Ключевое слово в защите информации
КЛЮЧЕВОЕ СЛОВО
в защите информации
Получить ГОСТ TLS-сертификат для домена (SSL-сертификат)
Добро пожаловать, Гость! Чтобы использовать все возможности Вход или Регистрация.

Уведомление

Icon
Error

3 Страницы<123>
Опции
К последнему сообщению К первому непрочитанному
Offline basid  
#11 Оставлено : 11 декабря 2017 г. 17:15:51(UTC)
basid

Статус: Активный участник

Группы: Участники
Зарегистрирован: 21.11.2010(UTC)
Сообщений: 1,037

Сказал(а) «Спасибо»: 7 раз
Поблагодарили: 140 раз в 126 постах
Автор: auglov Перейти к цитате
Какие основания у третьей стороны доверять нашему регламенту?
Ну а с бумажными документами как проверяется, что хранимое соответствует описи?
Чем эта схема отличается от бумажной???
Что, кроме денег, мешает пользоваться протоптанной дорожкой: модель угроз, организационно-технические меры, сертификация.
Offline auglov  
#12 Оставлено : 11 декабря 2017 г. 17:54:08(UTC)
auglov

Статус: Активный участник

Группы: Участники
Зарегистрирован: 25.12.2014(UTC)
Сообщений: 76

Сказал(а) «Спасибо»: 3 раз
Автор: basid Перейти к цитате
Автор: auglov Перейти к цитате
Какие основания у третьей стороны доверять нашему регламенту?
Ну а с бумажными документами как проверяется, что хранимое соответствует описи?
Чем эта схема отличается от бумажной???
Что, кроме денег, мешает пользоваться протоптанной дорожкой: модель угроз, организационно-технические меры, сертификация.


Вот я и пытаюсь понять, чем отличается и что делать правильно.

Вот хотя бы тем, что если мы в бумажном архиве нашли договор с подписью и печатью некой организации, то доверие к этой печати в суде никуда не денется, хоть через 20 лет, хоть через 30, лишь бы бумага с печатью вообще нашлась в архиве. И не важно, что там по описи еще было - пока на уровне одного единственного документа разобраться бы.

А с ЭП (CAdES-BES) такое уже не работает - год прошел и электронным договором можно только место на диске занимать - даже если предъявишь кому, ЭП будет не валидной, есди заранее ее не улучшили до CAdES-A или CAdES-XLong1, который у тебя любая экспертиза примет, без дополнительных регламентов и свидетелей в виде УЦ.

Ну, допустим, с CAdES-T еще есть шанс привлечь УЦ в качестве свидетеля и запросить с него, что серитфикат в момент штампа времени был дейтсвителен. И то не любой УЦ и не в любой момент.






Offline basid  
#13 Оставлено : 11 декабря 2017 г. 19:49:02(UTC)
basid

Статус: Активный участник

Группы: Участники
Зарегистрирован: 21.11.2010(UTC)
Сообщений: 1,037

Сказал(а) «Спасибо»: 7 раз
Поблагодарили: 140 раз в 126 постах
Автор: auglov Перейти к цитате
А с ЭП (CAdES-BES) такое уже не работает - год прошел и электронным договором можно только место на диске занимать - даже если предъявишь кому, ЭП будет не валидной
... если заранее не оговорить, что время, указанное в ЭП - правильное. Постулировать "в нашей информационной системе контролируются (список атрибутов) ЭП" - ничем не хуже "бумажки с печатью", которую могли заменить на более другой вариант (тоже с печатью).
Собственно, я бы разделил задачу на две:
1. Проверка целостности документов на основании ЭП;
2. Доказательство валидности атрибутов ЭП на момент занесения документа с ЭП в архив.
"При наличии отсутствия" технической возможности обеспечить заверение дайджеста атрибутов ЭП дополнительной подписью с доверенной отметкой времени - только "организационно-технические меры".
Сформировать дайджест атрибутов ЭП и заверить его своей подписью - не проблема.
Проблема - доказательство валидности ЭП на момент проверки без использования OCSP.

P.S. Мне приходилось эксплуатировать информационную систему (не архив), где вариант номер ноль был именно таким - год прошёл и все ЭП стали невалидными, поскольку "истёк срок действия сертификата".
Вариант два рассматривал время из CADES-BES как доверенное (обеспечивалось устройством ИС) и проверка целостности документов работала вполне нормально.

Отредактировано пользователем 11 декабря 2017 г. 19:49:48(UTC)  | Причина: Не указана

Offline auglov  
#14 Оставлено : 11 декабря 2017 г. 20:13:17(UTC)
auglov

Статус: Активный участник

Группы: Участники
Зарегистрирован: 25.12.2014(UTC)
Сообщений: 76

Сказал(а) «Спасибо»: 3 раз
Автор: basid Перейти к цитате

Вариант два рассматривал время из CADES-BES как доверенное (обеспечивалось устройством ИС) и проверка целостности документов работала вполне нормально.


Так это оно для вас было доверенное, потому что вы контролируете свою ИС и сам себе не враг.
А вы пробовали доказать "устройство ИС" в суде, что никто из админов не может зайти в базу и сделать "update DOCUMENTS set validOn = XXX, valid = true".

Целостность и доверенность внутри ИС для владельца этой ИС - это вообще никогда не проблема и там никакая ЭП не нужна совсем.
Как доказать любому стороннему эксперту, что какой-либо факт добытый из вашей ИС вами не был изменен в вашу пользу?

Offline basid  
#15 Оставлено : 12 декабря 2017 г. 9:23:03(UTC)
basid

Статус: Активный участник

Группы: Участники
Зарегистрирован: 21.11.2010(UTC)
Сообщений: 1,037

Сказал(а) «Спасибо»: 7 раз
Поблагодарили: 140 раз в 126 постах
Автор: auglov Перейти к цитате
Целостность и доверенность внутри ИС для владельца этой ИС - это вообще никогда не проблема[/quot]Это сильно зависит от модели угроз, но, да, обычно - не проблема.[quot]Как доказать любому стороннему эксперту, что какой-либо факт добытый из вашей ИС вами не был изменен в вашу пользу?
Очень грубо.
Т.к. документы произвольные, то и подпись, вероятно, отсоединённая. Или конвертируем в присоединённую или создаём zip-архив с нулевой степенью сжатия. В любом случае получаем контейнер, который подписывается архивариусом.
Нет желания создавать контейнер - подписываем все файлы из набора.
В результате можно доказать, что контейнер (набор файлов) не был изменён с момента подписания архивариусом (человеком или системой).
Это сокращает вектор атаки до "в момент подписания архивариусом". С моей непрофессиональной кочки зрения, юридически это ничем не отличается от "в момент заверения нотариусом" - равноценные возможности для злоупотребления.
В этой ситуации, юридически, ничто не мешает рассматривать отметку времени из CADES-BES как доверенную, а это, в свою очередь позволяет удостовериться в целостности "внешней" ЭП.
Остаётся доказательство действительности ЭП. Опять-таки, или "мамой клюнусь, проверили по списку отзыва" или, таки, извлекаем из архива список отзыва на котором делалась проверка.
Понятно, что всё это сильно не "в один клик", но каждый шаг вполне достоверен.

P.S. В целом, я бы, наверное, создавал набор из "документ, отсоединённая эп, список отзыва" и заверял этот набор подписью информационной системы. Список отзыва, естественно, не дублируется в хранилище, если на одном списке проверено стопитцот ЭП.

Отредактировано пользователем 12 декабря 2017 г. 9:23:47(UTC)  | Причина: Не указана

Offline cross  
#16 Оставлено : 12 декабря 2017 г. 11:13:54(UTC)
Анатолий Беляев

Статус: Сотрудник

Группы: Администраторы, Участники
Зарегистрирован: 24.11.2009(UTC)
Сообщений: 965
Откуда: Crypto-Pro

Сказал(а) «Спасибо»: 3 раз
Поблагодарили: 174 раз в 152 постах
В концептуальном плане ответ basid правильный. При сдаче в архив документа + подпись. Вы можете добавить туда метку времени (вообщем то она не сильно нужна, но добавляет "доказательств" существования на момент времени) и если хотите CRL( с ним чуть сложнее, формально он должен быть выпущен уже после метки времени, технически это сложно организовать). Дальше эти данные помещаются в произвольный "контейнер" (можно просто конкатенировать их с неким разделителем) и подписывается подписью архивариуса типом X Long Type 1. Эта подпись дает юридически значимое время существования подписи и документа и пригодна для длительного хранения.
Техническую поддержку оказываем тут.
Наша база знаний.
Наша страничка в Instagram.
Offline auglov  
#17 Оставлено : 12 декабря 2017 г. 17:29:26(UTC)
auglov

Статус: Активный участник

Группы: Участники
Зарегистрирован: 25.12.2014(UTC)
Сообщений: 76

Сказал(а) «Спасибо»: 3 раз
Похоже, что это и правда сработает. Получается, что мы целостность документа удостоверяем исходной ЭП, а достоверность на момент времени этой ЭП удостоверяем подписью системы, которую можем делать автоматически (вроде, нет необходимости в присутствии человека на этом этапе). Если можем, то подписываем еще и СОС для исходного сертификата. Наверное, нужно еще собрать все СОС для всей цепочки, или это излишне?

А для продления срока архивной ЭП дальше используем или CAdES-A, периодически добавляя в нее новые штампы времени, или подписываем старую архивную ЭП новой раз в N лет, так?

Еще получается, что нам не обязательно архивной ЭП подписывать весь контейнер с исходным файлом, а достаточно подписать исходную отсоединенную ЭП + СОС (или несколько, хоть одним контейнером, хоть по отдельности)?

И хранить это все по отдельности физически, лишь бы была возможность выдать в нужном порядке: Док, его ЭП, архивная ЭП этой ЭП, архивная ЭП архивной ЭП, ...., раз уж доказательство подлинности исходного документа все равно будет проходить по этой цепочке с конца в начало. Можно ведь?
Offline cross  
#18 Оставлено : 13 декабря 2017 г. 10:52:40(UTC)
Анатолий Беляев

Статус: Сотрудник

Группы: Администраторы, Участники
Зарегистрирован: 24.11.2009(UTC)
Сообщений: 965
Откуда: Crypto-Pro

Сказал(а) «Спасибо»: 3 раз
Поблагодарили: 174 раз в 152 постах
Да, в целом все верно. Лучше всего собирать данных по максимуму которые можете собрать и подписывать единый контейнер со всем этим. Дальше уже хранить можно по отдельности все.
Техническую поддержку оказываем тут.
Наша база знаний.
Наша страничка в Instagram.
Offline auglov  
#19 Оставлено : 13 декабря 2017 г. 14:02:57(UTC)
auglov

Статус: Активный участник

Группы: Участники
Зарегистрирован: 25.12.2014(UTC)
Сообщений: 76

Сказал(а) «Спасибо»: 3 раз
Страшно единый контейнер подписывать, если потом его не хранить. А если zip или tar в следующий раз его как-то не так соберет вдруг? А свой формат что-то не хочется изобретать лишний раз.
Соображение, почему хочется подписать только подписи простое - экнонмия места в хранилище, чтобы файл с документом хранить только сам по себе, а не сам, да еще и копию в контейнере. Отдельно хранить его все равно хочется уже из сообразений удобства доступа.

Такое detached-решение все равно не станет хуже, с точки зрения вопроса доказательства подлинности?
Offline cross  
#20 Оставлено : 14 декабря 2017 г. 11:42:17(UTC)
Анатолий Беляев

Статус: Сотрудник

Группы: Администраторы, Участники
Зарегистрирован: 24.11.2009(UTC)
Сообщений: 965
Откуда: Crypto-Pro

Сказал(а) «Спасибо»: 3 раз
Поблагодарили: 174 раз в 152 постах
Как минимум документ лучше подписывать вместе с подписью. А зачем вам tar? Сделайте простую кокатенацию base64 строк и тогда его всегда можно будет однозначно собрать.
Техническую поддержку оказываем тут.
Наша база знаний.
Наша страничка в Instagram.
RSS Лента  Atom Лента
Пользователи, просматривающие эту тему
3 Страницы<123>
Быстрый переход  
Вы не можете создавать новые темы в этом форуме.
Вы не можете отвечать в этом форуме.
Вы не можете удалять Ваши сообщения в этом форуме.
Вы не можете редактировать Ваши сообщения в этом форуме.
Вы не можете создавать опросы в этом форуме.
Вы не можете голосовать в этом форуме.