiés par signature électronique (EP). L'article a été consacré à un examen de divers points de vue sur l'organisation de ce processus et des approches pour prolonger les propriétés de la signification juridique de la DE. Dans ce document, nous nous sommes concentrés sur l'approche qui prévoit la formation de reçus de documents. Ce sont des métadonnées contenant les résultats des contrôles, ainsi que tous les attributs nécessaires, confirmant la signification juridique du document au moment de la vérification.
Cet article révèle plus en détail une autre approche du stockage d'archives à long terme (DAC) - la formation d'une signature électronique avancée (UEP), à savoir la signature numérique dans les formats d'archives CAdES-A et XAdES-A.
Essayons de comprendre plus en détail comment et pourquoi les documents électroniques d’archivage peuvent prolonger le cycle de vie des documents électroniques avec des documents électroniques. Commençons par un petit programme pédagogique théorique sur les types et formats de signatures numériques, puis considérons en pratique la procédure de formation d'un signe électronique d'archive par des produits développés par Gazinformservice.
Un peu de théorie
Signature électronique de type CAdESCMS Advanced Electronic Signatures (CAdES) est une norme de signature électronique qui est une version étendue de la norme CMS (Cryptographic Message Syntax). Le document principal décrivant cette norme est ETSI TS 101 733 Signature électronique et infrastructure (ESI); CMS Advanced Electronic Signature (CAdES). "
Le CAdES a été le développement de la CMS, dans lequel des lacunes fondamentales du prédécesseur telles que l'absence de tampon de temps de confiance pour créer une signature électronique, l'absence d'un type de contenu d'une signature électronique et l'absence de possibilité de préservation à long terme des propriétés de la signification juridique des lettres électroniques ont été corrigées.
La norme définit plusieurs formats CAdES, dont chacun inclut le précédent (conformément à la séquence présentée ci-dessous) et l'étend:
Formats standard CAdES1. CAdES-BES (Signature électronique de base) - le format de base et le plus simple de la norme, fournit une authentification de base des données et la protection de leur intégrité. Il contient les attributs suivants:
- Données utilisateur signées (expéditeur ED);
- un ensemble d'attributs signés obligatoires (les attributs sont appelés signés si la génération ES provient d'une combinaison de ces attributs et des données utilisateur);
- Valeur ES calculée pour les données utilisateur et les attributs signés;
- un ensemble d'attributs supplémentaires;
- un ensemble d'attributs de signature facultatifs.
2. CAdES-EPES (signature électronique explicite basée sur des politiques) est un format qui contient une indication explicite des règles ES sélectionnées. Dans CAdES-EPES, l'attribut de signature signature-policy-identifier est ajouté, ce qui définit l'identifiant des règles ES sélectionnées. En signant cet identifiant, l'expéditeur indique explicitement qu'il a appliqué certaines règles lors de sa création. En conséquence, le destinataire doit vérifier la signature électronique selon les mêmes règles.
3. CAdES-T (Timestamp) est un format ES de type CAdES dans lequel un champ est ajouté pour fixer l'heure de confiance.
4. CAdES-C (Complete) contient un ensemble complet de données de vérification. Il diffère de CAdES-T par l'ajout des attributs non signés références-certificat-complet et références-révocation-complète.
Le premier attribut contient les identifiants de tous les certificats utilisés pour vérifier l'ES. Le deuxième attribut contient les identifiants des certificats de la liste des certificats révoqués (listes de révocation de certificats, CRL, SOS) et / ou des réponses reçues par le protocole pour vérifier l'état actuel des certificats (OCSP).
L'inclusion de ces attributs facilite l'obtention d'informations sur les certificats des clés de vérification ES, qui sont nécessaires pour que le destinataire vérifie l'ES, car les données sur les certificats valides et invalides seront déjà contenues dans l'ES lui-même.
5. CAdES-X (Extended) est un format ES de type CAdES qui comprend les sous-formats suivants inclus dans le type CadES-C:
- CAdES-X Long est un format ES étendu à long terme qui ajoute des attributs de valeurs de certificat et de valeurs de révocation. Ils représentent les données complètes des certificats et SOS nécessaires pour vérifier la signature CAdES-C, même si leur source d'origine n'est pas disponible et exclut la possibilité de perdre ces informations.
- CAdES-X Type 1 - Ajoute un attribut d'horodatage qui contient l'horodatage sur la signature CAdES-C entière. Cela garantit l'intégrité et la disponibilité du temps de confiance dans tous les éléments de l'EE. Ainsi, cet attribut vous permet de protéger les certificats, SOS et les réponses reçues sous le protocole OCSP, dont les informations sont enregistrées dans l'ES (pertinentes lorsque vous compromettez la clé d'autorité de certification, la clé d'éditeur SOS ou la clé de service OCSP).
- CAdES-X Type 2 - ajoute un horodatage à CAdES-C, mais pas pour l'ensemble de l'ES, mais uniquement pour les liens complets vers les certificats et SOS.
6. CAdES-X Long Type 1 - ce format EP est une combinaison de CAdES-X Long et CAdES-X Type 1
7. CAdES-X Long Type 2 - ce format EA est une combinaison des formats CAdES-X Long et CAdES-X Type 2.
8. CAdES-A (Archivage) est un format EP de type CAdES créé sur la base de CAdES-X Long Type 1 ou Type 2 en ajoutant un ou plusieurs attributs d'horodatage d'archivage, qui sont des horodatages d'archivage (figure 1). C'est ce format EP qui est utilisé pour archiver les EP à long terme et pour fournir le DAH, à condition qu'il soit possible de vérifier la signification juridique de l'ED stocké sur une longue période (ce que l'on appelle «l'interopérabilité dans le temps»).
La forme archivée de la signature numérique CAdES-A comprend les éléments suivants:- ensemble complet de données de vérification (CAdES-C);
- Valeurs des certificats et SOS (CAdES-X Type 1 ou CAdES-X Type 2), le cas échéant;
- données utilisateur signées et un horodatage archivé supplémentaire appliqué à toutes les données.
Figure 1 - Diagramme de la formation de la signature électronique au format CAdES-ALes problèmes d'organisation du DAC sont associés non seulement à la période de validité limitée d'un certificat d'utilisateur établi par la législation russe à 1 an 3 mois, mais également aux modifications des algorithmes cryptographiques, qui à leur tour sont causées par la détérioration de leurs propriétés de résistance due au développement des méthodes de cryptanalyse et de l'industrie informatique.
Un horodatage supplémentaire peut être appliqué au-dessus des autorités de certification au format CAdES-A, qui protégera son contenu lors de l'identification des vulnérabilités des fonctions de hachage cryptographique utilisées, lors de la rupture des algorithmes cryptographiques utilisés et lorsque les clés sont compromises. Il ne faut pas oublier que la séquence des horodatages peut offrir une protection contre la contrefaçon électronique, à condition que ces horodatages aient été appliqués avant que la clé de service d'horodatage ne soit compromise. Ainsi, ES au format CAdES-A vous permet de maintenir son authenticité pendant de très longues périodes, et le placement périodique de tampons d'archives fournira l'occasion de vérifier ES lors de la mise à jour des normes cryptographiques.
Il est également important de noter que les données supplémentaires nécessaires pour créer les formulaires ES archivés décrits ci-dessus sont transférées en tant qu'attributs non signés associés à un ES séparé en plaçant la structure SignerInfo dans le champ unsignedeAttrs. Ainsi, tous les attributs de l'archive EP ne sont pas signés, grâce à quoi son exactitude mathématique n'est pas violée.
Imaginez tout ce qui a été décrit ci-dessus sous une forme tabulaire plus visuelle:
Analyse comparative des formats CAdES EPSignature électronique de type XAdESXML Advanced Electronic Signatures (XAdES) est une norme de signature électronique qui est une version étendue de la norme XML Digital Signature (XMLDSig). Le document principal décrivant cette norme est ETSI EN 319 132-1 «Signature électronique et infrastructure (ESI); Signatures numériques XAdES. "
De même pour les EP de type CAdES, plusieurs formats sont définis pour les EP de type XAdES, dont chacun inclut le précédent (conformément à la séquence présentée ci-dessous) et l'étend:
Formats standard XAdES- XAdES-BES (signature électronique de base)
- XAdES-EPES (signatures électroniques de politique explicite)
- XAdES-T (horodatage)
- XAdES-C (complet)
- XAdES-X (données de validation étendues)
- XAdES-XL (longue durée prolongée)
- XAdES-A (Archivage)
Nous ne décrirons pas en détail les différences entre chaque format suivant dans la liste du précédent, car il répète exactement la description de CAdES, en supposant l'enrichissement de la structure signée avec des champs et des attributs similaires. Les principales différences sont résumées immédiatement sous forme de tableau:
Analyse comparative des formats XAdES ESNouvelles fonctionnalités des produits Litoria pour la fourniture de DAH
Le complexe logiciel (PC) «Litoria Desktop 2» est le développement de la société Gazinformservice, qui offre à l'utilisateur la possibilité de rejeter complètement la paperasse et de passer à une interaction électronique juridiquement significative et confidentielle. La création et la vérification d'UEP au format CAdES-A sont déjà disponibles pour les utilisateurs du progiciel, à partir de la version 2.2.3. Dans le même format, le PE confirme les reçus et les vérifie également par le PC du service tiers de confiance «Litoria DVCS» dans la version 5.2.2.
Considérez le processus de formation de l'UEP d'archivage sur la base des données du produit.
1. En utilisant «Litoria Desktop 2», nous créerons un UEP pour un document électronique que nous transmettrons au SDTS «Litoria DVCS» pour générer un reçu:
Figure 1 - Formation d'UEP à l'aide du PC «Litoria Desktop 2»
Des informations détaillées sur l'UEP formé peuvent être consultées via l'onglet «Vérifier et extraire». Nous voyons que le certificat du signataire est valide jusqu'au 20 octobre 2018 (figure 2), et le certificat du serveur TSP, qui a en fait ajouté l'horodatage à la signature et l'a améliorée (figure 3), jusqu'au 22 décembre 2032.
Figure 2 - Affichage des informations sur ES dans l'interface du PC "Litoria Desktop 2" (certificat utilisateur)
Figure 3 - Affichage des informations sur ES dans l'interface du PC «Litoria Desktop 2» (certificat de serveur TSP)
À son tour, la validité de l'UEP à laquelle l'ED est certifié est déterminée par la période de validité du certificat de serveur d'horodatage. Mais ici, il convient de noter que pour cet article, nous avons utilisé un test CA non accrédité et un test TSP, pour lesquels des certificats non qualifiés ont été délivrés. Dans les réalités russes, la période de validité d'un certificat de serveur d'horodatage qualifié ne doit pas dépasser 15 ans.
Mais que faire quand un document doit être conservé plus de 15 ans? C'est ici que le format d'archivage des signatures électroniques apposées sur les reçus entre en jeu (à l'aide du PC «SDS» Litoria DVCS »).
2. Nous irons sur le compte personnel de l'utilisateur de l'ordinateur personnel SDTS Litoria DVCS et enverrons l'ED signé pour former le reçu de vérification (figures 4, 5).
Figure 4 - Formation d'un reçu pour ED dans le PC «SDTS« Litoria DVCS »
Figure 5 - Informations détaillées sur la réception dans le PC «SDTS« Litoria DVCS »
Chèque ED terminé, reçu formé. Maintenant, le complexe analysera automatiquement la validité de chacun des reçus stockés, qui est déterminée par la période de validité du certificat de service d'horodatage, et à la survenance de l'événement de fin de validité, les reçus seront réémis, c'est-à-dire une chaîne de documents juridiquement pertinents est en train de se former: «initial ED - reçu 1 - reçu 2 - .... - reçu n "
Signature au format CAdES-A à l'aide du PC Litoria Desktop 2
Considérons la deuxième façon, jusqu'ici mécanisée, de former des ES au format CAdES-A à l'aide de Litoria Desktop 2 PC.
1. Nous lançons le PC Litoria Desktop 2, nous formons UEP de manière déjà connue
2. Nous allons dans le répertoire «Archival storage», copions notre ED signé dans le dossier «edsArch» et exécutons l'utilitaire Gis.ArchUpgrade (l'installation a lieu pendant l'installation du complexe dans le répertoire correspondant spécifié par l'utilisateur, figure 6)
Figure 6 - Préparation de l'ED pour la formation du formulaire électronique au format CAdES
3. Une fois la procédure terminée, une notification s’affiche sur l’écran de l’utilisateur dans la console (figure 7).
Figure 7 - Formation réussie de l'UEP au format CAdES-ANous soulignons une fois de plus que le format de signature CAdES-A implique l'ajout d'attributs non signés à l'ES d'origine, ce qui ne viole pas l'exactitude mathématique de l'ES d'origine.
4. Maintenant, nous allons dans le dossier «edsArch» et vérifions le fichier généré par le résultat du travail de l’utilitaire sur le PC Litoria Desktop 2 (figures 8, 9, 10).
Figure 8 - Un fichier avec une signature d'archive générée par l'utilitaire Gis.ArchUpgradeFigure 9 - Résultats de la vérification de l'archive ES sur le PC Litoria Desktop 2 (certificat utilisateur)Figure 10 - Résultats de la vérification de l'archive ES sur le PC Litoria Desktop 2 (certificat de service TSP)Et enfin - un extrait de code ASN.1 horodatage archivé:
Ainsi, aujourd'hui, il existe déjà des options viables pour assurer le cycle de vie complet des documents électroniques juridiquement pertinents qui nécessitent un stockage à long terme. Vous pouvez trouver des informations plus détaillées sur les produits conçus pour résoudre le problème indiqué sur le site Web de la société de développement ou en contactant le service des ventes par téléphone 8 (812) 677-20-53, e-mail: salespo@gaz-is.ru.