Applicability of qualified public key infrastructure in Ukraine
The paper-founded approach to the construction of the National System of digital signatures based on the EU regulatory framework. Describes the business algorithms using digital signature as "anchor" of trust. Analyzed the degree of integration of digital signature based on the regulatory...
Gespeichert in:
| Datum: | 2025 |
|---|---|
| 1. Verfasser: | |
| Format: | Artikel |
| Sprache: | Russian |
| Veröffentlicht: |
PROBLEMS IN PROGRAMMING
2025
|
| Schlagworte: | |
| Online Zugang: | https://pp.isofts.kiev.ua/index.php/ojs1/article/view/819 |
| Tags: |
Tag hinzufügen
Keine Tags, Fügen Sie den ersten Tag hinzu!
|
| Назва журналу: | Problems in programming |
| Завантажити файл: |  |
Institution
Problems in programming| id |
pp_isofts_kiev_ua-article-819 |
|---|---|
| record_format |
ojs |
| resource_txt_mv |
ppisoftskievua/a6/80f3077540737cb451763c648d1394a6.pdf |
| spelling |
pp_isofts_kiev_ua-article-8192025-08-29T20:09:02Z Applicability of qualified public key infrastructure in Ukraine Задействование квалифицированной инфраструктуры открытых ключей в Украине Застосування кваліфікованої інфраструктури відкритих ключів в Україні Melashchenko, A.O. UDC 681.3:002.651.028(083.73) УДК 681.3:002.651.028(083.73) УДК 681.3:002.651.028(083.73) The paper-founded approach to the construction of the National System of digital signatures based on the EU regulatory framework. Describes the business algorithms using digital signature as "anchor" of trust. Analyzed the degree of integration of digital signature based on the regulatory framework of the EU, modern office suites, as basic tools of e-business services.Prombles in programming 2011; 3: 79-86 В статье аргументирован подход к построению Национальной системы электронных цифровых подписей на основе нормативной базы Евросоюза. Описаны бизнес-алгоритмы, использующие электронную цифровую подпись как «якорь» доверия. Проанализирован уровень интеграции электронной цифровой подписи, основанной на нормативной базе Евросоюза, в современные офисные пакеты, как базовые инструменты обслуживания электронных бизнесов.Prombles in programming 2011; 3: 79-86 Аргументований підхід до побудови Національної системи електронних цифрових підписів на основі норма-тивної бази Євросоюзу. Описано бізнес-алгоритми, які використовують елек-тронний цифровий підпис як «якір» довіри. Проаналізовано рівень інтегра-ції електронного цифрового підпису, заснованого на нормативній базі Євросоюзу, в сучасні офісні пакети, як базові інструменти обслуговування електронних бізнесів.Prombles in programming 2011; 3: 79-86 PROBLEMS IN PROGRAMMING ПРОБЛЕМЫ ПРОГРАММИРОВАНИЯ ПРОБЛЕМИ ПРОГРАМУВАННЯ 2025-08-29 Article Article application/pdf https://pp.isofts.kiev.ua/index.php/ojs1/article/view/819 PROBLEMS IN PROGRAMMING; No 3 (2011); 79-86 ПРОБЛЕМЫ ПРОГРАММИРОВАНИЯ; No 3 (2011); 79-86 ПРОБЛЕМИ ПРОГРАМУВАННЯ; No 3 (2011); 79-86 1727-4907 ru https://pp.isofts.kiev.ua/index.php/ojs1/article/view/819/871 Copyright (c) 2025 PROBLEMS IN PROGRAMMING |
| institution |
Problems in programming |
| baseUrl_str |
https://pp.isofts.kiev.ua/index.php/ojs1/oai |
| datestamp_date |
2025-08-29T20:09:02Z |
| collection |
OJS |
| language |
Russian |
| topic |
UDC 681.3:002.651.028(083.73) |
| spellingShingle |
UDC 681.3:002.651.028(083.73) Melashchenko, A.O. Applicability of qualified public key infrastructure in Ukraine |
| topic_facet |
UDC 681.3:002.651.028(083.73) УДК 681.3:002.651.028(083.73) УДК 681.3:002.651.028(083.73) |
| format |
Article |
| author |
Melashchenko, A.O. |
| author_facet |
Melashchenko, A.O. |
| author_sort |
Melashchenko, A.O. |
| title |
Applicability of qualified public key infrastructure in Ukraine |
| title_short |
Applicability of qualified public key infrastructure in Ukraine |
| title_full |
Applicability of qualified public key infrastructure in Ukraine |
| title_fullStr |
Applicability of qualified public key infrastructure in Ukraine |
| title_full_unstemmed |
Applicability of qualified public key infrastructure in Ukraine |
| title_sort |
applicability of qualified public key infrastructure in ukraine |
| title_alt |
Задействование квалифицированной инфраструктуры открытых ключей в Украине Застосування кваліфікованої інфраструктури відкритих ключів в Україні |
| description |
The paper-founded approach to the construction of the National System of digital signatures based on the EU regulatory framework. Describes the business algorithms using digital signature as "anchor" of trust. Analyzed the degree of integration of digital signature based on the regulatory framework of the EU, modern office suites, as basic tools of e-business services.Prombles in programming 2011; 3: 79-86 |
| publisher |
PROBLEMS IN PROGRAMMING |
| publishDate |
2025 |
| url |
https://pp.isofts.kiev.ua/index.php/ojs1/article/view/819 |
| work_keys_str_mv |
AT melashchenkoao applicabilityofqualifiedpublickeyinfrastructureinukraine AT melashchenkoao zadejstvovaniekvalificirovannojinfrastrukturyotkrytyhklûčejvukraine AT melashchenkoao zastosuvannâkvalífíkovanoíínfrastrukturivídkritihklûčívvukraíní |
| first_indexed |
2025-09-17T09:24:09Z |
| last_indexed |
2025-09-17T09:24:09Z |
| _version_ |
1850410456992186368 |
| fulltext |
Програмні системи захисту інформації
© А.О. Мелащенко, 2011
ISSN 1727-4907. Проблеми програмування. 2011. № 3 79
УДК 681.3:002.651.028(083.73)
А.О. Мелащенко
ЗАДЕЙСТВОВАНИЕ КВАЛИФИЦИРОВАННОЙ
ИНФРАСТРУКТУРЫ ОТКРЫТЫХ КЛЮЧЕЙ В УКРАИНЕ
В статье аргументирован подход к построению Национальной системы электронных цифровых подписей
на основе нормативной базы Евросоюза. Описаны бизнес-алгоритмы, использующие электронную циф-
ровую подпись как «якорь» доверия. Проанализирован уровень интеграции электронной цифровой
подписи, основанной на нормативной базе Евросоюза, в современные офисные пакеты, как базовые
инструменты обслуживания электронных бизнесов.
Введение
Согласно «Стратегии для инноваци-
онного и интегрированного европейского
информационного общества» [1]: «i2010
стратегия объединяет политику, инициати-
вы и действия Евросоюза для развития и
использования ИКТ-технологий в повсе-
дневной жизни. ИКТ – способствуют эко-
номическому росту, созданию новых рабо-
чих мест и повышению качества жизни.
i2010 – часть Лиссабонской стратегии,
цель которой – модифицировать экономи-
ку Европу в направлении динамического
управления знаниями и повышения конку-
рентоспособности». В рамках этой страте-
гии развилась квалифицированная инфра-
структура открытых ключей (QPKI), целью
которой является «установление доверия к
e-транзакциям/e-услугам» [2]. QPKI – на-
бор аппаратных средств, программного
обеспечения, людей, политик и процедур,
соответствующих Директиве 1999/93/ЕС и
необходимых для создания, управления,
распространения, использования, хранения
и аннулирования усиленных сертификатов
открытых ключей.
Развивает стратегию i2010 «План
развития цифровой Европы» [3], представ-
ленный на конференции ICT 2010 [4].
Юридическая правомочность элек-
тронная цифровая подпись (ЭЦП) поддер-
живается национальным законодательст-
вом. Закон Украины об ЭЦП [5] реализует
Директиву [6] (далее Директива), достигая
юридического признания ЭЦП на европей-
ском уровне. Это вытекает из требований
Закона Украины [5] и Директивы [6], кото-
рые приравнивают ЭЦП к рукописной
подписи (таблица). Отметим, что Евро-
комиссия позитивно оценила реализацию
Директивы в законодательстве Украины.
Закон Украины [5] и Директива [6]
реализуют квалифицированную подпись,
как ЭЦП (ст. 1 Закона Украины [5]), осно-
ванную на усиленном сертификате и на-
дежном средстве создания подписи
(SSCD). Новация подхода Директивы [6]
заключается в регламентации отдельных
требований и процедур сертификации ор-
ганов сертификации, издающих усиленные
сертификаты и производителей SSCD. На-
личие сертификации гарантирует качество
услуг, в том числе уровень доверия к по-
ставщикам услуг ЭЦП и юридическую
эквивалентность квалифицированных ЭЦП
в рамках ЕС. Поскольку Закон Украины
[5] реализует бизнес-процессы Директи-
вы, целесообразно организовать работу
национальной системы ЭЦП (НСЭЦП) в
соответствии с европейской организаци-
онно-технологической базой.
Второй важный аспект (ЭЦП) – нор-
мативно-правовая база, регламентирующая
работу НСЭЦП. Целесообразно разрабо-
тать Технический регламент НСЭЦП как
инструмент, регламентирующий реализа-
цию всех положений Закона Украины [6]
через конкретные технологии, изложенные
как национальные стандарты. Этот подход
находится в полном соответствии с «но-
вым подходом», заложенным в Директиве
и нацеленным на выполнение положений
законов через конкретные нормы и требо-
вания стандартов. Целесообразна и обрат-
ная связь, когда нарушение конкретной
нормы стандарта влечет за собой наруше-
ния законодательства.
Програмні системи захисту інформації
80
Таблица. Сравнение терминологии ЭЦП
Ст. 3 Закон Украины «Про элек-
тронную цифровую подпись»
Ст. 5 Директива 1999/93/ЕС Соот-
ветст-
вие
Электронная цифровая подпись по
правовому статусу приравнивается
к рукописной подписи (печати) в
случае, если:
a) удовлетворяли юридическим требовани-
ям к подписи относительно данных, подан-
ных в электронной форме, равно рукопис-
ная подпись …
+
электронная цифровая подпись
подтверждена с использованием
усиленного сертификата ключа с
помощью надежных средств циф-
ровой подписи
… созданные с помощью безопасных меха-
низмов создания подписи:
+
при проверке использован усилен-
ный сертификат ключа, действую-
щий на момент наложения элек-
тронной цифровой подписи
Государства-участники обеспечивают рас-
ширенные электронные подписи, основан-
ные на усиленных сертификатах +
личный ключ подписанта соответ-
ствует открытому ключу, указан-
ному в сертификате
_ _
Электронная подпись не может
быть признана недействительной
только из-за электронной формы
или не базируется на усиленном
сертификате ключа
Государства-участники обеспечивают не-
возможность лишения подписи юридиче-
ской силы и приемлемости в качестве дока-
зательства в судопроизводстве лишь на том
основании, что она:
- выполнена в электронной форме, или
- не основана на действующем сертификате,
или
- не основана на действующем сертификате,
выданном аккредитованным органом сер-
тификации, или
- не наложена с помощью безопасного ме-
ханизма создания подписи.
+
Третьим важным аспектом ЭЦП является
реализация QPKI как технологии, гаранти-
рующая приведение НСЭЦП к открытой
системе [7, 8].
Цель работы – описать бизнес-
процессы eCommerce и предложить инст-
рументарий их поддержки, проанализиро-
вать уровень интеграции элементов QPKI
в инструменты.
1. Экономические аспекты
задействования ЭЦП
Выгоды. Построение систем на ос-
нове ЭЦП целесообразно ввиду сущест-
венных экономических выгоды для всех
участников рынка (государства, граждан и
бизнеса).
1. Выгоды государства:
1.1. Полный контроль над всеми подвласт-
ными сферами, в частности фискальной
отчетностью посредством реализации
электронного документооборота, миними-
зирующего человеческий фактор в иска-
жении информации, значительно уско-
ряющего ее обработку и допускающего
использования OLAP и DataMining.
1.2. Снижает издержки на содержание го-
сударственного аппарата, оптимизируя и
автоматизируя процессы в рамках органов
власти, также предоставляет возможность
гражданам продуктивнее сотрудничать с
государством, посредством электронных
государственных услуг (например, выдача
справок, регистрация запросов и т. п.).
Програмні системи захисту інформації
81
1.3. ЭЦП составляет основу электронного
правительства.
2. Выгоды граждан:
2.1. Государственные электронные услуги.
2.2. Безналичный расчет за услуги общест-
венного транспорта, eBanking, электронная
демократия и т. п.
3. Выгоды бизнеса:
3.1. За счет электронного документооборота.
3.1.1. Ускорение оборота средств.
3.1.2. Автоматизации построения и сдачи
фискальной отчетности.
3.1.3. Упрощение процедур согласования.
3.1.4. Улучшение контроля над ресурсами
предприятия.
3.1.5. Сокращение накладных расходов.
3.2. За счет eCommerce.
3.2.1. Упрощение поиска новых рынков
сбыта.
3.2.2. Упрощение поиска новых сырьевых
рынков.
3.2.3. Упрощение интеграции с системами
партнеров и клиентов.
Вопрос гарантий вынесен за рамки
выгод он требует особого внимания, по-
скольку является основой доверия элек-
тронных бизнесов, в частности eCommerce.
Гарантии. Экономические выгоды
являются необходимым, но не достаточ-
ным условием успешного внедрения ИТ на
основе ЭЦП. Рассмотрим украинское за-
конодательство с позиций обязательств и
обязанностей сторон: регулятора (государ-
ства) и потребителей (граждан/бизнеса).
Ст. 8 Закона Украины [5] регламен-
тирует обязанности государства в сфере
ЭЦП, в частности:
1) обеспечивать защиту информации
в автоматизированных системах согласно
законодательству;
2) обеспечивать защиту персональ-
ных данных, полученных от подписчика,
согласно законодательству;
3) обеспечивать круглосуточный до-
ступ пользователей к сертификатам клю-
чей и соответствующим регистрам серти-
фикатов через телекоммуникационные
каналы общего пользования;
4) предоставлять консультации по
вопросам, связанным с электронной циф-
ровой подписью.
Пункты 1) и 2) поддерживаются нор-
мативной базой информационной безопас-
ности, не соответствующей международ-
ным стандартам оценки и организации IT-
безопасности. Этот факт не способствует
признанию НСЭЦП международным со-
обществом.
Пункт 3) требует наличия в стране
сертифицированных провайдеров теле-
коммуникационных услуг, гарантирующих
наличие канала 24/7. К сожалению, в меру
исторических факторов в стране качество
телекоммуникаций крайне низкое.
Пункт 4) сложен для фактической ре-
ализации, поскольку в настоящее время в
стране не создана база для обучения разно-
го рода специалистов по внедрению, под-
держке и пользованию услугами ЭЦП.
Гарантии физического и юридиче-
ского лица. Отметим наличие специфики
электронной подписи в том, что она не
может быть обезличена и привязана к кон-
кретному физическому лицу.
Подписант обязан (ст. 7 Закона Ук-
раины [5]):
1) сохранять личный ключ в тайне;
2) предоставлять центру сертифика-
ции ключей данные согласно требованиям
статьи 6 этого Закона для засвидетельство-
вания действия открытого ключа;
3) своевременно предоставлять цен-
тру сертификации ключей информацию об
изменении данных, отображенных в своем
сертификате ключа.
Выполнение требований п. 1) – не-
тривиальная задача, не всегда подкон-
трольная подписанту, поскольку Закон
Украины не требует сохранения личного
ключа на аппаратном носителе (токены,
смарт-карточки) (далее токены), а допус-
кает программные (файлы) и программно-
аппаратные средства (флешки, диски). За-
действование токенов позволяет гаранти-
ровать владение и защиту личного ключа,
через физическое владение им, поскольку
личный ключ защищён аппаратными сред-
ствами. При задействовании программных
и программно-аппаратных средств личный
ключ обрабатывается в оперативной памя-
ти компьютера, к которой можно получить
доступ и извлечь личный ключ.
Програмні системи захисту інформації
82
Также слаб пункт 3), поскольку об-
легчает путь злоумышленнику, посредст-
вом использования ключа пропавшего без-
вести человека на протяжении срока ва-
лидности ключа. Проблемы такого рода
связаны со слабой информационной инте-
грацией служб государства в целом.
2. Бизнес-процессы, использующие
QPKI
В настоящее время НСЭЦП исполь-
зуется в целях сдачи фискальной отчетно-
сти, широкого применения в бизнесе она
не приобрела по ряду причин:
1. Отсутствие интеграции с распро-
страненными офисными пакетами MS
Office и OpenOffice.org.
2. Отсутствие интеграции с популяр-
ными почтовыми клиентами MS Outlook,
MS Outlook Express, The Bat, Mozilla
Thunderbird, Evolution, Kmail.
3. Потребность в значительных капи-
таловложениях для интеграции в сущест-
вующие системы.
4. Слабая стандартизация организа-
ционных и технических составляющих.
5. Проблемы кросссертификации.
Все указанные проблемы связаны с от-
сутствием интероперабельности НСЭЦП [8].
На современном предприятии основ-
ными инструментами офисных работников
являются:
1) Текстовый процессор (например,
MS Word 2010);
2) Процессор электронных таблиц
(например, MS Excel 2010);
3) Почтовый клиент (например, MS
Outlook 2010).
Отдельно выделим государственную
фискальную отчетность, которая сдается в
текстовом формате либо в формате XML.
Текстовый формат наиболее характерен
для банковской системы, но вступление
Украины в всемирную торговую организа-
цию требует приведения фискальной от-
четности НБУ к международным нормам,
точнее полной переработки существующей
системы и программного обеспечения
(ПО) [9]. А последние версии офисных
пакетов используют формат XML.
Оформление документа. Любой до-
говор, счет, отчет и т. п. можно предста-
вить в текстовых процессорах и/или про-
цессорах электронных таблиц (рис. 1).
а) б)
Рис. 1. Примеры документов
Бизнес-процесс получения услуги вы-
глядит как на рис. 2. Здесь схема имеет
такие недостатки.
− для каждого действия, как прави-
ло, требуется отдельный исполнитель;
− на этапе запроса/предложения в
реальной жизни люди опираются на «чест-
ное слово», но при заключении «крупных»
сделок требуется финансовые или пись-
менные подтверждения;
− при интенсивном документо-
потоке трудно отслеживать и стыковать
документы;
− проблемы хранения, учета и т. п.
При использовании ЭЦП этот бизнес-
процесс упростится посредством (рис. 3):
− четкого описания документопотоков;
− автоматической регистрации до-
кументов;
− автоматической доставки испол-
нителям;
− автоматической «стыковки» до-
кументов;
Програмні системи захисту інформації
83
негативный
Участник 1
позитивный
Запрос/предложен
ие услуг Ответ на запрос
Отослать
негативный ответ
Негативный
ответ
Сформулировать
документ в
электронной форме
Распечатать
документ
Подписать
бумажный документ
Пропечатать
бумажный документ
Зарегистрировать
бумажный документ
Отослать бумажный
документ
Позитивный
ответ
Получить бумажный
документ
Док.
корректн
ый
Сформулировать
документ в
электронной форме
Распечатать
документ
Подписать
бумажный документ
Пропечатать
бумажный документ
Зарегистрировать
бумажный документ
Отослать бумажный
документ
Бумажный
документ
Документ
получен
Получить бумажный
документ
Док.
корректн
ый
Дальнейшая бумажная
работа по
получению/предоставле
нию товара/услуги
получение/пред
оставление
товара/услуги
Отослать
позитивный ответ
нет
Бумажный
документ
да
нет
да
Участник 2
Рис. 2. Типичный бизнес-процесс получения/заказа услуг/товаров
− юридической валидности всех
обменов и документов;
− экономии бумаги;
− упрощения хранения;
− удаления этапов печати докумен-
тов;
− повышения исполнительной дис-
циплины.
Типичная договоренность. Под до-
говоренностью имеем ввиду этапы запроса
продукта/услуги, согласований, утвержде-
ний и т. п. Как правило, договариваются
устно или письменно; рассмотрим пись-
менный вариант, а именно электронную
почту (рис. 3).
Участник 1
Запрос/предложение Ответ на запрос
Сформулировать
ответ
Отослать ответ Ответ Получить ответ
Участник 2
Рис. 3. Типичный бизнес-процесс
договоренности
Програмні системи захисту інформації
84
Передача XML-документа. Наи-
лучшим примером является налоговая
фискальная отчетность в Украине. Имеем
некий формат XML-документа, который
надо передать, гарантируя целостность и
аутентичность. Существует два способа с
использованием:
− встроенной подписи для XML-
документов, XAdES [10] (рис. 4);
− оберточного формата, например
CAdES [11] (рис. 5).
Пользователь
XML-документ
Рассчитать ЕЦП
Вставить
соответствующее
значение ЕЦП в
поля XML-документа
Вернуть XML-
документ
Ответ
Получить ответ
Криптографический модуль
Принять XML-документ
Рис. 4. Типичный бизнес-процесс
подписания документа,
используя XML Signature
Пользователь
XML-Документ
Рассчитать ЕЦП
Создать сообщение
CMS с указанным
XML-документом,
как вложением
Вернуть XML-
документ
Ответ Получить
ответ
Криптографический модуль
Принять XML-документ
Заполнить поля
сообщения CMS,
соответствующими
значениями ЕЦП
Рис. 5. Типичный бизнес-процесс
подписания документа, используя CMS
3 Внедрение и использование
QPKI
Для полноценного функционирова-
ния QPKI необходимы:
1. Органы сертификации (CA или
в Украине ЦСК), содержащие модули:
а) генерации пары открытого и лич-
ного ключей;
б) издания усиленных сертификатов;
в) генерации списков аннулирован-
ных сертификатов;
г) регистрации и т. п.
2. Клиентское программное обес-
печение (ПО) наложения ЭЦП на доку-
мент/сообщение.
Надежная система органа серти-
фикации. Рассмотрим две альтернативные
системы, EJBCA как надежную и стабиль-
ную систему, используемую многими го-
сударствами ЕС [12], и Услуги сертифика-
ции для Active Directory Windows server
2008, как наиболее распространенную сис-
тему.
EJBCA (рис. 6) – надежная система
СА, построенная на основе технологии
Java для предприятий (J2EE – Java
Platform, Enterprise Edition) [13]. Этот ин-
струментарий активно используют госу-
дарственные органы Франции, Швейца-
рии, Испании и множество организаций во
всей Европе. Максимальное количество
известных пользователей одной инсталля-
ции достигает 100 000. Эта система СА
поддерживает QPKI [8].
Система работает с аппаратными и
программными генераторами ключей, то-
кенами, поддерживает удаленное обновле-
ние ключа, работает на множестве плат-
форм и различном ПО, легко масштабиру-
ется, поддерживает разные информацион-
ные хранилища, СУБД и LDAP.
Услуги сертификации для Active
Directory Windows server 2008. Windows
недостаточно удобен для развертывания
QPKI. К сожалению, Microsoft не реализо-
вала поддержку QPKI, ввиду чего невоз-
можно быстро и «безболезненно» развер-
нуть QPKI. Причем компетентным орга-
нам Украины вице-президент Microsoft
Steve Ballmer передал исходные коды мо-
дуля политик безопасности для Windows.
Наличие исходных кодов позволяет реали-
зовать любые политики, в том числе и ев-
ропейские, поэтому уместен вопрос о при-
ведении существующих политик безопас-
ности к европейскому уровню и включе-
нии их в поставку украинского дистрибу-
тива Windows.
ПО пользователя. Обычно пользо-
ватели используют стандартное ПО: MS
Office, OpenOffice, поддерживающие
XML-документы в форматах OpenXML
[14] и ODF [15], они поддерживают
XAdES [10]. Продемонстрируем работу
стандартного ПО пользователя и сертифи-
ката, созданного с помощью EJBCA для
гарантии аутентичности и целостности
документов и электронных писем.
Програмні системи захисту інформації
85
а) б)
Рис. 6. Примеры: а – профиля сертификата, б – запроса сертификата
Перед началом эксперимента импор-
тируем сертификат, используя стандарт-
ные инструменты операционной среды
Windows в систему управления сертифика-
тами компьютера.
Офисные пакеты. На рис. 1, показа-
ны примеры офисных документов, кото-
рые необходимо защитить от несанкцио-
нированного изменения и идентифициро-
вать их исполнителей. Также эти докумен-
ты реализуют и поддерживают бизнес-
процесс, указанный на рис. 2. При созда-
нии документа исполнитель накладывает
ЭЦП (используя стандартный механизм
офисного пакета) и отсылает по электрон-
ной почте документ адресату в соответст-
вии с документопотоком.
Почтовые клиенты. Большинство
популярных почтовых клиентов имеют
встроенные механизмы подписания сооб-
щений, используя стандартный формат
S/MIME [16] (рис. 7), который не поддер-
живает в полной мере формат подписи
CAdES [11]. Несмотря на слабую под-
держку формата CAdES, в Приложении F
[11] предложена процедура использования
CAdES в S/MIME.
На сегодня можно использовать усилен-
ные сертификаты для подписания почто-
вых сообщений, реализуя бизнес-процесс,
показанный на рис. 3.
Подписание XML-документов.
Как показано на рис. 4 и 5, можно встроить
или «обернуть» подписание XML доку-
мента. В первом случае используются про-
цедуры подписания, изложенные в XAdES
[10], во втором – CAdES [11].
Мировая практика для целей фис-
кальной отчетности и функционирования
бизнеса в целом использует стандартные
форматы XML-документов (например,
XBRL [17], ebXML [18]), в которых встро-
ены функции ЭЦП.
Выводы
Рассмотрены базовые бизнес-процесс
и юридические, технические и организа-
ционные вопросы, связанные с внедрением
QPKI в Украине. Поддерживающие QPKI
разработки интегрированы в офисные па-
кеты, как основные инструменты пользо-
вателей ЭЦП.
Для полноценного использования
ЭЦП необходимо привести НСЭЦП к от-
крытой системе, разработав Технический
регламент НСЭЦП.
Стоит отметить важность и срочность
работы по приведению модулей безопас-
ности MS Windows к европейским нормам
и стандартам, без которых развертывание
QPKI в Украине значительно усложнится.
Рис. 7. Пример подписанного
сообщения
Програмні системи захисту інформації
86
В работе показано наличие готовых реше-
ний для надежных систем органов серти-
фикации и практически полную поддержку
функций ЭЦП в популярных офисных
приложениях, что гарантирует надежное и
быстрое развертывание QPKI в Украине.
Это позволит в кратчайшие сроки полу-
чить экономический эффект. Однако без
дальнейшего совершенствования законо-
дательства, в частности в сферах НДС,
электронной идентификации, тендерных
закупок, eCommerce, банковской сфере
и т. п., и приведения ИT безопасности к
мировым нормам и стандартам, невозмож-
но полно раскрыть потенциал QPKI и
интеграции Украины в ВТО.
1. Strategy for an innovative and inclusive Euro-
pean Information Society, апрель 2004.
http://ec.europa.eu/information_society/eeuro
pe/i2010/strategy/index_en.htm
2. Study on the standardisation aspects of eSig-
nature, 22.11.2007.
http://www.esstandardisation.eu/
3. Communication from the commission to the
European parliament, the council, the Euro-
pean economic and social committee and the
committee of the regions. A Digital Agenda
for Europe COM/2010/0245 f/2
4. ICT 2010
http://ec.europa.eu/information_society/event
s/ict/2010/index_en.htm
5. Закон України «Про електронний цифро-
вий підпис» № 852 від 22.05.2003.
6. Directive 1999/93/EC of the European Par-
liament and of the Council of 13 December
1999 on a Community framework for elec-
tronic signatures.
7. Мелащенко А.О., Перевозчикова О.Л. На-
циональная система электронных цифро-
вых подписей как открытая система
//Кибернетика и системный анализ. –
2011. – № 3. – С. 31–39.
8. Мелащенко А.О., Перевозчикова О.Л. Ор-
ганізація кваліфікованої інфраструктури
відкритих ключів. – К.: Наукова думка,
2010. – С. 3–4.
9. Мелащенко А.О., Перевозчикова О.Л.,
Стрельникова Ж.А. Онтологии финансо-
во-экономического информационного хра-
нилища // Проблеми програмування. –
2010. – № 1. – С. 419–428.
10. ДСТУ ETSI TS 101 903:2009. XML-роз-
ширені електронні підписи (XAdES).
11. ДСТУ ETSI TS 101 733:2009. Електронні
підписи та інфраструктури (ESI). CMS-
розширені електронні підписи (CAdES)
12. EJBCA. http://ejbca.sourceforge.net/
13. J2EE. http://java.sun.com/javaee/index.jsp
14. ISO/IEC 29500:2008. Information technology
– Office Open XML file formats
15. ISO/IEC 26300:2006. Information technology
– Open Document Format for Office Appli-
cations (OpenDocument)
16. RFC 3851. «Secure/Multipurpose Internet
Mail Extensions (S/MIME) Version 3.1.
Message Specification», 2004.
17. eXtensible business reporting language
(XBRL), 2008. http://www.xbrl.org
18. ISO/TS 15000. Electronic business eXtensible
Markup Language (ebXML).
Получено 31.03.2011
Об авторе:
Мелащенко Андрей Олегович,
науковий співробітник .
Место работы автора:
Институт кибернетики имени В.М. Глушкова
НАН Украины.
03187, Киев-187,
проспект Академика Глушкова, 40.
Тел.: 526 3603.
dep145@gmail.com
|