«Разработка программного модуля иллюстрирующую процедур генерации и проверки эцп»

Целью выпускной работы является разработка программного модуля процедур генерации и проверки ЭЦП. Использование ЭЦП необходимо для внутренних целей:
‑ защита от несанкционированного доступа;
‑ организации электронного документооборота;
‑ установления авторства.
Данная информационная система должна решать следующие задачи:
- конфиденциальность документов;
- установление лица, отправившего документ;
‑ разграничение доступа по сотрудникам.
Выпускная квалификационная работа состоит из трех глав. Первая глава посвящена анализу аналогов информационной системы ЭЦП. Вторая глава посвящена разработку программного модуля иллюструющую процедур генерации и проверки ЭЦП. Кроме этого приведена глава по безопасности жизнедеятельности и экологии, где описаны правила по эксплуатации технических средств. Заключение. Использованные источники.

ГЛАВА 1. АНАЛИЗ АНАЛОГОВ ИНФОРМАЦИОННОЙ СИСТЕМЫ ЭЦП

1. Основные алгоритмы реализации ЭЦП

Электронная цифровая подпись (ЭЦП)— реквизит электронного документа, предназначенный для защиты данного электронного документа от подделки, полученный в результате криптографического преобразования информации с использованием закрытого ключа электронной цифровой подписи и позволяющий идентифицировать владельца сертификата ключа подписи, а также установить отсутствие искажения информации в электронном документе, а также обеспечивает неотказуемость подписавшегося.
Совместно с ЭЦП обычно применяются хэш-функции. Они служат для того, чтобы помимо аутентификации отправителя, обеспечиваемой ЭЦП, гарантировать, что сообщение не имеет искажений, и получатель получил именно то сообщение, которое подписал и отправил ему отправитель.
Хэш-функция — это процедура обработки сообщения, в результате действия которой формируется строка символов (дайджест сообщения) фиксированного размера. Малейшие изменения в тексте сообщения приводят к изменению дайджеста при обработке сообщения хэш-функцией. Таким образом, любые искажения, внесенные в текст сообщения, отразятся в дайджесте.
Алгоритм применения хэш-функции заключается в следующем:
‑ перед отправлением сообщение обрабатывается при помощи хэш-функции. В результате получается его сжатый вариант (дайджест). Само сообщение при этом не изменяется и для передачи по каналам связи нуждается в шифровании описанными выше методами;
‑ полученный дайджест шифруется закрытым ключом отправителя (подписывается ЭЦП) и пересылается получателю вместе с сообщением;
‑ получатель расшифровывает дайджест сообщения открытым ключом отправителя;
‑ получатель обрабатывает сообщение той же хэш-функцией, что и отправитель и получает его дайджест. Если дайджест, присланный отправителем, и дайджест, полученный в результате обработки сообщения получателем, совпадают, значит, в сообщение не было внесено искажений.
Существует несколько широко применяемых хэш-функций: MD5, SHA-1 и др.
Схема электронной подписи обычно включает в себя:
‑ алгоритм генерации ключевых пар пользователя;
‑ функцию вычисления подписи;
‑ функцию проверки подписи.
Функция вычисления подписи на основе документа и секретного ключа пользователя вычисляет собственно подпись. В зависимости от алгоритма функция вычисления подписи может быть детерминированной или вероятностной. Детерминированные функции всегда вычисляют одинаковую подпись по одинаковым входным данным. Вероятностные функции вносят в подпись элемент случайности, что усиливает криптостойкость алгоритмов ЭЦП. Однако, для вероятностных схем необходим надёжный источник случайности (либо аппаратный генератор шума, либо криптографически надёжный генератор псевдослучайных бит), что усложняет реализацию.
В настоящее время детерминированные схемы практически не используются. Даже в изначально детерминированные алгоритмы сейчас внесены модификации, превращающие их в вероятностные (так, в алгоритм подписи RSA вторая версия стандарта PKCS#1 добавила предварительное преобразование данных (OAEP).
Функция проверки подписи проверяет, соответствует ли данная подпись данному документу и открытому ключу пользователя. Открытый ключ пользователя доступен всем, так что любой может проверить подпись под данным документом.
Поскольку подписываемые документы — переменной (и достаточно большой) длины, в схемах ЭЦП зачастую подпись ставится не на сам документ, а на его хэш. Для вычисления хэша используются криптографические хэш-функции, что гарантирует выявление изменений документа при проверке подписи. Хэш-функции не являются частью алгоритма ЭЦП, поэтому в схеме может быть использована любая надёжная хэш-функция.
Алгоритмы ЭЦП делятся на два больших класса: обычные цифровые подписи и цифровые подписи с восстановлением документа. Обычные цифровые подписи необходимо пристыковывать к подписываемому документу. К этому классу относятся, например, алгоритмы, основанные на эллиптических кривых. Цифровые подписи с восстановлением документа содержат в себе подписываемый документ: в процессе проверки подписи автоматически вычисляется и тело документа. К этому классу относится один из самых популярных алгоритмов — RSA.
Следует различать электронную цифровую подпись и код аутентичности сообщения, несмотря на схожесть решаемых задач (обеспечение целостности документа и неотказуемости авторства). Алгоритмы ЭЦП относятся к классу асимметричных алгоритмов, в то время как коды аутентичности вычисляются по симметричным схемам
Протокол SSL (Secure Socket Layer) используется для защиты данных, передаваемых через Интернет. Этот протокол основан на комбинации алгоритмов асимметричного и симметричного шифрования.
Протокол может работать в трех режимах:
- при взаимной аутентификации сторон;
- при аутентификации сервера и анонимности клиента;
- при взаимной анонимности сторон.
При установлении соединения по протоколу SSL для данной сессии связи генерируется разовый ключ, который служит для симметричного шифрования данных, передаваемых в течение данной сессии. Разовый ключ генерируется на этапе установления соединения. При этом используются асимметричные алгоритмы шифрования.
Технология SET (Secure Electronic Transactions) появилась в 1996 году. Ее основными разработчиками стали MasterCard International и Visa International.
SET предусматривает использование цифровых сертификатов всеми участниками сделки, что позволяет проводить их однозначную взаимную аутентификацию.
Технология SET направлена на организацию максимально защищенных транзакций с присвоением кредитных карт.
Взаимная аутентификация сторон и использование ЭЦП позволяют избежать проблем с отказами сторон от обязательств по сделкам и полностью закрыть проблему необоснованного отзыва плательщиками своих платежей.
В основе процедур защиты информации, используемых SET, лежат технологии RSA и DES, что обеспечивает высокий уровень безопасности.
В общем случае алгоритм взаимодействия участников сделки по технологии SET выглядит следующим образом:
- прежде чем начать работу с использованием SET все участники сделки получают цифровые сертификаты у соответствующей сертифицирующей организации. Таким образом, устанавливается однозначное соответствие между участником и его ЭЦП;
- посетив сайт продавца, покупатель оформляет заказ и указывает способ оплаты при помощи кредитной карты;
- покупатель и продавец предъявляют друг другу свои сертификаты;
- продавец инициирует проверку платежной системой предоставленной клиентом информации. Платежная система передает продавцу результаты проверки;
- при положительных результатах проверки по запросу продавца совершается перечисление денег.
Открытый торговый протокол Интернет (IOTP, Internet Open Trading Protocol) создан как элемент инфраструктуры сетевого бизнеса. Протокол не зависит от используемой платежной системы. IOTP обеспечивает оформление и отслеживание доставки товаров и прохождения платежей. IOTP призван, прежде всего, решить проблему коммуникаций между различными программными решениями. Схемы платежей, которые поддерживает IOTP, включают MasterCard Credit, Visa Credit, Mondex Cash, Visa Cash, GeldKarte, eCash, CyberCoin, Millicent, Proton и др.
IOTP предлагает стандартные рамки для использования различных платежных протоколов. Это означает, что разные средства платежей могут взаимодействовать, если они встроены в программы, следующие протоколу IOTP.
Протокол описывает содержимое, формат и последовательность сообщений, которые пересылаются между партнерами электронной торговли — покупателями, торговцами, банками или финансовыми организациями.
Протокол спроектирован так, чтобы обеспечить его применимость при любых схемах электронных платежей, так как он реализует весь процесс продажи, включающий набор различных операций IOTP:
- покупку. Реализует предложение, оплату и доставку (при необходимости);
- возврат. Производит возврат платежа для покупки, выполненной ранее;
- обмен ценностями. Включает в себя два платежа, например, в случае обмена валют;
- аутентификацию. Производит проверку для организации или частного лица — являются ли они тем, за кого себя выдают;
- отзыв платежа. Осуществляет отзыв электронного платежа из финансового учреждения;
- депозит. Поддерживает управление депозитом средств в финансовом учреждении;
- запрос. Выполняет запрос состояния операции IOTP, которая находится в процессе реализации или уже выполнена;
- тестовый запрос ("пинг"). Простой запрос от одного приложения IOTP с целью проверки, функционирует ли другое приложение IOTP.
IOTP разделяет всех участников сделки по их "ролям" в процессе продажи:
- покупатель. Это физическое лицо или организация, получатель товара или услуги и плательщик;
- продавец. Человек (или организация), у которого приобретается товар или услуга, который официально ответственен за их предоставление и который извлекает выгоду в результате продажи;
- оператор платежей. Субъект, который получает платеж от потребителя в пользу торговой фирмы или физического лица;
- оператор доставки. Субъект, который доставляет товар или предоставляет услугу потребителю от торговой фирмы или лица;
- лицо, обслуживающее клиента торговой фирмы.
Роли могут выполняться одной организацией или различными организациями:
‑ в наиболее простом случае одна организация (например, продавец) может оформлять покупку, принимать платеж, доставлять товар и осуществлять обслуживание покупателя;
‑ в более сложном случае, продавец может оформить покупку, но предложить покупателю осуществить платеж в банке, попросить специализированную компанию доставить товар и обратиться к третьей фирме, обеспечивающей круглосуточное обслуживание, с просьбой помочь покупателю в случае возникновения каких-то непредвиденных проблем.
IOTP использует четыре основных торговых операции ("обмена"). Название "обмен" связано с тем, что операции совершаются путем обмена сообщениями (информацией) между участниками, играющими определенные "роли" в сделке:
- предложение (Offer Exchange) — предполагает, что продавец предоставляет покупателю причины того, что сделка покупателю необходима;
- оплата (Payment Exchange) — предполагает осуществление какого-либо платежа. Направление платежа может быть любым;
- доставка (Delivery Exchange) — сопряжена с передачей товаров или доставкой информации о товарах агентом доставки покупателю;
- аутентификация (Authentication Exchange) — может использоваться любой стороной сделки для аутентификации другой стороны.
Сделки на основе IOTP состоят из различных комбинаций этих операций. Например, операция покупки IOTP включает в себя предложение, оплату и доставку. А операция обмена валют по IOTP состоит из предложения и двух обменов оплаты.
Электронно-цифровая подпись (ЭЦП) используется физическими и юридическими лицами в качестве аналога собственноручной подписи для придания электронному документу юридической силы, равной юридической силе документа на бумажном носителе, подписанного собственноручной подписью правомочного лица и скрепленного печатью.
Области применения ЭЦП
- электронная цифровая подпись (сертификаты ключей подписи) применяется в таких областях как:
- защита персональных данных
- системы электронного документооборота
- электронная коммерция
- защита программного обеспечения
- SSL-доступ
Защитить документы от искажения и подлога (чего нельзя сказать о сканированных копиях: на них легко можно поставить печати и подписи с помощью графических редакторов);
При необходимости зашифровать секретную информацию;
Отказаться от хранения оригиналов документов на бумажных носителях, так как документы, подписанные ЭЦП, имеют точно такую же юридическую силу.
ЭЦП применяется при заключении сделок купли-продажи в электронной коммерции, например, при совершении покупок через интернет-магазины. С помощью ЭЦП, а именно с помощью сертификата ключа подписи, магазин идентифицирует покупателя и решает можно ли доверять данному покупателю. Кроме того, электронные подписи покупателя и магазина на соответствующих электронных документах удостоверяют факт совершения сделки, что придает ей юридическую значимость. ЭЦП также применяется при осуществлении торгов через электронные торговые площадки. Но самое широкое применение, ЭЦП нашла в интернет-банкинге, поскольку является надежным и недорогим инструментом для защиты платежных документов от подделки.
ЭЦП применяется для подписания кодов программ, что позволяет конечному пользователю программного продукта удостовериться, что программный код не был изменен хакерами, подменен на вирусный код или случайно поврежден. Также подписывают и драйверы устройств. В таком случае ЭЦП обеспечивает доверие к драйверу, а значит и безопасность компьютера, на которое устанавливается данное устройство.
Для обеспечения безопасного обмена данными между компьютером пользователя и сетевым ресурсом применяется SSL–протокол (Secure Sockets Layer), по которому обмен производится в зашифрованном виде.
Безопасность такого обмена основана на применении цифровых сертификатов ключей шифрования и заключается:
Во взаимной/односторонней идентификации сетевого ресурса и пользователя;
В шифровании данных, которыми обмениваются сетевой ресурс и пользователь.
ЭЦП - средство, которое обеспечивает:
- проверку целостности документов;
- конфиденциальность документов;
- установление лица, отправившего документ
Использование ЭЦП позволит вам:
- значительно сократить время, затрачиваемое на оформление сделки и обмен документацией;
- усовершенствовать и удешевить процедуру подготовки, доставки, учета и хранения документов;
- гарантировать достоверность документации;
- минимизировать риск финансовых потерь за счет повышения конфиденциальности информационного обмена;
- построить корпоративную систему обмена документами.
Электронная цифровая подпись - эффективное решение для всех, кто не хочет ждать прихода фельдъегерской или курьерской почты за многие сотни километров, чтобы проверить подлинность полученной информации или подтвердить заключение сделки. Документы могут быть подписаны цифровой подписью и переданы к месту назначения в течение нескольких секунд. Все участники электронного обмена документами получают равные возможности независимо от их удаленности друг от друга.
Подделать ЭЦП невозможно - это требует огромного количества вычислений, которые не могут быть реализованы при современном уровне математики и вычислительной техники за приемлемое время, то есть пока информация, содержащаяся в подписанном документе, сохраняет актуальность. Дополнительная защита от подделки обеспечивается сертификацией Удостоверяющим центром открытого ключа подписи.
С использованием ЭЦП работа по схеме "разработка проекта в электронном виде - создание бумажной копии для подписи - пересылка бумажной копии с подписью - рассмотрение бумажной копии - перенос ее в электронном виде на компьютер" уходит в прошлое.
В настоящее время, редкая организация не использует компьютер при работе с документами. Информационные технологии активно применяются при организации делопроизводства, почти все документы подготавливаются в электронном виде, затем распечатываются на принтере и только после этого подписываются.
Основной целью применения электронной цифровой подписи (ЭЦП) является переход от бумажных документов к электронным. Это означает, что документы изначально оформляются в электронном виде и не переводятся на бумажные носители (не распечатываются).
Переход к электронному документообороту позволяет:
— существенно сократить сроки передачи документов между сотрудниками или организациями посредством передачи электронных документов по каналам электросвязи. Что позволит, например, исключить ошибки в оформлении налоговых или бухгалтерских отчетов, когда отчетный период необходимо закрывать, а оригиналы документов, подтверждающих факт хозяйственной операции должны поступить по почте. Даже если почта не потерялась в процессе пересылки и приходит в срок, время на ее доставку требуется очень существенное;
— сократить размер накладных расходов: бумага, курьерская доставка, почтовые расходы и т.д.
ЭЦП обеспечивает следующие функции:
— Подтверждает, что подписывающий не случайно подписал электронный документ;
— Подтверждает, что только подписывающий и только он подписал электронный документ;
— ЭЦП должна зависеть от содержания подписанного документа и времени его подписания;
— Подписывающий не должен иметь возможности в дальнейшем отказаться от своей подписи.

2.