Чтобы поставить электронную подпись (ЭП), нужно владеть ключом ЭП. Ключ ЭП называется закрытым ключом, а ключ проверки ЭП — открытым. Для создания ЭП используется специальный инструмент — средство ЭП.
Виды электронной подписи
Различают два вида ЭП:
- (позволяет лишь установить авторство документа, требует наличия ключа ЭП).
- (формируется с помощью специальных криптографических алгоритмов). Может быть неквалифицированной и квалифицированной.
Простая ЭП используется в случаях, когда на аналогичном бумажном документе не требуется наличие печати. Такая подпись может только подтвердить личность подписанта.
Для усиленной неквалифицированной ЭП характерен ряд принципиальных качеств:
1) получается в результате криптографического преобразования информации с использованием ключа ЭП;
2) благодаря средству ЭП и ключу проверки помогает определить авторство электронного документа и установить изменения в документе после его подписания;
3) создается с использованием средств ЭП.
Если к этим качествам добавить еще два, то получится усиленная квалифицированная ЭП. При этом будет ошибкой считать, что усиленная квалифицированная ЭП является в то же время усиленной неквалифицированной ЭП.
О каких двух дополнительных признаках идет речь?
1) ключ проверки ЭП должен содержаться в квалифицированном сертификате ключа проверки ЭП;
2) средство ЭП, которое используется для создания и проверки, должно получить подтверждение соответствия требованиям, предусмотренным законом и ФСБ для средств ЭП.
Усиленная квалифицированная ЭП предоставляет ее владельцу максимум возможностей с правовой точки зрения. В то же время к ней предъявляются высокие требования.
Сертификат ключа проверки электронной подписи
При выдаче квалифицированного сертификата аккредитованный УЦ должен не только установить личность обратившегося лица, но и внести в специальную базу данных (реестр сертификатов) серию, номер и дату выдачи документа, использовавшегося для установления личности.
Аккредитованный УЦ должен регулярно публиковать специальную выписку из реестра сертификатов (список отозванных сертификатов), содержащую номера квалифицированных сертификатов, которые прекратили действие по решению суда или по обращению владельца сертификата.
Подробно об обязанностях и функционале аккредитованного УЦ написано в .
Чтобы получить электронную подпись, для начала нужно определить, какой сертификат ЭП вам нужен для работы, с какой целью вы будете его использовать. Если вы планируете получить сертификат в Удостоверяющем центре СКБ Контур, то воспользуйтесь и заполните заявку на сайте.
Подготовить необходимые документы перед визитом в центр выдачи можно с помощью .
Для получения сертификата придется лично прийти в центр выдачи с оригиналами документов или их заверенными копиями, оплаченным счетом или копией платежного поручения, заверенной банком.
Как подписать документ электронной подписью
Допустим, вы получили квалифицированный сертификат электронной подписи и хотите начать им пользоваться. Что для этого нужно?
- Прежде чем подписать документ ЭП, убедитесь в его окончательной версии. После того, как будет создана ЭП, внести в него изменения не получится.
- Позаботьтесь о наличии средств ЭП (в УЦ СКБ Контур настройка компьютера для работы с ЭП проходит автоматически) и программ для создания ЭП.
Для подписания ЭП документов формата Word и Excel есть несколько возможностей. Первая предполагает установку и использование платного программного модуля КриптоПро Office Signature (бесплатно он доступен только в рамках тестового периода). Однако у этого варианта есть несколько особенностей. Во-первых, алгоритм подписания в разных версиях Word отличается. Во-вторых, если создать подпись в одной версии программы, а проверять в другой, то результат может оказаться некорректным.
Модуль КриптоПро PDF используется для создания и проверки ЭП в Adobe Acrobat, Adobe Reader и Adobe LiveCycle ES.
Установка специальной программы (например, КриптоАРМ) позволит подписывать документы любого формата: rar,.jpeg,.png,.ppt, видео, базы данных и т.д. Но бесплатно доступна только базовая версия КриптоАРМ Старт, в которой заложен минимум возможностей. Остальные версии — платные, и цена зависит от функциональности.
Наконец, с помощью бесплатного веб-сервиса можно подписать документ любого формата без необходимости установки специальных программ. Сервис работает с подписью, выпущенной любым УЦ. С помощью Контур.Крипто вы можете создать и проверить ЭП, зашифровать и расшифровать электронный файл, а также подписать пакет файлов или архивов, создать подпись документа двумя и более лицами. При этом в сервисе есть ограничение на вес документа — до 100 Мб, и он работает только в Microsoft Windows. Кроме того, сервис позволяет создать только отсоединенную подпись. Проверить подпись, созданную в Контур.Крипто, можно в любой программе, которая работает с отсоединенными ЭП.
1. Для создания и проверки электронной подписи, создания ключа электронной подписи и ключа проверки электронной подписи должны использоваться средства электронной подписи, которые:
1) позволяют установить факт изменения подписанного электронного документа после момента его подписания;
2) обеспечивают практическую невозможность вычисления ключа электронной подписи из электронной подписи или из ключа ее проверки;
3) позволяют создать электронную подпись в формате, устанавливаемом федеральным органом исполнительной власти, осуществляющим функции по выработке и реализации государственной политики и нормативно-правовому регулированию в сфере информационных технологий, и обеспечивающем возможность ее проверки всеми средствами электронной подписи.
2. При создании электронной подписи средства электронной подписи должны:
1) показывать самостоятельно или с использованием программных, программно-аппаратных и технических средств, необходимых для отображения информации, подписываемой с использованием указанных средств, лицу, осуществляющему создание электронной подписи, содержание информации, подписание которой производится;
2) создавать электронную подпись только после подтверждения лицом, подписывающим электронный документ, операции по созданию электронной подписи;
3) однозначно показывать, что электронная подпись создана.
3. При проверке электронной подписи средства электронной подписи должны:
1) показывать самостоятельно или с использованием программных, программно-аппаратных и технических средств, необходимых для отображения информации, подписанной с использованием указанных средств, содержание электронного документа, подписанного электронной подписью;
(см. текст в предыдущей редакции)
2) показывать информацию о внесении изменений в подписанный электронной подписью электронный документ;
3) указывать на лицо, с использованием ключа электронной подписи которого подписаны электронные документы.
4. Средства электронной подписи, предназначенные для создания электронных подписей в электронных документах, содержащих сведения , составляющие государственную тайну, или предназначенные для использования в информационной системе, содержащей сведения, составляющие государственную тайну, подлежат подтверждению соответствия обязательным требованиям по защите сведений соответствующей степени секретности в соответствии с законодательством Российской Федерации. Средства электронной подписи, предназначенные для создания электронных подписей в электронных документах, содержащих информацию ограниченного доступа (в том числе персональные данные), не должны нарушать конфиденциальность такой информации.
- Требования к средствам электронной подписи
- Требования к средствам удостоверяющего центра
Требования предназначены для заказчиков и разработчиков средств электронной подписи и удостоверяющих центров при их взаимодействии между собой и с организациями, проводящими криптографические и специальные исследования таких средств, а также при их взаимодействии с ФСБ, подтверждающей соответствие таких средств установленным требованиям.
Меня в первую очередь интересовало, как в этих требованиях отражены вопросы, связанные с управлением документами. Немало соответствующих пунктов нашлось в «Требованиях к средствам электронной подписи».
При создании электронной подписи (ЭП) средства ЭП должны (п.8):
- показывать лицу, подписывающему электронный документ, содержание информации, которую он подписывает,
- создавать ЭП только после подтверждения лицом, подписывающим электронный документ, операции по созданию ЭП,
- однозначно показывать, что ЭП создана.
- показывать содержание электронного документа, подписанного ЭП,
- показывать информацию о внесении изменений в подписанный ЭП электронный документ,
- указывать на лицо, с использованием ключа ЭП которого подписаны электронные документы.
В зависимости от способности противостоять угрозам, средства ЭП подразделяются на классы (п.12). В зависимости от класса, требования к фиксации событий, связанных с использованием средства ЭП, различаются:
33. Для средств ЭП классов КС1 и КС2 необходимость предъявления требований к регистрации событий и их содержание указываются в ТЗ на разработку (модернизацию) средства ЭП.Установлены и требования к обеспечению сохранности журнала регистрации событий:34. В состав средств ЭП классов КС3, КВ1, КВ2 и КА1 должен входить модуль, производящий фиксацию в электронном журнале регистрации событий в средстве ЭП и СФ, связанных с выполнением средством ЭП своих целевых функций.
Требования к указанному модулю и перечень регистрируемых событий определяются и обосновываются организацией, проводящей исследования средства ЭП с целью оценки соответствия средства ЭП настоящим Требованиям.
35. Журнал регистрации событий должен быть доступен только лицам, определенным оператором информационной системы, в которой используется средство ЭП, или уполномоченными им лицами. При этом доступ к журналу регистрации событий должен осуществляться только для просмотра записей и для перемещения содержимого журнала регистрации событий на архивные носители.Крайне спорным в документе мне показался п.36, ограничивающий срок действия открытого ключа ЭП. Сразу возникает вопрос, а что же делать тем организациям, которые будут подписывать электронной подписью документы постоянного или длительного срока хранения? Что им делать с этими документами через 15 лет - выбрасывать на электронную помойку (заодно забыв о связанных с ними правах и обязанностях)?
С моей точки зрения, либо авторы документа не в ладах с русским языком, и не смогли грамотно выразить свою мысль, какой бы она ни была, - либо они не в ладах с законодательством
, которое не предусматривает такой глупости, как потеря подписью своей юридической силы.
36. Срок действия ключа проверки ЭП не должен превышать срок действия ключа ЭП более чем на 15 лет .Встает вопрос и о квалификации специалистов Минюста, который благополучно зарегистрировал данный документ.37. Требования к механизму контроля срока использования ключа ЭП, блокирующего работу средства ЭП в случае попытки использования ключа дольше заданного срока, определяются разработчиком средства ЭП и обосновываются организацией, проводящей исследования средства ЭП с целью оценки соответствия средства ЭП настоящим Требованиям.
средства, обеспечивающие на основе криптографических преобразований реализацию хотя бы одной из функций:
создание ЭП с использованием закрытого ключа ЭИ
подтверждение с использованием открытого ключа ЭП
создание закрытого и открытого ключей ЭП.
4. Средства кодирования (ручные шифры)
Средства, реализующие алгоритмы криптографического преобразования информации с выполнением части преобразования путем ручных операций или с использованием автоматизированных средств на основе таких операций.
5. Средства изготовления ключевых документов.
Независимо от вида носителя ключевой информации
6.Ключевые документы (независимо от вида носителя)
Компрометация криптографических ключей – хищение, утрата, разглашение, несанкционированное копирование и другие происшествия, в результате которых криптографические ключи могут стать доступными несанкционированным лицам и/или процессам.
Персональные данные (ПД) – любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту ПД), в том числе его фамилия, имя, отчество, дата рождения, адрес, семейное, социальное, имущественное положение, образование, профессия и другая информация.
Оператор ПД – государственный орган или муниципальный орган, юридическое или физическое лицо, организующее и/или осуществляющее обработку ПД, а также определяющие цели и содержание обработки ПД.
ЭП – информация в электронной форме, которая присоединена к другой информации в электронной форме (подписываемой информации) или иным образом связанной с такой информацией и которая используется для определения лица, подписавшего информацию.
Сертификат ключа проверки ЭП – электронный документ или документ на бумажном носителе, выданные удостоверяющим центром или доверенным лицом УЦ, и подтверждающий принадлежность ключа проверки ЭП владельцу сертификата ключа проверки ЭП.
УЦ – юридическое лицо или индивидуальный предприниматель, осуществляющий функционирование по созданию и выдаче открытых ключей проверки ЭП, а также иные функции, связанные с ЭП и предусмотренные законодательством.
Аккредитация УЦ – признание федеральным органом исполнительной власти, уполномоченным в сфере использования ЭП, соответствия УЦ требованиям законодательства.
Средства УЦ – программные и/или аппаратные средства, используемые для реализации функций УЦ.
Средства ЭП – шифровальные или криптографические средства, используемые для реализации хотя бы 1 из функций:
создание ЭП
проверка ЭП
создание ключа ЭП
создание ключа проверки ЭП
Ключ ЭП – уникальная последоватедьность символов, предназначенная для создания ЭП. Ключ проверки ЭП - … однозначно связанная с ключом ЭП и предназначенная для проверки подлинности ЭП.
Квалифицированные сертификаты ключей проверки ЭП – сертификат ключа проверки ЭП, выдан аккредитованным УЦ или доверенным лицом аккредитованного УЦ или федеральным органом исполнительной власти, умолномоченным в сфере использования ЭП (уполномоченным федеральным органом)
ГОСТ Р 51275
ЗИ. Объекты информатизации. Факторы, воздействующие на информацию. Основные положения.
Область применения – Стандарт устанавливает классификацию и перечень факторов, воздействующих на результативность защиты информации в интересах обоснованных угроз безопасности информации к требованиям по ЗИ на объекте информатизации. Стандарт распространяется на объекты информатизации, создание и эксплуатирование в различных областях деятельности (оборона, экономика, наука и другие)
Выявление и учет факторов, воздействующих или тех, которые могут воздействовать на защищаемую информацию в конкретных условиях, составляют основу для планирования и осуществления эффективных мероприятий, направленных на ЗИ на объекте информатизации.
Полнота и достоверность выявляемых факторов достигается путем рассмотрения полного множества факторов, воздействующих на все элементы ОИ (технические и программные средства обработки информации, средства обеспечения ОИ и так далее) и на всех этапах обработки информации.
Выявление факторов, воздействующих на защищаемую информацию, должно осуществляться с учетом требований:
достаточность уровней классификации факторов, позволяющая формировать их полное множество;
гибкость классификации. Позволяющая рассматривать множество классифицируемых факторов, а также вносить изменения без нарушения структуры классификаций.
Факторы, воздействующие на информацию:
|
Объективные внутренние
передача сигналов извлечение сигналов, функций, присущих техническим средствам ОИ побочные ЭМИ |
Объективные внешние явления техногенного характера природные явления, стихийные бедствия |
Субъективные внутренние разглашение защищаемой информации лицами, имеющими к ней право доступа неправомерные действия со стороны лиц, имеющих право доступа к защищаемой информации НСД к защищаемой информации недостатки организации обеспечения ЗИ ошибки обслуживания персонала ОИ |
Субъективные внешние доступ к защищаемой информации с применением ТС НСД к защищаемой информации блокирование доступа к защищаемой информации путем перегрузки технических средств обработки информации ложными заявками на ее обработку действия криминальных групп и отдельных преступных субъектов искажение, уничтожение или блокирование информации с применением ТС |
Виды электронных подписей в России и требования к Средствам ЭП
Принятый ещё в апреле 2011 года Федеральный закон N 63-ФЗ « Об электронной подписи » определил следующие два вида электронной подписи (ЭП): простая ЭП и усиленная ЭП, из которых вторая в свою очередь бывает неквалифицированной и квалифицированной.
Простая ЭП, по большому счёту, даже и не совсем электронная подпись в классическом математическом понимании — в качестве простой ЭП можно использовать хоть одноразовые коды, хоть и вовсе пароли:
Простой электронной подписью является электронная подпись, которая посредством использования кодов, паролей или иных средств подтверждает факт формирования электронной подписи определенным лицом.
Усиленная же электронная подпись обязательно использует криптографические преобразования. Вот требования для усиленной неквалифицированной ЭП (или просто неквалифицированной ЭП):
1) получена в результате криптографического преобразования информации с использованием ключа электронной подписи;
2) позволяет определить лицо, подписавшее электронный документ;
3) позволяет обнаружить факт внесения изменений в электронный документ после момента его подписания;
4) создается с использованием средств электронной подписи.
Как видно, усиленная ЭП в отличие от простой ЭП должна позволять обнаруживать изменения в электронном документе (понятно, что с помощью пароля такое не реализовать), а формировать её нужно с использованием Средств ЭП:
средства электронной подписи — шифровальные (криптографические) средства, используемые для реализации хотя бы одной из следующих функций — создание электронной подписи, проверка электронной подписи, создание ключа электронной подписи и ключа проверки электронной подписи;
Понятие Средство электронной подписи — очень важное и к нему мы ниже ещё вернёмся. Пока же продолжим разбираться с видами электронных подписей. Осталось рассмотреть квалифицированную усиленную подпись — от неквалифицированной усиленной она отличается двумя принципиальными дополнительными требованиями:
1) ключ проверки электронной подписи указан в квалифицированном сертификате ;
2) для создания и проверки электронной подписи используются средства электронной подписи, имеющие подтверждение соответствия требованиям, установленным в соответствии с настоящим Федеральным законом .
Другими словами для квалифицированной ЭП, абы какой сертификат не годится — нужен именно квалифицированный:
квалифицированный сертификат — сертификат ключа проверки электронной подписи, соответствующий требованиям, установленным настоящим Федеральным законом и иными принимаемыми в соответствии с ним нормативными правовыми актами, и созданный аккредитованным удостоверяющим центром либо федеральным органом исполнительной власти, уполномоченным в сфере использования электронной подписи ;
Далее по тексту закона приведён исчерпывающий перечень сведений, которые должен содержать квалифицированный сертификат и указано, что создаётся он только с использованием средств аккредитованного удостоверяющего центра.
Используемое для создания и проверки квалифицированной электронной подписи Средство ЭП подписи тоже подойдёт не любое, а только то, которое имеет подтверждение соответствия установленным.
Понятия «ключ проверки электронной подписи «, «сертификат «, «удостоверяющий центр » и т.п. в этом посте отдельно рассматривать не буду (можно посмотреть начало вот этого поста, например: http://zlonov.ru/2013/12/private-keys-keepers-evolution/), если это необходимо — напишите в комментариях, раскрою всю терминологию отдельно.
Вот такая получается таблица, кратко поясняющая основные различия между видами электронных подписей в соответствии с 63-ФЗ:
Виды электронных подписей (ЭП) и их особенности в соответствии с 63-ФЗ
Теперь вернёмся к понятию Средство ЭП. Из приведённого выше определения следует, что средства ЭП — это определённый вид шифровальных (криптографических) средств, которые используются для какой-либо одной или любой комбинации из функций:
- создание электронной подписи,
- проверка электронной подписи,
- создание ключа электронной подписи и ключа проверки электронной подписи.
Замечу на полях, что создание ключа ЭП и ключа проверки ЭП возможно лишь в паре (те самые открытый и закрытый ключи в асимметричной криптографии).
Сами же шифровальные средства определены в Постановлении Правительства РФ от 16 апреля 2012 г. N 313 « Об утверждении Положения о лицензировании деятельности… «, вот выдержка из определения:
К шифровальным (криптографическим) средствам (средствам криптографической защиты информации), включая документацию на эти средства, относятся:
…
в) средства электронной подписи;
По мне, так имеем рекурсивное зацикленное определение понятия через само себя =) Ну, да не будем казуистам. По сути, под понятие средство ЭП попадают в том числе чисто программные, программно-технические средства и даже целые комплексы и системы.
Вернёмся к 63-ФЗ и посмотрим, какие требования есть для Средств ЭП. Вот что они должны делать:
1) позволяют установить факт изменения подписанного электронного документа после момента его подписания;
2) обеспечивают практическую невозможность вычисления ключа электронной подписи из электронной подписи или из ключа ее проверки.
Про факт отслеживания изменений уже было выше в требованиях к усиленной ЭП, ну, а практическая невозможность вычисления ключа ЭП из ЭП или из ключа проверки ЭП — это понятное и разумное требование (закрытый ключ не должен вычисляться из открытого или из самой электронной подписи).
Продолжим.
Для случаев подписи документов, содержащих гостайну, или при работе Средства ЭП в системах, содержащих гостайну, требуется подтверждение соответствия обязательным требованиям по защите сведений соответствующей степени секретности. Вполне логично, так как Гостайна у нас регулируется отдельно и требования там тоже свои отдельные.
Есть ещё важная оговорка про подпись документов, содержащих информацию ограниченного доступа (в том числе персональные данные): Средства ЭП не должны нарушать конфиденциальность такой информации. Насколько я понимаю, тут идёт речь про то, что для такой информации нельзя, например, использовать облачные незащищённые в соответствии с требованиями законодательства сервисы электронной подписи.
Если средство электронной подписи используется для автоматического создания и (или) автоматической проверки электронных подписей в информационной системе, то на этом требования к нему заканчиваются. Автоматическое создание, например, может применяться при оказании государственных услуг. Тогда в сертификате вовсе может быть не указано конкретное физическое лицо, а создание ЭП осуществляется, скажем, системой принятия отчётности (для подтверждения того факта, что отчётность была получена в срок, например).
В случаях же неавтоматического создания и проверки электронной подписи к Средствами ЭП предъявляются дополнительные требования.
При создании электронной подписи Средства ЭП должны:
1) показывать самостоятельно или с использованием программных, программно-аппаратных и технических средств, необходимых для отображения информации, подписываемой с использованием указанных средств, лицу, осуществляющему создание электронной подписи, содержание информации, подписание которой производится;
2) создавать электронную подпись только после подтверждения лицом, подписывающим электронный документ, операции по созданию электронной подписи;
3) однозначно показывать, что электронная подпись создана.
Первое требование означает, что сам по себе, например, токен не может быть Средством ЭП — требуется некая обвязка вокруг него, которая будет показывать подписываемый документ. Второе требование запрещает создание подписи без подтверждения человеком. Наконец, третье требование указывает, что нужно недвусмысленно дать понять, что подпись была создана.
При проверке электронной подписи Средство ЭП должно:
1) показывать самостоятельно или с использованием программных, программно-аппаратных и технических средств, необходимых для отображения информации, подписанной с использованием указанных средств, содержание электронного документа, подписанного электронной подписью;
2) показывать информацию о внесении изменений в подписанный электронной подписью электронный документ;
3) указывать на лицо, с использованием ключа электронной подписи которого подписаны электронные документы.
Должно быть чётко видно и понятно — что подписано, были ли внесены изменения и кто подписывал.
Таковы, в вкратце, основные требования к Средствам ЭП в 63-ФЗ. Однако, в нём также содержится статья про полномочия федеральных органов исполнительной власти в сфере использования электронной подписи, где указано:
Федеральный орган исполнительной власти в области обеспечения безопасности:
1) устанавливает требования к форме квалифицированного сертификата;
2) устанавливает требования к средствам электронной подпис и и средствам удостоверяющего центра;
3) осуществляет подтверждение соответствия средств электронной подписи и средств удостоверяющего центра требованиям, установленным в соответствии с настоящим Федеральным законом , и публикует перечень таких средств;
4) по согласованию с уполномоченным федеральным органом устанавливает дополнительные требования к порядку реализации функций аккредитованного удостоверяющего центра и исполнения его обязанностей, а также к обеспечению информационной безопасности аккредитованного удостоверяющего центра.
Таким органом является ФСБ РФ, которая 27 декабря 2011 г. издала приказ № 796 « Об утверждении Требований к средствам электронной подписи и Требований к средствам удостоверяющего центра «.
Прежде всего данный приказ ФСБ устанавливает требования в части разработки, производства, реализации и эксплуатации Средств ЭП:
предъявляются требования, закрепленные Положением о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ-2005), утвержденным приказом ФСБ России от 9 февраля 2005 г. N 66 (с изменениями, внесенными приказом ФСБ России от 12 апреля 2010 г. N 173 для шифровальных (криптографических) средств защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну.
ПКЗ-2005 — основополагающий регламент для всех разработчиков криптографических средств, что и не удивительно, раз Средства ЭП — это, в первую очередь, средство шифрования. К слову, в ПКЗ-2005 есть вот такое определение для средств электронной цифровой подписи:
средства электронной цифровой подписи — аппаратные, программные и аппаратно-программные средства, обеспечивающие на основе криптографических преобразований реализацию хотя бы одной из следующих функций:
— создание электронной цифровой подписи с использованием закрытого ключа электронной цифровой подписи,
— подтверждение с использованием открытого ключа электронной цифровой подписи подлинности электронной цифровой подписи,
— создание закрытых и открытых ключей электронной цифровой подписи.
Да, речь здесь про Средства ЭЦП, а не ЭП, но мы же уже решили не быть казуистами =)
Вернёмся к требованиям к Средствам ЭП, которым в приказе ФСБ посвящен весь раздел II (статьи с 8 по 39). Статьи 8-10 дублирую то, что есть в 63-ФЗ в части требований при создании и проверке ЭП при неавтоматической работе.
Статья 11 определяет, что:
Статья 11. Средства ЭП должны противостоять угрозам, представляющим собой целенаправленные действия с использованием аппаратных и (или) программных средств с целью нарушения безопасности защищаемой средством ЭП информации или с целью создания условий для этого (далее — атака).
В последующих статьях 12-18 определяются классы Средств ЭП КС1, КС2, КС3, КВ2, КА1 в зависимости от их способности противостоять таким атакам.
В дальнейших статьях 19-39 сформулированы ещё более детальные требования к составу Средств ЭП для разных классов и к особенностям их работы, из которых особо выделю статьи 20, 22 и 38:
Статья 20. При разработке средств ЭП должны использоваться криптографические алгоритмы, утвержденные в качестве государственных стандартов или имеющие положительное заключение ФСБ России по результатам их экспертных криптографических исследований
Статья 22. В средстве ЭП должны быть реализованы только заданные в ТЗ на разработку (модернизацию) средства ЭП алгоритмы функционирования средства ЭП.
Статья 38. Криптографические протоколы, обеспечивающие операции с ключевой информацией средства ЭП, должны быть реализованы непосредственно в средстве ЭП.
Смысл тут, упрощённо, в том, что в Средстве ЭП можно использовать только криптографические ГОСТ алгоритмы, при этом они должны быть реализованы в нём самом (нельзя использовать, например, какие-то внешние средства) и никакие другие криптографические алгоритмы и протоколы в Средстве ЭП не должны быть реализованы.
Итоговая таблица с основными требованиями к Средствам ЭП в 63-ФЗ и приказе ФСБ №796 выглядит так:
Таким образом, для использования простой ЭП можно использовать любые средства, для усиленной неквалифицированной ЭП (или просто неквалифицированной ЭП) — только Средства ЭП, базовые требования к которым определены в 63-ФЗ, и, наконец для усиленной квалифицированной ЭП (или просто квалифицированной ЭП) — только Средства ЭП, имеющие подтверждение соответствия требованиям, установленным в соответствии с Федеральным законом 63-ФЗ и Приказом ФСБ №796. Подтверждением такого соответствия является сертификат соответствия, выданный ФСБ России, в котором такое соответствие упоминается в явном виде.
