Для того, чтобы с помощью телефона можно было осуществить надежную идентификацию, аутентификацию и сформировать усиленную квалифицированную электронную подпись, необходимо соблюсти несколько условий. Один их важных принципов – хранение закрытого ключа в тайне. Решить данную проблему можно было бы с помощью программной реализации. Однако существует ряд препятствий, которые мешают выбрать данный способ. Во-первых, при большом количестве мобильных операционных систем срок их жизни составляет всего 2,5 года. Пока технические специалисты разрабатывают, сертифицируют и выводят решение на рынок, появляется новая платформа, и все приходится начинать заново.
Во-вторых, отсутствует легитимность подобных разработок. Яркий пример – платформа iOS, приложения которой являются монолитными и распространяются через AppStore. Так, при экспортировании на американский сайт российской криптографии в отсутствие специальных разрешающих документов (лицензии ГосДепа США, экспортной лицензии и т.д.), нарушается законодательство сразу двух стран. Кроме того, так как происходит реализация криптографии на мобильной платформе, то на телефоне формируется недоверенная среда, в которой достаточно легко реализуются атаки, разработанные для обычных компьютеров, например, атака с подменой документов.
Таким образом, при разработке технологии мобильной PKI наиболее правильным вариантом является использование аппаратных средств с неизвлекаемым закрытым ключом. В качестве системы криптографической защиты информации (СКЗИ) можно применять USB-токены и смарт-карты, однако и для конечного пользователя, и для разработчика удобным назвать этот способ нельзя. Так как разные платформы имеют различные разъемы и интерфейсы, необходимо разрабатывать отдельное приложение под каждую платформу, что приводит к повышению накладных расходов и увеличению количества устройств, которые пользователь нескольких мобильных гаджетов должен иметь при себе.
Конечно, благодаря принятию нового стандарта USB 3.1 ожидается, что разработчики-производители телефонов и мобильных платформ унифицируют их в части разъемов. Кроме того, существуют интерфейсы NFC и BlueTooth, которые также можно использовать для решения данной проблемы. Но в телефоне есть отчуждаемый модуль безопасности в виде sim-карты, и нет необходимости в применении дополнительных устройств.
Использование этой технологии для подписи документов кажется очень перспективным. Но, к сожалению, ее реализация по ряду причин не так проста. Например, чтобы посчитать подпись на sim-карте без использования криптоакселератора в виде Java-апплета, необходимо потратить полторы недели. То есть для ускорения работы нужен со-процессор. Но те криптоакселераторы, что есть на sim-картах, не поддерживают параметры эллиптических кривых, заложенных государственными стандартами. Таким образом, необходимо производить доработку как операционной системы, так и sim-карты. А это значит, что на уже действующих sim-картах воспользоваться новой технологией будет нельзя, необходимо будет их заменить.
Кроме того, существует архитектурное ограничение, так как из области приложений телефона обратиться напрямую к sim-карте нельзя. С другой стороны, этот факт является положительным с точки зрения обеспечения информационной безопасности, ведь если нельзя обратиться к sim-карте напрямую, то этого не сделают ни хакеры, ни вредоносное программное обеспечение.
Порядок использования электронной подписи
В то же время, применяя PKI на sim-карте, пользователь получает универсальное решение, которое не требует разработки приложений под каждую отдельную платформу и защищено от атак с подменой документов из области приложений. Использование электронной подписи на sim-карте возможно по двум каналам: посредством sms (онлайн-канал), который, по сути, является вторым доверенным каналом в телефоне, или с помощью бесконтактной технологии NFC (оффлайн-канал).
Для понимания процесса формирования электронной подписи на sim-карте необходимы четыре компонента: телефон (или компьютер); электронный сервис (площадка для проведения электронного документооборота); платформа, которая обращается к удостоверяющему центру, в котором осуществляется проверка сертификата ключа подписи; и, наконец, оператор связи.
На любом компьютере или мобильном устройстве заполняется необходимая информация о документе, после чего генерируется запрос на электронную подпись. Запрос отправляется на проверку в электронный сервис, выявляющий значимую информацию, которую должен увидеть пользователь на телефоне для подтверждения (например, если это платежное поручение, то нужна информация, кому, куда и сколько). Также данный сервис выделяет хэш документа, который, в свою очередь, отправляется на платформу.
После этого платформа идентифицирует пользователя, выявляет, чей он абонент и отправляет запрос на электронную подпись оператору сотовой связи, который, после проверки высылает на sim-карту пользователя серию зашифрованных sms-сообщений. Внешне данные сообщения похожи на применяемую в банках технологию 3D-Secure, однако они содержат большее количество информации по ключевым данным. Так, если это платежное поручение, то в sms будут находиться ИНН, БИК и номер счета получателя платежа, а также информация о сумме перечисляемых средств.
После всех операций пользователь получает сообщение с визуализацией подписываемых им данных и запросом на ввод pin-кода. Если он вводит верный pin-код, на sim-карте происходит подписание хэша, что соответствует требованиям закона №63-ФЗ «Об электронной подписи». В завершении подписанный хэш отправляется обратно оператору связи, на платформу и электронный сервис, где сравнивается отправленный и подписанный хэш. При условии совпадения пользователь получает уведомление об успешной подписи электронного документа.
Если используется технология NFC, то сформировать электронную подпись можно, приложив телефон к NFC-ридеру. При этом в качестве ридера может быть использован другой телефон, поддерживающий данную технологию. При подписании электронного документа телефоны нужно лишь поднести один к другому и подтвердить сделку, введя pin-код.
Таким образом, рынок созрел до новых массовых технологий. Использовать мобильный телефон в качестве средства формирования электронной подписи теперь можно совершенно легально как с точки зрения законодательных требований, так и с точки зрения технологий. При использовании предложенного подхода доработка мобильных операционных систем (iOS, Android, Windows и др.) не потребуется.
Преимущества для бизнеса
Так как телефон всегда под рукой, применение мобильной PKI обеспечивает массу преимуществ. В России, однако, по сравнению со странами Европы и Азии, эта технология пока недостаточно востребована. Если обратиться к статистике, то среди населения Финляндии, которое составляет 5,4 млн человек, пользователями мобильной PKI являются 3 млн человек, или более 55%. При этом с помощью мобильных телефонов они совершают порядка 500 млн транзакций в год.
Эти данные не могли не заинтересовать российских операторов сотовой связи, входящих в «Большую тройку». Их первым шагом в данном направлении стало принятие принципиального решения об использовании одной технологии, единых стандартов и требований к выдаче карт, API для встраивания и тому подобное. Для вывода новой технологии на рынок необходимо выстроить мощную инфраструктуру, которая будет затрагивать все аспекты работы новой технологии: от выдачи sim-карт до внедрения разработки на электронных сервисах. Именно поэтому сам факт использования единых стандартов и технологий должен дать мощный стимул к развитию в России электронных сервисов для физических лиц. Сервис же станет массовым тогда, когда будет выстроена необходимая платформа операторами сотовой связи.
Не секрет, что сегодня около 90% всех электронных сервисов разработаны для корпоративных клиентов. Постепенное насыщение массового рынка средствами электронной подписи способно изменить эту статистику. Компания Yota уже выдает sim-карты с поддержкой электронной подписи и технологии NFC, поэтому, возможно, проблема с нехваткой электронных сервисов для физлиц в скором времени останется в прошлом.
Положительное влияние на распространение мобильной PKI окажет и деятельность крупных ритейлеров и банков. Специалисты подсчитали, что средняя стоимость одного очного контакта с клиентом кредитной организации в среднем обходится в i850 в Москве и i730 в регионе. В эту сумму входит оплата помещения, коммунальных услуг, а также заработная плата работника, осуществляющего прием. Благодаря использованию электронной подписи на sim-карте точки ритейла смогут в несколько раз ускорить обслуживание, что снизит затраты и даст дополнительные преимущества перед конкурентами.
Кроме того, развитие технологии мобильной PKI позволит ускорить переход на безбумажный документооборот, что опять же приведет к снижению накладных расходов (к слову, крупная компания или банк в месяц тратит до 9–12 тонн бумаги).
Поделиться
