Ключевое слово в защите информации
КЛЮЧЕВОЕ СЛОВО
в защите информации
Получить ГОСТ TLS-сертификат для домена (SSL-сертификат)
Добро пожаловать, Гость! Чтобы использовать все возможности Вход или Регистрация.

Уведомление

Icon
Error

9 Страницы<1234>»
Опции
К последнему сообщению К первому непрочитанному
Offline svyazist  
#11 Оставлено : 27 августа 2016 г. 22:31:10(UTC)
svyazist

Статус: Активный участник

Группы: Участники
Зарегистрирован: 12.07.2012(UTC)
Сообщений: 204
Мужчина

Сказал «Спасибо»: 29 раз
Поблагодарили: 55 раз в 34 постах
Проект ФЗ по административным штрафам в части работы удостоверяющих центров -
http://regulation.gov.ru/projects#npa=53119
thanks 3 пользователей поблагодарили svyazist за этот пост.
Андрей * оставлено 28.08.2016(UTC), Евгений Пономаренко оставлено 29.08.2016(UTC), Zloy Strelok оставлено 01.09.2016(UTC)
Offline Андрей Писарев  
#12 Оставлено : 28 августа 2016 г. 5:15:37(UTC)
Андрей *

Статус: Сотрудник

Группы: Участники
Зарегистрирован: 26.07.2011(UTC)
Сообщений: 12,625
Мужчина
Российская Федерация

Сказал «Спасибо»: 492 раз
Поблагодарили: 2034 раз в 1578 постах
Автор: svyazist Перейти к цитате
Проект ФЗ по административным штрафам в части работы удостоверяющих центров -
http://regulation.gov.ru/projects#npa=53119


Snimok ehkrana ot 2016-08-28 060500.png (110kb) загружен 188 раз(а).

Техническую поддержку оказываем тут
Наша база знаний
Offline shkodnik  
#13 Оставлено : 30 августа 2016 г. 13:41:00(UTC)
shkodnik

Статус: Активный участник

Группы: Участники
Зарегистрирован: 18.08.2011(UTC)
Сообщений: 554
Мужчина
Российская Федерация
Откуда: Москва

Сказал «Спасибо»: 52 раз
Поблагодарили: 45 раз в 28 постах
Автор: Uatto Перейти к цитате
- заявитель самостоятельно создает ключ электронной подписи до осуществления обращения в Удостоверяющий центр;

Не могу понять, чем он создает ключ? есть ли какие то требования к самостоятельному созданию запроса на серт и ключа? Аналогия пока только одна - АРМ Казначейства и их схема выдачи.
Offline svyazist  
#14 Оставлено : 30 августа 2016 г. 20:24:00(UTC)
svyazist

Статус: Активный участник

Группы: Участники
Зарегистрирован: 12.07.2012(UTC)
Сообщений: 204
Мужчина

Сказал «Спасибо»: 29 раз
Поблагодарили: 55 раз в 34 постах
Автор: shkodnik Перейти к цитате
Автор: Uatto Перейти к цитате
- заявитель самостоятельно создает ключ электронной подписи до осуществления обращения в Удостоверяющий центр;

Не могу понять, чем он создает ключ? есть ли какие то требования к самостоятельному созданию запроса на серт и ключа? Аналогия пока только одна - АРМ Казначейства и их схема выдачи.


Ну для примера КриптоАРМ ещё.
thanks 1 пользователь поблагодарил svyazist за этот пост.
shkodnik оставлено 31.08.2016(UTC)
Offline Uatto  
#15 Оставлено : 31 августа 2016 г. 5:19:22(UTC)
Uatto

Статус: Активный участник

Группы: Участники
Зарегистрирован: 19.05.2010(UTC)
Сообщений: 69

Сказал(а) «Спасибо»: 6 раз
Поблагодарили: 1 раз в 1 постах
Автор: shkodnik Перейти к цитате
Автор: Uatto Перейти к цитате
- заявитель самостоятельно создает ключ электронной подписи до осуществления обращения в Удостоверяющий центр;

Не могу понять, чем он создает ключ? есть ли какие то требования к самостоятельному созданию запроса на серт и ключа? Аналогия пока только одна - АРМ Казначейства и их схема выдачи.


HTML-форма + КриптоПро CSP например. Правда это будет все-таки ПОСЛЕ обращения в УЦ, а не ДО )
thanks 1 пользователь поблагодарил Uatto за этот пост.
shkodnik оставлено 31.08.2016(UTC)
Offline Zloy Strelok  
#16 Оставлено : 1 сентября 2016 г. 19:27:08(UTC)
Zloy Strelok

Статус: Активный участник

Группы: Участники
Зарегистрирован: 06.07.2012(UTC)
Сообщений: 267
Мужчина
Российская Федерация
Откуда: Калининград

Сказал «Спасибо»: 51 раз
Поблагодарили: 30 раз в 22 постах
Автор: Андрей * Перейти к цитате
Автор: svyazist Перейти к цитате
Проект ФЗ по административным штрафам в части работы удостоверяющих центров -
http://regulation.gov.ru/projects#npa=53119


Snimok ehkrana ot 2016-08-28 060500.png (110kb) загружен 188 раз(а).



Да, совершенно непонятный пункт...
Offline moremore  
#17 Оставлено : 5 сентября 2016 г. 8:56:10(UTC)
moremore

Статус: Активный участник

Группы: Участники
Зарегистрирован: 16.07.2014(UTC)
Сообщений: 70

Сказал(а) «Спасибо»: 10 раз
Поблагодарили: 9 раз в 8 постах
Автор: Zloy Strelok Перейти к цитате
Автор: Андрей * Перейти к цитате
Автор: svyazist Перейти к цитате
Проект ФЗ по административным штрафам в части работы удостоверяющих центров -
http://regulation.gov.ru/projects#npa=53119


Snimok ehkrana ot 2016-08-28 060500.png (110kb) загружен 188 раз(а).



Да, совершенно непонятный пункт...


А по моему все довольно ясно. Например можно рассмотреть организацию оказывающую госуслугу (ГУ, БУ и т.д.) и использующую при ее оказании ЭП (подписание запроса в СМЭВ, авторизация в ЕСИА и т.д.). При наличии того или иного косяка в ЭП, из-за которого оказать госуслугу в срок не представляется возможным, ответственность будет нести УЦ, выдавший эту ЭП. Некорректные сведения в сертификате либо недоступность СОС на момент оказания госуслуги, могут стать причиной такого нарушения.
Offline Zloy Strelok  
#18 Оставлено : 5 сентября 2016 г. 10:47:26(UTC)
Zloy Strelok

Статус: Активный участник

Группы: Участники
Зарегистрирован: 06.07.2012(UTC)
Сообщений: 267
Мужчина
Российская Федерация
Откуда: Калининград

Сказал «Спасибо»: 51 раз
Поблагодарили: 30 раз в 22 постах
Автор: moremore Перейти к цитате
Автор: Zloy Strelok Перейти к цитате
Автор: Андрей * Перейти к цитате
Автор: svyazist Перейти к цитате
Проект ФЗ по административным штрафам в части работы удостоверяющих центров -
http://regulation.gov.ru/projects#npa=53119


Snimok ehkrana ot 2016-08-28 060500.png (110kb) загружен 188 раз(а).



Да, совершенно непонятный пункт...


А по моему все довольно ясно. Например можно рассмотреть организацию оказывающую госуслугу (ГУ, БУ и т.д.) и использующую при ее оказании ЭП (подписание запроса в СМЭВ, авторизация в ЕСИА и т.д.). При наличии того или иного косяка в ЭП, из-за которого оказать госуслугу в срок не представляется возможным, ответственность будет нести УЦ, выдавший эту ЭП. Некорректные сведения в сертификате либо недоступность СОС на момент оказания госуслуги, могут стать причиной такого нарушения.


Ну да, если со стороны госоргана посмотреть, то логика есть.
Offline Alexey I  
#19 Оставлено : 7 сентября 2016 г. 17:44:56(UTC)
Alexey I

Статус: Активный участник

Группы: Участники
Зарегистрирован: 29.04.2009(UTC)
Сообщений: 125
Мужчина

Сказал «Спасибо»: 2 раз
Поблагодарили: 28 раз в 20 постах
Автор: Uatto Перейти к цитате
Коллеги, как считаете, исходя из прочтения обсуждаемого документа, способ создания ключей ЭП "заявитель самостоятельно создает ключ электронной подписи с использованием автоматизированного рабочего места Удостоверяющего центра" - является обязательным для УЦ или одним из возможных? Если обязательным, то тогда ведь придется ставить дополнительный аттестованный АРМ для клиентов и аттестовывать помещение (не понятно зачем).


В проекте приказа написано:
Цитата:
Данный подраздел должен содержать:
а) порядок создания заявителем ключей электронной подписи, с учетом следующих способов создания:
- заявитель самостоятельно создает ключ электронной подписи до осуществления обращения в Удостоверяющий центр;
- заявитель самостоятельно создает ключ электронной подписи с использованием автоматизированного рабочего места Удостоверяющего центра.
При реализации данного способа должно быть использовано автоматизированное рабочее место, аттестованное на соответствие требованиям законодательства Российской Федерации по технической защите конфиденциальной информации, размещенное в аттестованном помещении, доступ в которое ограничен. Ключ электронной подписи, созданный таким образом, записывается Удостоверяющим центром на ключевой носитель, который выдается заявителю либо доверенному лицу заявителя по окончании процедуры выдачи сертификата.

Т.е. данные способы должны включаться в порядок реализации функций УЦ (регламент УЦ), но не исключает другие способы создания ключей.

Имхо, 2 способ, когда "заявитель самостоятельно создает ключ электронной подписи с использованием автоматизированного рабочего места Удостоверяющего центра" на практике трудно реализовать, если д.б. аттестовано и АРМ и помещение.
Реализация данного способа противоречит требованиям ИБ. В документах по ЗИ (в т.ч. для аттестации) д.б. определен перечень сотрудников, имеющих доступ к АРМ и в помещение, д.б. разработана матрица доступа и т.д. Заявители это почти всегда неопределенный круг лиц (часто с невысокой квалификацией в сфере ИБ), доступ заявителя как к аттестованному АРМ, так и в помещение должен регламентироваться, как и использование заявителем съемных носителей информации. Можно конечно каждого пользователя записывать в различные журналы (доступа к АРМ, ознакомления с правилами работы на АРМ, СКЗИ, ИБ и т.д.), создать на АРМ изолированную пользовательскую среду, АРМ выделить в отдельный сегмент сети и т.д, но это лишние затраты и низкая эффективность по сравнению с другими способами.

Положительный момент при создании ключа ЭП заявителем - доступ к ключу (и ключевому носителю) имеет только сам заявитель.
Но данный принцип тут же опровергается -
Цитата:
Ключ электронной подписи, созданный таким образом, записывается Удостоверяющим центром на ключевой носитель, который выдается заявителю либо доверенному лицу заявителя по окончании процедуры выдачи сертификата.

Т.е. получается абсурдная ситуация - заявитель создал на АРМ УЦ ключ ЭП и передал сотруднику УЦ для записи этого ключа ЭП на ключевой носитель. В УЦ Федерального казначейства, например, такой способ (когда на флешке кроме запроса на СКП содержится ключевой контейнер) считался компрометацией ключей ЭП (несмотря на то, что доступ к ключевому носителю имелся только у пользователя и сотрудника УЦ). Такая схема приводит к трудности реализации распределенной схемы выдачи СКП.
Кроме того "Ключ электронной подписи, созданный таким образом, записывается ... по окончании процедуры выдачи сертификата" - т.е. сначала УЦ выдал сертификат и только потом записал ключ ЭП на ключевой носитель! Обычно делается наоборот - формируется ключ ЭП и запрос на основе которого создается СКП и выдается заявителю. Вариант, который может подходить в данном случае - создание резервного ключевого носителя.
Было бы лучше, если вместо "Ключ электронной подписи, созданный таким образом..." заменить на
"Сертификат ключа проверки электронной подписи, созданный Удостоверяющим центром по запросу заявителя, выдается заявителю либо доверенному лицу заявителя."
Проект приказа необходимо ещё дорабатывать, иначе все эти противоречия войдут и в регламенты УЦ.
thanks 1 пользователь поблагодарил Alexey I за этот пост.
dkovalenko оставлено 14.01.2019(UTC)
Offline Вавилов  
#20 Оставлено : 8 сентября 2016 г. 12:15:48(UTC)
Вавилов

Статус: Активный участник

Группы: Участники
Зарегистрирован: 05.03.2015(UTC)
Сообщений: 54
Откуда: Москва

Сказал(а) «Спасибо»: 6 раз
Поблагодарили: 8 раз в 7 постах
Автор: moremore Перейти к цитате
Автор: Zloy Strelok Перейти к цитате
Автор: Андрей * Перейти к цитате
Автор: svyazist Перейти к цитате
Проект ФЗ по административным штрафам в части работы удостоверяющих центров -
http://regulation.gov.ru/projects#npa=53119


Snimok ehkrana ot 2016-08-28 060500.png (110kb) загружен 188 раз(а).



Да, совершенно непонятный пункт...


А по моему все довольно ясно. Например можно рассмотреть организацию оказывающую госуслугу (ГУ, БУ и т.д.) и использующую при ее оказании ЭП (подписание запроса в СМЭВ, авторизация в ЕСИА и т.д.). При наличии того или иного косяка в ЭП, из-за которого оказать госуслугу в срок не представляется возможным, ответственность будет нести УЦ, выдавший эту ЭП. Некорректные сведения в сертификате либо недоступность СОС на момент оказания госуслуги, могут стать причиной такого нарушения.


Под это дело могут подвести не предоставление удостоверяющим центром в ЕСИА информации о выданном сертификате?
thanks 1 пользователь поблагодарил Вавилов за этот пост.
dkovalenko оставлено 14.01.2019(UTC)
RSS Лента  Atom Лента
Пользователи, просматривающие эту тему
9 Страницы<1234>»
Быстрый переход  
Вы не можете создавать новые темы в этом форуме.
Вы не можете отвечать в этом форуме.
Вы не можете удалять Ваши сообщения в этом форуме.
Вы не можете редактировать Ваши сообщения в этом форуме.
Вы не можете создавать опросы в этом форуме.
Вы не можете голосовать в этом форуме.