Software & Systems

В настоящее время наблюдается общемировая тенденция перехода на систему электронного юридически значимого документооборота. Для обеспечения безопасности такой системы традиционно применяются средства криптографической защиты информации (СКЗИ).

При трансграничном электронном взаимодействии применяются национальные СКЗИ, поэтому возникают сложности в подтверждении аутентичности и целостности документа, подписанного в правовом поле иной страны. Подход, основанный на импорте и экспорте СКЗИ между странами, связан со значительными организационными трудностями, не является технологичным и не может массово использоваться. Необходимо найти решение, обеспечивающее возможность проверки электронной подписи (ЭП), цепочек сертифи­катов, относящихся как к одному, так и к различным доменам доверия, а следовательно – юридически значимое трансграничное электронное взаимодействие.

Специалистами Газинформсервиса создан сервер проверки данных и сертификации (DVCS – Data Validation and Certification Server), основным назначением которого являются автоматизация бизнес-процесссов, связанных с подтверждением подлинности ЭП, обеспечение аутентичности и целостности электронного документа и как следствие – признание его юридической силы и достоверности, защита информации, обеспе- чение архивного хранения электронных документов.

Сервисы валидации (проверки подлинности) DVCS реализуют модель доверия, применимую для широкого спектра прикладных задач [1]: проверка электронных документов на основании TSL (Trusted Services List), а также документов с ЭП в формате CMS (Cryptographic Message Syntax) PKCS#7 (Public Key Cryptography Standards) стандарта RFC 3852; обработка электронных документов, подписанных усовершенствованной ЭП в форматах CAdES (ETSI TS 101 733 V1.8.3 (2011-01)), PAdES (ETSI TS 102 778), XAdES (ETSI TS 101 903 V1.1.1 (2002-02)) (профили -T, -C, -X, -X-L, -A).

DVCS как составная часть инфраструктуры открытых ключей (ИОК) Газинформсервиса предназначена для реализации следующих сервисов [2]:

–      подтверждение действительности сертификата ключа подписи, выданного доверенным Удостоверяющим центром (сервис vkpc – Validation of Public Key Certificates);

–      удостоверение обладания информацией в указанный момент времени с предоставлением ее сервису (сервис cpd – Certification of Possession of Data);

–      удостоверение обладания информацией без предоставления ее сервису (по хэш) (сервис ccpd – Certification of Claim of Possession of Data);

–      подтверждение ЭП электронного документа (сервис vsd – Validation of Digitally Signed Docu­ment).

В соответствии с назначением и поставленными целями создания системы ее основными задачами являются:

–      обработка запросов конечных пользователей;

–      ведение БД о пользователях системы и их действиях;

–      контроль и разграничение прав доступа пользователей к системе;

–      предоставление конечному пользователю справочной информации по правилам работы с DVCS.

Система DVCS рассчитана на администраторов и конечных пользователей.

Конечные пользователи – это анонимные пользователи, получающие доступ к сервисам валидации DVCS на безвозмездной основе без предварительной регистрации в системе, а также клиенты – зарегистрированные пользователи, которым УЦ ГИС выданы сертификаты ЭП для подписи формируемых DVC-запросов.

Администраторы – это специалисты Удостоверяющего центра Газинформсервиса, выполняющие регистрацию новых пользователей, настройку общесистемных параметров и пользовательских профилей, контроль функционирования системы, восстановление системы после сбоев.

Клиентами DVCS могут быть как юридические, так и физические лица.

DVCS представляет собой распределенную систему, построенную на принципах клиент-серверной архитектуры [3] с использованием веб-технологий корпорации Microsoft (см. рис.):

–      веб-сервер Microsoft Internet Information Services (IIS), осуществляющий поддержку сайта DVCS и управление подчиненными веб-сервиса­ми;

–      платформа Microsoft .NET 3.5 Framework, включающая компоненту Windows Communication Foundation (WCF); серверные приложения базируются на технологии ASP.NET;

–      платформа Microsoft Silverlight 5 для создания приложений, позволяющая выполнять на стороне клиента функции криптографических алгоритмов, необходимые для реализации сервисов DVCS для формирования DVC-запросов, обработки полученных DVC-квитанций и т.п.

Работа пользователей с системой осуществляется через веб-интерфейс, обеспечивающий доступ и навигацию по функциональным страницам сайта системы.

Анонимным пользователям и администраторам для вызова бесплатных услуг и настройки сервиса DVCS требуется только веб-браузер. На ПЭВМ клиентов системы, кроме веб-браузера, должны быть инсталлированы компоненты: MS Silverlight 5 и криптоядро, включающее в себя библиотеку BHCryptography и криптопровайдер КриптоПро CSP.

В качестве серверной операционной системы должна использоваться MS Windows Server (Windows Server 2003 с веб-сервером IIS 6.0; Windows Server 2008 R2 с IIS 7.5). Серверная часть DVCS состоит из двух взаимосвязанных подсистем – обработки DVCS-запросов (SQP, Service Query Processing) и веб-взаимодействия с пользователями DVCS (SUI, Service user interaction), заключающегося в передаче данных в двух направлениях – от SQP к SUI и от SUI к SQP.

Подсистема обработки DVCS-запросов (SQP) включает в себя такие компоненты, как серверное приложение обработки DVC-запросов, библиотека BHC и репозиторий DVCS.

Подсистема осуществляет

-      проверку полученных DVC-запросов;

-      формирование квитанций на запросы услуг валидации от анонимных и зарегистрированных пользователей;

-      отправку DVC-квитанций для отображения;

-      хранение запросов и квитанций на запросы в БД заданное в настройках время;

-      пролонгирование квитанций на запросы.

Подсистема веб-взаимодействия с пользователями DVCS включает в себя компоненты: веб-сайт DVCS, серверное приложение для обработки запросов, БД (для хранения информации о профилях пользователей и журналов событий). В качестве СУБД должна использоваться СУБД Oracle 10g Release 2.

Подсистема выполняет следующие задачи:

-      аутентификация и авторизация зарегистрированных пользователей по логину и паролю;

-      публичный доступ к информации о предоставляемых сервисах DVCS;

-      вызов бесплатных DVCS-сервисов для анонимных пользователей;

-      регистрация новых пользователей для получения услуг валидации на возмездной основе;

-      доступ и работа с личным кабинетом для зарегистрированных пользователей, включая вызов процедур выполнения DVC-запросов и выгрузку полученных DVC-квитанций;

-      настройка администратором параметров системы;

-      просмотр журналов событий и ошибок;

-      хранение профилей пользователей.

В репозитории должны храниться DVC-запро­сы, квитанции на них и служебная информация, необходимая для функционирования БД.

Библиотека BHCryptography реализует базо- вые криптографические функции клиентских и серверных приложений на основе CryptoAPI, такие как

-      предоставление клиентам пользовательского интерфейса для создания усовершенствованной ЭП (УЭП);

-      инкапсуляция ЭП (УЭП) в документ;

-      проверка ЭП (УЭП);

-      шифрование/расшифрование;

-      формирование и отправка четырех типов DVCS-запросов (vkpc, cpd, ccpd, vsd);

-      формирование DVC-квитанции;

-      парсинг DVC-квитанции с выводом информации в удобном для чтения виде.

ПО DVCS обеспечивает выполнение следующих функций по организации доступа и защите информации:

1)    идентификация и аутентификация по логину и паролю;

2)    доступ анонимных пользователей к услугам сервиса DVCS, оказываемым на безвозмездной основе;

3)    доступ к сервисам DVCS на основе протокола HTTPS;

4)    ограничение доступа пользователей к функциям DVCS в соответствии с ролями в DVCS (администратор системы, зарегистрированный пользователь системы, анонимный пользователь системы);

5)    протоколирование событий, происходящих в системе:

–      запрос услуг валидации;

–      все действия, выполненные с использованием административных привилегий;

–      доступ к журналу регистрации событий;

–      неудачные попытки доступа в систему;

–      инициализация журналов регистрации событий;

–      создание и удаление системных объектов;

–      факты отключения или прерывания процесса журналирования событий;

–      регистрация, удаление пользователя системы;

–      изменение параметров профиля пользователя;

–      формирование и передача квитанций по каналам связи.

Для входа в систему зарегистрированный пользователь должен ввести логин и пароль, анонимный пользователь может получить доступ к бесплатному сервису системы, нажав кнопку «Проверка on-line» [4].

Каждый зарегистрированный в системе пользователь привязан к своему персональному профилю, который имеет следующие характеристики:

–      роль пользователя;

–      список персональных сертификатов;

–      логин (уникальное значение);

–      пароль;

–      Ф.И.О;

–      e-mail;

–      контактный телефон;

–      статус – действителен/недействителен;

–      флаг разрешения/запрета хранения квитанций на DVC-запросы в БД DVCS;

–      флаг разрешения/запрета автоматического пролонгирования квитанций на DVC-запросы, хранящиеся в БД DVCS.

Личный кабинет зарегистрированного пользователя позволяет выполнять:

1)    поиск и получение квитанций на ранее сделанный DVC-запрос в форматах CAdES, PAdES, XAdES;

2)    настройку параметров профиля пользователя:

–      разрешение/запрет хранения DVC-квитан­ций в БД DVCS;

–      разрешение/запрет автоматического пролонгирования DVC-квитанций;

–      выбор криптографической системы для подписи квитанций;

3)    отправку запроса в службу поддержки;

4)    формирование пользователем DVC-запро­сов на валидацию и получение квитанций на эти запросы.

Авторизованный доступ конечного пользователя к личному кабинету осуществляется по логину, паролю (функции 1–3) и сертификату (функция 4), выданному Удостоверяющим центром данному пользователю.

Для входа в личный кабинет пользователь должен иметь статус пользователя сервиса DVCS. При входе в систему открывается форма с тремя закладками: «Список запросов», «Настройки», «Проверка».

На закладке «Список запросов» пользователь с помощью фильтра может найти нужную квитанцию на ранее сделанный DVC-запрос и загрузить ее на локальный носитель своего АРМа.

На закладке «Настройки» пользователь может настроить доступные ему параметры своего профиля.

На закладке «Проверка» производятся переход на сервис по формированию пользователем DVC-запросов на валидацию и получение квитанций на эти запросы.

АРМ администратора предназначен для выполнения следующих функций DVCS:

–      добавление, изменение и удаление профиля пользователя;

–      настройка системы;

–      просмотр и инициализация журналов событий и ошибок;

–      подготовка отчетов по результатам работы сервиса DVCS.

На визуальной форме для администратора отображаются пять панелей с закладками: «Пользователи», «Настройки», «Журнал событий», «Журнал ошибок», «Отчеты».

На закладке «Пользователи» администратор может управлять профилями пользователей. Для поиска пользователя на закладке предусматривается фильтр с полями:

–      Ф.И.О.;

–      период даты регистрации пользователя в системе.

При добавлении пользователя в систему администратор создает новый профиль для пользователя, заполняя поля на форме. При регистрации пользователя в системе на имя пользователя, указанное в поле «Ф.И.О.», по адресу, указанному в поле «e-mail», высылается уведомление о том, что пользователь зарегистрирован в системе DVCS. При добавлении нового пользователя в параметрах профиля может быть также определен персональный сертификат пользователя.

При изменении профиля пользователя администратор имеет возможность добавить в параметры профиля до 10 персональных сертификатов.

Возможности взаимодействия системы с другими программными системами состоят в следующем.

Для реализации услуг валидации DVCS необходимо ПО компании «КриптоПро» (КриптоПро УЦ, КриптоПро TSP, КриптоПро OCSP), которое использует отечественные алгоритмы ЭП и шифрования криптографических провайдеров в соответствии с ГОСТ Р 34.10-2001, ГОСТ Р 34.11-94 и ГОСТ 28147-89, а также ПО «БлокХост-ЭЦП» в варианте исполнения «библиотека».

Для реализации на стороне клиента функционала библиотеки BHCryptography требуются загрузка и инсталляция для веб-браузера плагина Microsoft Silverlight 5.

Клиентское ПО должно обеспечивать корректную работу с MS Internet Explorer версии 7.0 и выше, а также с другими распространенными веб-браузерами: Mozilla Firefox (версии 3.6.26, 3.10 и выше), Google Chrome (версии 17.0.ххх и выше), Opera (версии 11.0 и выше).

Таким образом, с появлением программного продукта DVCS юридически значимое трансграничное взаимодействие стало реальностью. А проблема, связанная с проверкой ЭП, цепочки сертификатов, относящихся к различным доменам доверия, ушла в прошлое.

Литература

1.     URL: http://notary.cryptopro.ru/ (дата обращения: 11.10.2011).

2.     RFC 3029. Internet X.509 Public Key Infrastructure Data Validation and Certification Server Protocols (DVCS).

3.     URL: http://www.top-cross.ru/ (дата обращения: 11.10.2011).

4.     URL: https://www.webnotarius.eu/webnotariuseu/main_ ru.xml (дата обращения: 11.10.2011).