रूस और दुनिया में क्लाउड इलेक्ट्रॉनिक हस्ताक्षर

शुभ दोपहर, प्रिय पाठक!

कुछ समय से मैं डिजिटल अर्थव्यवस्था कार्यक्रम के अपडेट और समाचारों का सक्रिय रूप से पालन कर रहा हूं। EGAIS प्रणाली के आंतरिक कर्मचारी के दृष्टिकोण से, निश्चित रूप से, प्रक्रिया दशकों के लिए है। और विकास के दृष्टिकोण से, और परीक्षण के दृष्टिकोण से, रोलबैक और आगे कार्यान्वयन अपरिहार्य और विभिन्न बगों के दर्दनाक सुधार के साथ। फिर भी, एक आवश्यक, महत्वपूर्ण और परिपक्व व्यवसाय। मुख्य ग्राहक और इस मज़ा के चालक, निश्चित रूप से, राज्य है। वास्तव में, जैसा कि पूरी दुनिया में है।
सभी प्रक्रियाएं लंबे समय तक डिजिटल या इसके रास्ते पर चलती हैं। यह अद्भुत है। फिर भी, अंतर के लिए पदक के फ्लिप पक्ष भी हैं। मैं एक ऐसा व्यक्ति हूं जो डिजिटल हस्ताक्षर के साथ लगातार काम करता है। मैं शायद "कल के" का समर्थक हूं, लेकिन टोकन का उपयोग करके इलेक्ट्रॉनिक हस्ताक्षरों की सुरक्षा के विश्वसनीय और जीत-जीत के तरीकों के "दादाजी"। लेकिन डिजिटलीकरण हमें दिखाता है कि सब कुछ लंबे समय तक "बादलों" में रहा है और सीईपी को भी वहां की जरूरत है और बहुत जल्दी की जरूरत है।

मैंने यह पता लगाने की कोशिश की, अब तक विधायी और तकनीकी आधार के स्तर पर, जहां यह संभव था, हमारे देश और यूरोप में बादल वाले ईपी के साथ क्या स्थिति है। वास्तव में, इस विषय पर एक से अधिक वैज्ञानिक शोध सामने आए हैं। इसलिए, वे इस मुद्दे में पेशेवरों से इस विषय के विकास से जुड़ने का आग्रह करते हैं।

क्लाउड में सीईपी आकर्षक क्यों है? वास्तव में, प्लसस हैं। ये प्लस काफी हैं। यह तेज और सुविधाजनक है। यह एक विज्ञापन स्लोगन की तरह लगता है, सहमत हैं, हालांकि, ये क्लाउड डिजिटल हस्ताक्षर के वस्तुनिष्ठ लक्षण हैं।

गति टोकन या स्मार्ट कार्ड से बंधे बिना दस्तावेजों पर हस्ताक्षर करने की क्षमता में निहित है। यह हमें केवल डेस्कटॉप का उपयोग करने के लिए बाध्य नहीं करता है। किसी भी OS और ब्राउज़र के लिए एक सौ प्रतिशत क्रॉस-प्लेटफ़ॉर्म इतिहास। विशेष रूप से Apple उत्पादों के प्रशंसकों के लिए सच है, जिसके लिए मैक सिस्टम में ES का समर्थन करने में कुछ कठिनाइयां हैं। दुनिया में कहीं से भी बाहर निकलें, एक सीए (एक रूसी एक भी नहीं) चुनने की स्वतंत्रता। CEP हार्डवेयर के विपरीत, क्लाउड टेक्नोलॉजी सॉफ्टवेयर और हार्डवेयर संगतता की जटिलता से बचाती है। जो, हां, सुविधाजनक है, और, हां, तेज है।

और ऐसे सौंदर्य से किसी को कैसे मोह नहीं हो सकता है? शैतान विवरण में है। सुरक्षा की बात करें।

रूस में बादल सीईपी

क्लाउड सॉल्यूशंस और विशेष रूप से ईडीएस की सुरक्षा - सुरक्षा के लिए मुख्य दर्द में से एक है। वास्तव में मुझे क्या पसंद नहीं है, पाठक मुझसे पूछेंगे, क्योंकि हर कोई लंबे समय से क्लाउड सेवाओं का उपयोग कर रहा है, और एसएमएस के साथ, बैंक हस्तांतरण करना और भी अधिक विश्वसनीय है।
वास्तव में, फिर से, विवरण पर वापस। क्लाउड ईडीएस एक ऐसा भविष्य है जिसके साथ बहस करना मुश्किल है। लेकिन अभी नहीं। ऐसा करने के लिए, विनियामक परिवर्तन होने चाहिए जो क्लाउड डिजिटल हस्ताक्षरों के स्वामी की रक्षा करेगा।

आज हमारे पास क्या है? इलेक्ट्रॉनिक हस्ताक्षर, इलेक्ट्रॉनिक दस्तावेज़ प्रबंधन (ईडीआई) की अवधारणा को परिभाषित करने वाले कई दस्तावेज हैं, साथ ही सूचना और डेटा परिसंचरण के संरक्षण पर कानून भी हैं। इसमें सिविल कोड (रूसी संघ का नागरिक संहिता) को ध्यान में रखना आवश्यक है, जो दस्तावेजों में इलेक्ट्रॉनिक हस्ताक्षर के उपयोग को नियंत्रित करता है।

संघीय कानून संख्या 63-Law 04/06/2011 के इलेक्ट्रॉनिक हस्ताक्षरों पर। विभिन्न प्रकृति के लेनदेन और सेवाओं के प्रावधान में इलेक्ट्रॉनिक हस्ताक्षर का उपयोग करने के सामान्य अर्थ का वर्णन करने वाला मुख्य और ढांचा कानून।

सूचना, सूचना प्रौद्योगिकी और सूचना संरक्षण का संघीय कानून नंबर 149-7 07.27.2006। यह दस्तावेज़ एक इलेक्ट्रॉनिक दस्तावेज़ और इसके साथ जुड़े सभी खंडों की अवधारणा को निर्दिष्ट करता है।

अतिरिक्त कानून हैं जो ईडीआई के विनियमन में शामिल हैं
फेडरल लॉ 402-On "ऑन अकाउंटिंग" दिनांक 12/06/2011। विधायी अधिनियम इलेक्ट्रॉनिक रूप में लेखांकन और लेखांकन दस्तावेजों के लिए आवश्यकताओं के व्यवस्थितकरण के लिए प्रदान करता है।

सहित आप रूसी संघ के मध्यस्थता प्रक्रिया संहिता को ध्यान में रख सकते हैं, जो ईपी द्वारा हस्ताक्षरित दस्तावेजों को अदालत में सबूत के रूप में अनुमति देता है।

और यह यहां था कि यह मेरे लिए सुरक्षा के मुद्दे पर गहराई से खुदाई करने के लिए हुआ, क्योंकि हमारे पास एफएसबी द्वारा प्रदान की जाने वाली क्रिप्टो सुरक्षा और अनुपालन के प्रमाण पत्र जारी करने के मानक हैं। 18 फरवरी को, नए GOSTs पेश किए गए थे। इस प्रकार, क्लाउड में संग्रहीत कुंजियाँ FSTEC प्रमाणपत्र द्वारा सीधे सुरक्षित नहीं हैं। स्वयं कुंजियों की सुरक्षा और "क्लाउड" तक सुरक्षित पहुंच ऐसे कोने हैं जो हमने अभी तक तय नहीं किए हैं। आगे, मैं यूरोपीय संघ में नियमन के एक उदाहरण पर विचार करूंगा, जो स्पष्ट रूप से एक अधिक उन्नत सुरक्षा प्रणाली का प्रदर्शन करेगा।

क्लाउड-आधारित ES का उपयोग करके यूरोपीय अनुभव

चलो मुख्य बात से शुरू करते हैं - बादल प्रौद्योगिकियां, न केवल ईएस का एक स्पष्ट मानक है। यूरोपीय दूरसंचार मानक संस्थान (ETSI) के क्लाउड मानक समन्वय (CSC) का आधार। हालांकि, विभिन्न देशों में डेटा सुरक्षा मानकों में अभी भी अंतर है।

सूचना सुरक्षा प्रबंधन प्रणालियों के लिए आईएसओ 27001: 2013 के अनुसार प्रदाताओं के प्रमाणन के लिए व्यापक डेटा संरक्षण के लिए आधार अनिवार्य है (2006 से इसी मानक के संस्करण पर आधारित रूसी GOST R ISO / IEC 27001-2006)।
आईएसओ 27017 क्लाउड के लिए अतिरिक्त सुरक्षा सुविधाएँ प्रदान करता है जो आईएसओ 27002 में नहीं पाए जाते हैं। इस मानक का पूरा आधिकारिक नाम "क्लाउड सेवाओं के लिए आईएसओ / आईईसी 27002 पर आधारित" सूचना सुरक्षा नियंत्रण के लिए अभ्यास का कोड है। क्लाउड सेवाओं के लिए आईएसओ / आईईसी 27002 ")।

2014 की गर्मियों में, आईएसओ ने क्लाउड में व्यक्तिगत डेटा की सुरक्षा पर आईएसओ 27018: 2015 मानक प्रकाशित किया, और 2015 के अंत में, क्लाउड समाधानों के लिए सूचना सुरक्षा नियंत्रण पर आईएसओ 27017: 2015।

2014 के पतन में, यूरोपीय संसद संख्या 910/2014 का एक नया फरमान, जिसे ईआईडीएएस कहा जाता है, लागू हुआ। नए नियम उपयोगकर्ताओं को विश्वसनीय सेवाओं के एक मान्यता प्राप्त प्रदाता, तथाकथित टीएसपी (ट्रस्ट सेवा प्रदाता) के सर्वर पर सीईपी कुंजी को स्टोर करने और उपयोग करने की अनुमति देते हैं।

अक्टूबर 2013 में यूरोपीय समिति के मानकीकरण (CEN) ने तकनीकी विनिर्देश CEN / TS 419241 "ट्रस्टवर्दी सिस्टम सपोर्टिंग सर्वर साइनिंग के लिए सुरक्षा आवश्यकताएँ" को अपनाया, जो क्लाउड EDS के विनियमन के लिए समर्पित है। दस्तावेज़ में सुरक्षा अनुपालन के कई स्तरों का वर्णन है। उदाहरण के लिए, योग्य इलेक्ट्रॉनिक हस्ताक्षर के निर्माण के लिए प्रस्तुत "स्तर 2" का अनुपालन करना, उपयोगकर्ता प्रमाणीकरण के लिए मजबूत विकल्पों का समर्थन करना है। इस स्तर की आवश्यकताओं के अनुसार, उपयोगकर्ता प्रमाणीकरण सीधे हस्ताक्षर सर्वर पर होता है, इसके विपरीत, उदाहरण के लिए, आवेदन में "स्तर 1" के लिए स्वीकार्य प्रमाणीकरण से, जो हस्ताक्षर सर्वर को अपनी ओर से एक्सेस करता है। इसके अलावा, इस विनिर्देश के अनुसार, एक योग्य ES के गठन के लिए उपयोगकर्ता हस्ताक्षर कुंजी को एक विशेष सुरक्षित डिवाइस (अंग्रेजी हार्डवेयर सुरक्षा मॉड्यूल, एचएसएम) की स्मृति में संग्रहीत किया जाना चाहिए।

क्लाउड सेवा में उपयोगकर्ता प्रमाणीकरण कम से कम दो-कारक होना चाहिए। एक नियम के रूप में, सबसे सुलभ और उपयोग में आसान विकल्प एसएमएस संदेश में प्राप्त कोड के माध्यम से प्रवेश की पुष्टि है। इसलिए, उदाहरण के लिए, रूसी बैंकों के आरबी के अधिकांश व्यक्तिगत खातों को लागू किया गया है। सामान्य क्रिप्टोग्राफिक टोकन के अलावा, एक स्मार्टफोन और वन-टाइम पासवर्ड जनरेटर (ओटीपी टोकन) पर एक एप्लिकेशन को एक प्रमाणीकरण उपकरण के रूप में भी इस्तेमाल किया जा सकता है।

मैं अभी तक एक मध्यवर्ती परिणाम का सारांश दे सकता हूं, इस तथ्य के बारे में कि अभी भी क्लाउड सीईसी का गठन किया जा रहा है और यह लोहे को छोड़ने के लिए बहुत जल्दी है। सिद्धांत रूप में, यह एक प्राकृतिक प्रक्रिया है, जो यूरोप में भी (ओह, महान!) लगभग 13-14 वर्षों तक चली, जब तक कि कम या ज्यादा सटीक मानक विकसित नहीं हुए।

जब तक हम अच्छे GOSTs विकसित नहीं करते हैं जो हमारी क्लाउड सेवाओं को नियंत्रित करते हैं, हार्डवेयर समाधानों की पूरी अस्वीकृति के बारे में बात करना जल्दबाजी होगी। बल्कि, वे अब, इसके विपरीत, "संकर" की ओर बढ़ना शुरू कर देंगे, अर्थात्, क्लाउड हस्ताक्षर के साथ भी काम करेंगे। क्लाउड के साथ काम करने के लिए यूरोपीय मानकों को पूरा करने वाले कुछ उदाहरण पहले ही लागू किए जा चुके हैं। लेकिन नई सामग्री में इसके बारे में अधिक।