Как известно, согласно Порядку реализации Федеральной налоговой службой функций аккредитованного удостоверяющего центра и исполнения его обязанностей, ключи электронной подписи ФНС России записывают только на специальные носители ключевой информации. Причем носители эти должны быть сертифицированы ФСТЭК или ФСБ. В этой статье мы хотим пояснить, в каких случаях ключевой носитель сертифицирует ФСБ, а в каких – ФСТЭК, и почему это важно.
Сначала пара слов о вышеупомянутых серьезных ведомствах. Напомним, что Федеральная служба безопасности (ФСБ) – это федеральный орган исполнительной власти, полномочия которого лежат в области обеспечения безопасности Российской Федерации, в том числе в области информационной безопасности. Что касается электронной подписи, то здесь ФСБ, согласно закону 63-ФЗ, устанавливает требования к средствам ЭП, хранению ключей, автоматическому созданию подписи, а также защите информации.
Федеральная служба по техническому и экспортному контролю (ФСТЭК), помимо реализации функции защиты информации в сфере КИИ и противодействия иностранным разведкам, занимается технической защитой информации.
А сейчас краткий ликбез о том, как работают и чем отличаются ключевые носители. Сразу оговоримся, что мы ведем речь о юридически квалифицированной электронной подписи.
Устройство для электронной подписи работает следующим образом: с помощью криптографических средств генерируется ключ электронной подписи, после чего обладатель сертификата ЭП заверяет документы. И от того, какими средствами будет генерироваться ключ ЭП, по сути, и зависит, какое ведомство сертифицирует ключевой носитель.
Ключ генерируется за пределами устройства (пассивные ключевые носители)
В некоторых случаях создание ключа подписи и дальнейшая работа с ними возможна только при наличии ГОСТ-криптопровайдера, специальной программы, установленной на компьютере пользователя. То есть, ключ генерируется за пределами устройства, передается затем в него и там хранится. Таким образом, здесь ключевой носитель выступает всего лишь как защищенное PIN-кодом хранилище ключей электронной подписи. Ключи из хранилища, сгенерированные с помощью программного криптопровайдера, хоть и ненадолго, но извлекаются в оперативную память компьютера для работы, поэтому их еще называют извлекаемыми.
По требованиям УЦ ФНС пассивный носитель должен быть сертифицирован во ФСТЭК, что подтверждает отсутствие недекларируемых возможностей у устройства. А криптопровайдер, установленный на компьютер, должен быть сертифицирован в ФСБ.
Ключ генерируется в самом устройстве (активные ключевые носители)
В этом случае сами ключевые носители содержат в себе средство криптографической защиты информации (СКЗИ), благодаря которому могут сами генерировать ключи и формировать электронную подпись с использованием аппаратной криптографии. Закрытый ключ, сгенерированный с помощью активного ключевого носителя, никогда не извлекается наружу, а все операции происходят внутри носителя, поэтому такие ключи называются неизвлекаемыми.
Юридически для того, чтобы подпись считалась квалифицированной, активный носитель должен быть сертифицирован в ФСБ, что подтверждает корректность реализации криптографии с использованием внутреннего криптографического ядра устройства.
Получается, что определяющим фактором в вопросе сертификации ключевых носителей является тот способ, с помощью которого генерируются ключи и производится последующая работа с ними. Одни устройства СКЗИ внутри не содержат, поэтому только получают и хранят ключи ЭП (токен сертифицирует ФСТЭК), другие являются СКЗИ, генерируют ключи и никуда их не передают (токен сертифицирует ФСБ).
Читайте также
Ключевой носитель для электронной подписи. Что это и зачем?
Почему налоговая требует ключевой носитель? Какой токен нужен для налоговой?