डिजिटल वर्कफ़्लो आत्मविश्वास से भरे कदमों से हमारे जीवन में प्रवेश करता है और यदि कानूनी संस्थाओं के लिए यह पहले से ही एक कठोर रोज़मर्रा की ज़िंदगी है, तो कई व्यक्तियों को अभी तक इसका सामना नहीं करना पड़ा होगा। लेकिन समय के साथ, किनारे पर रहना लगातार कठिन होता जा रहा है और आपको बदलती परिस्थितियों के अनुकूल होने की आवश्यकता है, अन्यथा आप बहुत सुखद परिणाम नहीं प्राप्त कर सकते हैं।

अनुबंधों का निष्कर्ष एक सामान्य बात है। वे बैंकों में, अस्पतालों में, फर्नीचर खरीदते समय, प्रशिक्षण के लिए भुगतान करते हैं। अनुबंध पढ़ें, कानूनी इकाई के विवरण की जांच करें जिसके साथ अनुबंध संपन्न हुआ है, सुनिश्चित करें कि आपके पास मुहर और हस्ताक्षर हैं - एक मानक प्रक्रिया जो धोखाधड़ी के जोखिम को कम करती है। हालांकि, इलेक्ट्रॉनिक अनुबंधों की बारीकियों के कारण, कागज के अनुबंधों के साथ काम करने का कौशल हासिल नहीं किया जा सकता है।

इस लेख में मैं रूसी इलेक्ट्रॉनिक हस्ताक्षर (ई-हस्ताक्षर) के साथ परिचित के अपने अनुभव के बारे में बात करना चाहता हूं, जो कि बीमा कंपनियों सहित व्यक्तियों के साथ अनुबंध पर हस्ताक्षर करने के लिए उपयोग किया जाता है, साथ ही उन नुकसानों के बारे में भी जिन्हें मैंने ठोकर खाई थी।

मेरे लिए, यह कहानी तब शुरू हुई जब मैंने एक बीमा कंपनी LLC IC Sberbank Insurance के साथ एक समझौता किया। निष्पादन के बाद, कुछ तथ्य मुझे संदेहास्पद लगे (एक छोटा स्पॉइलर: सब कुछ अच्छा निकला) और मैंने यह पता लगाना शुरू कर दिया कि प्राप्त दस्तावेज वास्तव में एक बीमा कंपनी द्वारा जारी किया गया था, न कि कुछ तीसरे पक्षों द्वारा।

अध्याय एक: ES परीक्षण

पीडीएफ दस्तावेज़ के साथ सभी जोड़तोड़ एक सरल उपयोगकर्ता के लिए सबसे अधिक संभावना वातावरण के रूप में विंडोज 10, रूसी होम संस्करण के स्वच्छ संस्करण में दिए गए हैं। लेख में उपयोग किया जाने वाला सॉफ्टवेयर सूट भी सभी के लिए अव्यवसायिक और सुलभ है।

शुरू करने के लिए, मैंने फॉक्सिट रीडर में दस्तावेज़ खोला, जिसका मैं मुख्य रूप से उपयोग करता हूं:



यह बहुत, बहुत संदिग्ध लग रहा है - दस्तावेज़ स्पष्ट नहीं है कि इसे किसने संशोधित किया है, प्रमाण पत्र भी विश्वसनीय नहीं है। सिस्टम इस प्रमाणपत्र के लिए विश्वास श्रृंखला को सत्यापित नहीं कर सकता है और इसे अवैध रूप से चिह्नित करता है।

जिस संगठन को प्रमाणपत्र जारी किया गया था, उसके नाम के अलावा, जारी करने वाले संगठन, एलएलसी आईटीके का नाम भी दिखाई देता है। "ITK प्रमाणपत्र LLC" के लिए खोज करने से मुझे ITK LLC के प्रमाणन प्राधिकरण के रूट प्रमाणपत्र पृष्ठ पर स्थापित किया गया। यह इंटरनेट टेक्नोलॉजीज एंड कम्युनिकेशंस एलएलसी की आधिकारिक वेबसाइट है, जो इलेक्ट्रॉनिक प्रमाण पत्र जारी करने वाले प्रमाणन केंद्रों में से एक है।

निर्देशों का पालन करें: हमें Google ड्राइव से लिंक का डाउनलोड करने और डाउनलोड करने की आवश्यकता है (!) आरएआर आर्काइव (!!) "रूट क्वालिफाइड.रार" (जिसे अभी भी खोले जाने की आवश्यकता है, मुझे 7-ज़िप स्थापित करना था) और हमें वहां 2 प्रमाणपत्र दिखाई दिए: रूट और बीच में। जड़ दूरसंचार और संचार मंत्रालय द्वारा जारी किया गया था, और मध्यवर्ती एक को ITK LLC द्वारा मंत्रालय द्वारा जारी किया गया था। हम उन्हें स्थापित करते हैं, रूट प्रमाण पत्र के अतिरिक्त के साथ सहमत होते हैं (जो कि स्थापित कुंजी के फिंगरप्रिंट को sha1 नोट करते हैं और निर्देशों में तस्वीर समान है, लेकिन स्थापना बिंदुओं में इस तरह की तुलना के बारे में कुछ भी नहीं है)।


फिर से, दस्तावेज़ से प्रमाण पत्र खोलें। और चमत्कार नहीं हुआ, जड़ से अंतिम तक भरोसे की श्रृंखला नहीं बनी!

हम ईएस का अधिक विस्तार से अध्ययन करते हैं: फ़ॉक्सिट रीडर में हस्ताक्षर गुणों के बारे में अतिरिक्त जानकारी है:


हाँ, GOSTovsky हैश एल्गोरिथ्म, ES को CryptoPro PDF में बनाया गया था। शायद, विंडोज़ को GOST एन्क्रिप्शन के बारे में नहीं पता है और इसलिए इसे एक अतिरिक्त क्रिप्टोग्राफ़िक प्रदाता की आवश्यकता है।

हम CryptoPro वेबसाइट पर जाते हैं, पंजीकरण करते हैं, 3 महीने के लिए CryptoPro CSP 5.0 का परीक्षण संस्करण डाउनलोड करते हैं। आगे क्या होगा यह पूरी तरह से स्पष्ट नहीं है, शायद सब कुछ एक कद्दू में बदल जाएगा, आइए देखें।

फिर से, ES प्रमाणपत्र दृश्य खोलें:


यह पहले से बेहतर लग रहा है। यह देखा जा सकता है कि सिस्टम प्रमाण पत्र को वैध मानता है, एक श्रृंखला एक प्रमाणपत्र से एक मध्यवर्ती के माध्यम से बनाई जाती है।

सत्यापन संदेश में थोड़ा सुधार हुआ है, लेकिन फिर भी, फॉक्सिट रीडर प्रमाणपत्र को सत्यापित नहीं कर सकता है (शायद यह GOST एल्गोरिथ्म में है):


Adobe Acrobat Reader DC में, सत्यापन भी सफल नहीं है:


और ऐसा लगता है कि हम यहां रुक सकते हैं: फॉक्सिट रीडर पुष्टि करता है कि हस्ताक्षर करने के बाद दस्तावेज़ को नहीं बदला गया है, आप यह सत्यापित करने के लिए अपने हाथों का उपयोग कर सकते हैं कि प्रमाणपत्र सिस्टम द्वारा पुष्टि की गई है और वैध है। लेकिन फिर भी मैं इस मामले को अंत तक लाना चाहता हूं ताकि कम से कम एक कार्यक्रम यह कहे: हां, दस्तावेज वैध है, सब कुछ ठीक है।

हमें याद है कि CryptoPro PDF प्रोग्राम में पॉलिसी साइन की गई थी। यह संभावना है कि चूंकि वह इस तरह के हस्ताक्षर बना सकती है, इसलिए उसे निश्चित रूप से जांचना चाहिए। हमने डाल दिया।

90 दिनों के लिए +1 परीक्षण संस्करण, हालांकि ऐसा लगता है कि स्थापना शिलालेख आपको आश्वस्त करता है कि आपको एडोब एक्रोबेट रीडर डीसी में उत्पाद का उपयोग करते समय लाइसेंस की आवश्यकता नहीं है।


हुर्रे, लंबे समय से प्रतीक्षित संदेश है कि सब कुछ ठीक है।

सबटोटल को संक्षेप में प्रस्तुत करना। दस्तावेज़ पर इलेक्ट्रॉनिक हस्ताक्षर की वैधता को सत्यापित करने के लिए:

• पता करें कि कौन से प्रमाणन केंद्र ने प्रमाणपत्र जारी किया था जिसके द्वारा दस्तावेज़ पर हस्ताक्षर किए गए थे, अपने मध्यवर्ती स्थापित करें और, अगर कोई नहीं है, तो मूल प्रमाण पत्र (हमारे मामले में, Google ड्राइव से आरएआर संग्रह से);
• सिस्टम में एक क्रिप्टोग्राफ़िक प्रदाता स्थापित करें (शायद अन्य क्रिप्टोग्राफ़िक प्रदाता हैं जो विंडोज GOST मानक क्रिप्टोग्राफ़िक एल्गोरिदम सिखाएंगे) क्रिप्टोकरंसी सीएसपी 3 महीने के लिए परीक्षण के साथ और अज्ञात के बाद;
• Adobe Acrobat Reader DC से हस्ताक्षर को सत्यापित करने के लिए, CryptoPro PDF (CSP के बिना यह स्थापित नहीं है) स्थापित करें।

यहां एक एल्गोरिथ्म है जो शाम के लिए विषय के सतह विश्लेषण से निकलता है। डिजिटल हस्ताक्षर को सत्यापित करने की समस्या का समाधान किया गया है, लेकिन औसत उपयोगकर्ता के लिए जो कठिनाइयाँ स्पष्ट हैं:

• आपको किसी तरह रूट और इंटरमीडिएट प्रमाण पत्र खोजने और डाउनलोड करने की आवश्यकता है। यह स्पष्ट नहीं है कि इसे आधिकारिक रूप से कहां से डाउनलोड किया जा सकता है, और एक नेटवर्क खोज से बाएं प्रमाण पत्र की स्थापना हो सकती है, जिसके माध्यम से स्कैमर एक अशुभ उपयोगकर्ता पर हमला कर सकते हैं;
• आपको यह समझने की आवश्यकता है कि सिस्टम में कौन सा सॉफ़्टवेयर गायब है और इसे कहाँ प्राप्त करना है, कुछ भी बॉक्स से बाहर काम नहीं करता है। यह आलेख केवल CryptoPro उत्पादों के आधार पर उदाहरण प्रदान करता है क्योंकि यह नाम इलेक्ट्रॉनिक हस्ताक्षर के निर्माण की जानकारी में पाया गया था। एनालॉग्स की खोज में विषय का अध्ययन करना आवश्यक है;
• चेक केवल पूरी तरह से एडोब एक्रोबेट रीडर डीसी में काम करता है, फॉक्सिट रीडर में ईएस चेक अधूरा है, लंबे समय से प्रतीक्षित ग्रीन टिक नहीं है। हमें आगे खुदाई करने की आवश्यकता है, शायद समाधान हैं।

अध्याय दो: एक और ईपी

मेल के माध्यम से अफवाह फैलाने पर मुझे एक और इलेक्ट्रॉनिक अनुबंध मिला। एक भाग्यशाली अवसर के रूप में, वे एक बीमा पॉलिसी भी बन गए, लेकिन इस बार टिंकॉफ इंश्योरेंस JSC से eOSAGO। हम प्रमाण पत्र खोलते हैं, उस संगठन को देखें जिसने प्रमाण पत्र जारी किया था। वह टिंकफॉफ बैंक जेएससी निकला। हां, यह पता चलता है कि उनके पास अपना स्वयं का सीए है, जो सहायक कंपनियों को प्रमाणपत्र जारी करता है (Sberbank का अपना CA भी है, लेकिन इसका उपयोग सहायक कंपनियों में नहीं किया जाता है)।

विकसित एल्गोरिथम के अनुसार, हम "टिंकऑफ प्रमाणपत्र" अनुरोध के साथ खोज इंजन पर जाते हैं, हम सीए टिंकफ बैंक जेएससी की आधिकारिक साइट पाते हैं। यहां हमें रूट प्रमाणपत्र, लिंक किए गए प्रमाणपत्रों की सूची, और यहां तक ​​कि उन्हें स्थापित करने के लिए वीडियो निर्देशों की प्रचुरता के साथ स्वागत किया जाता है। "CA टिंकऑफ बैंक GOST R 34.10.2012 के रूट प्रमाणपत्रों की श्रृंखला" डाउनलोड करें, इस बार लिंक तृतीय-पक्ष सेवा के लिए नहीं, बल्कि बैंक की वेबसाइट पर जाता है। P7B फाइल प्रारूप बहुत अच्छी तरह से ज्ञात नहीं है, लेकिन विंडोज तीसरे पक्ष के सॉफ्टवेयर को स्थापित किए बिना खुलता है और इसमें प्रमाण पत्र प्रदर्शित करता है। यहां हमारे पास संचार मंत्रालय से परिचित रूट प्रमाण पत्र है (दूसरा, पहले मामले में जैसा नहीं है) और सीए बैंक से एक मध्यवर्ती प्रमाण पत्र।


हम दोनों को डालते हैं, नीति में प्रमाण पत्र की जांच करते हैं। लेकिन नहीं, प्रमाण पत्र पर भरोसा नहीं है, क्योंकि सिस्टम प्रमाणपत्र प्रदाता की पुष्टि नहीं कर सकता है। CA की साइट पर प्रमाणपत्रों की 2 श्रृंखलाओं के 2 लिंक थे, एक GOST R 34.10.2001 के लिए, दूसरा GOST R 34.10.2012 के लिए। नीति को इस वर्ष जारी किया गया था, इसे और अधिक आधुनिक क्रिप्टोग्राफ़िक एल्गोरिदम के साथ हस्ताक्षर करना अधिक तर्कसंगत होगा (सभी अधिक, 2018 से पहले से ही GOST का एक संस्करण है, एल्गोरिदम को अक्सर अपडेट किया जाता है), लेकिन चलो पुराने को जांचें।


नई P7B फ़ाइल में पहले से ही 3 प्रमाणपत्र फ़ाइलें हैं। आप सभी 3 डाल सकते हैं, लेकिन यह ध्यान देने योग्य है कि हमने "हेड सर्टिफिकेशन अथॉरिटी" का प्रमाण पत्र ITK LLC के RAR संग्रह के पहले अध्याय में रखा है, वे समान हैं। और क्रिप्टोकरंसी सीएसपी ने प्रमाणपत्र को "यूटी 1 आईएस गट्स" के नाम से नहीं कहा। रूट प्रमाणपत्र स्थापित करने के बारे में एक चेकमार्क इसके इंस्टॉलर में डिफ़ॉल्ट रूप से स्थापित किया गया था। एकमात्र नया टिंकफॉफ बैंक जेएससी का प्रमाण पत्र है, जिसे हमने रखा है।

"CA CA टिंकऑफ बैंक GOST R 34.10.2001 के मूल प्रमाण पत्रों की श्रृंखला" से प्रमाण पत्र स्थापित करने के बाद, प्रमाण पत्र में पथ तैयार किया गया था और सिस्टम ने खुशी से घोषणा की कि यह विश्वसनीय था। एडोब एक्रोबेट रीडर डीसी ने भी पुष्टि की कि हस्ताक्षर वैध है।


यह वह जगह है जहाँ eOSAGO नीति के अंत में ES के परीक्षण का रोमांच है। यह ध्यान देने योग्य है कि सिस्टम में आवश्यक सॉफ़्टवेयर पहले से इंस्टॉल होने के बाद, और उपयोगकर्ता काम के सिद्धांतों और मध्यवर्ती प्रमाणपत्रों की खोज को समझता है, फिर हस्ताक्षर के सत्यापन में कम समय लगता है।

लेकिन समस्या क्षेत्र अभी भी दिखाई दे रहे हैं: आपको प्रमाण पत्र स्थापित करने के निर्देशों को समझने के लिए, प्रमाणीकरण अधिकारियों की आधिकारिक साइटों के लिए इंटरनेट पर खोज करने की आवश्यकता है। यहां तक ​​कि रूट प्रमाणपत्र स्थापित होने के साथ, आपको एक मध्यवर्ती की तलाश करनी चाहिए, अन्यथा विश्वास की श्रृंखला पूरी नहीं होगी और सिस्टम हस्ताक्षर की प्रामाणिकता की पुष्टि करने में सक्षम नहीं होगा।

अध्याय तीन: रूट और इंटरमीडिएट प्रमाणपत्रों के बारे में थोड़ा

यह सब काम करने के बाद, मुझे यह महसूस हुआ कि पूरी प्रणाली को बहुत सुरक्षित रूप से नहीं बनाया गया है, इसके लिए उपयोगकर्ता से कई कारकों के अतिरिक्त संचालन और विश्वास की आवश्यकता होती है: एक खोज प्रणाली से जो सीए के आधिकारिक साइट को पहली पंक्ति में नहीं दे सकती है, जो स्वयं सीए कर्मचारियों के काम के लिए है, जो मालिकाना कंटेनर प्रारूपों में तृतीय-पक्ष वेब सेवाओं के लिए चेकसम के बिना प्रमाण पत्र अपलोड करता है।

अधिक जानकारी के लिए, मैं संचार और संचार मंत्रालय की वेबसाइट पर गया और ऐसा पृष्ठ पाया। वहां आप एक XLS फ़ाइल डाउनलोड कर सकते हैं, जो सभी वर्तमान में मान्यता प्राप्त सीए को सूचीबद्ध करेगी, साथ ही निलंबित और समाप्त मान्यता वाले सीए भी। मान्यता प्राप्त की सूची 494 सीए है, जो बहुत कुछ है।

हालांकि, बस एक सूची पर्याप्त नहीं है, आपको इन सीए की साइटों के लिए कम से कम लिंक की आवश्यकता है, और आपको स्रोत, संचार मंत्रालय से सीधे रूट प्रमाण पत्र खोजने की भी आवश्यकता है। इस जानकारी की खोज में अगला बिंदु pravo.gov.ru था, जो कुछ रूट प्रमाणपत्रों के लिंक को सूचीबद्ध करता है। पृष्ठ केवल http प्रोटोकॉल के माध्यम से सुलभ है; फिर से, कोई चेकसम नहीं हैं।

करीब से देखते हुए, आप देख सकते हैं कि पहले 4 लिंक पोर्टल https://e-trust.gosuslugi.ru पर जाते हैं । यह स्पष्ट नहीं है कि रूट सर्टिफिकेट की प्रणाली में सार्वजनिक सेवा साइट का उपडोमेन केंद्रीय क्यों हो गया है, लेकिन ऐसा लगता है कि रूट और इंटरमीडिएट प्रमाणपत्रों पर सभी प्रासंगिक जानकारी यहां दी गई है।

मुख्य CA https://e-trust.gosuslugi.ru/MainCA के पृष्ठ पर, विभिन्न GOST एल्गोरिदम के लिए और विभिन्न वैधता अवधि के साथ संचार मंत्रालय के 10 रूट प्रमाण पत्र हैं। कुंजी स्नैपशॉट तुरंत उपलब्ध हैं, आप देख सकते हैं कि किसी ने डाउनलोड किए गए प्रमाण पत्र को प्रतिस्थापित नहीं किया है। यह स्थल स्वयं थावे द्वारा प्रमाणित है।

मान्यता प्राप्त CA के पृष्ठ पर https://e-trust.gosuslugi.ru/CA मध्यवर्ती प्रमाणीकरण केंद्रों की पूरी सूची है, आप उनके प्रमाण पत्र डाउनलोड कर सकते हैं, कलाकारों की जांच कर सकते हैं। इसके अलावा, सभी जानकारी एक्सएमएल प्रारूप में उपलब्ध है। एक समय में, आप सभी मध्यवर्ती सीए के डेटा के साथ एक फ़ाइल प्राप्त कर सकते हैं, साथ ही उनके प्रमाणपत्र और लिंक को संशोधित प्रमाणपत्रों की सूची प्राप्त कर सकते हैं।

प्रमाणपत्रों में एक निरस्तीकरण सूची वितरण बिंदु (CRL) फ़ील्ड होता है जो निरस्त प्रमाणपत्रों की सूची प्राप्त करने के लिए पथ निर्दिष्ट करता है। दस्तावेज़ पर ईएस की जांच करते समय, मध्यवर्ती और रूट प्रमाणपत्र स्थापित करने के अलावा, आपको निरस्त प्रमाण पत्र की अंतिम सूची भी स्थापित करनी होगी और प्रत्येक सत्यापन से पहले इसे अपडेट करना होगा (यह प्रक्रिया विशेष सॉफ्टवेयर द्वारा स्वचालित है, लेकिन नियमित उपकरण ऐसा करने में असमर्थ प्रतीत होते हैं)। प्रत्येक प्रमाणपत्र में ई-ट्रस्ट पोर्टल पर इस तरह की सूची का मार्ग होता है और यह प्रमाणपत्र में लिखी गई बातों से भिन्न हो सकता है। क्या विश्वास करना है? पूरी तरह से स्पष्ट नहीं।



लेख के निष्कर्ष में, मैं यह नोट करना चाहूंगा कि इलेक्ट्रॉनिक दस्तावेजों पर इलेक्ट्रॉनिक दस्तावेजों का सत्यापन सभी की शक्ति के भीतर है, लेकिन यह पूरी तरह से तुच्छ प्रक्रिया नहीं है जिसके लिए कुछ ज्ञान की आवश्यकता होती है। यह संभव है कि भविष्य में यह प्रक्रिया सरल हो जाएगी। इसके अलावा, मोबाइल उपकरणों पर ईएस की जांच का सवाल खुला रहता है, और आखिरकार, वे अब उपयोगकर्ताओं के मुख्य उपकरण बन गए हैं, जो लंबे समय से व्यक्तिगत कंप्यूटर से आगे थे।

इस लेख को लिखने के बाद, कई खुले प्रश्न हैं, जिन पर मैं समुदाय के साथ चर्चा करना चाहूंगा:

1. क्रिप्टोप्रो एनालॉग्स, विशेष रूप से ईएस बनाने और जांचने के लिए ओपनसोर्स टूल;
2. न केवल एडोब एक्रोबेट रीडर डीसी में ईएस सत्यापन को जोड़ना, बल्कि फॉक्सिट रीडर और अन्य में भी;
3. इस आलेख के दायरे से बाहर रहने वाली समस्याएं, जो महत्वपूर्ण भी हैं और इस पर ध्यान देने की आवश्यकता है, लेकिन मेरे मामले में प्रकट नहीं हुई।

UPD 0 : टिप्पणियों में, उन्होंने इलेक्ट्रॉनिक दस्तावेजों की जाँच के लिए सरकारी सेवा पोर्टल पर एक ऑनलाइन सेवा का सुझाव दिया: https://www.gosuslugi.ru/pgu/eds । दुर्भाग्य से, यह मेरे मामले में काम नहीं किया, लेकिन यह उपयोगी हो सकता है।

यूपीडी 1 : लेख लिखने के बाद, उन्होंने मुझे बताया कि एक अन्य क्रिप्टोग्राफिक प्रदाता, वीपीएनपेट सीएसपी है, जो सिस्टम में GOST क्रिप्टोग्राफिक एल्गोरिदम के साथ भी मदद कर सकता है। क्रिप्टोकरंसी सीएसपी के साथ इसके संस्थापन का प्रश्न है।

KDPV: edar, Pixabay