7.2. Правовые аспекты применения электронной цифровой подписи

О V

данный конкретный документ является оригиналом и что подпись на нем с большой степенью вероятности принадлежит конкретному лицу.

С внедрением новых информационных технологий вместо бумаги в качестве материальных носителей стали использоваться машиночитаемые носители - магнитные и оптические диски, память ЭВМ, электрические колебания, электромагнитные волны, и возникло понятие «электронный документ». К сожалению, в отличие от информации, зафиксированной на бумажном носителе, информация на машиночитаемом носителе может быть легко изменена или скопирована без желания ее автора в результате несанкционированного доступа к ней постороннего лица, причем без всяких следов такого вмешательства. Естественно, в этом случае документ на машиночитаемом носителе теряет свою доказательственную способность, его легко подделать и никакая экспертиза не в состоянии эту подделку выявить.

Возникла проблема установления доказательственной силы электронного документа. Необходимо было создать такой механизм записи информации на нем, который, с одной стороны, исключал бы возможность несанкционированного доступа постороннего лица к информации с целью ее искажения или подделки, а с другой - позволял бы конкретному лицу ставить на этом документе некоторую отметку, аналогично его подписи на бумаге, которую было бы невозможно подделать, а экспертиза могла бы надежно подтвердить принадлежность этой отметки-подписи данному лицу.

Отсюда возникло понятие «электронная цифровая подпись» (ЭЦП), которая посредством специального программно-информационного комплекса обеспечивает надежное подтверждение оригинальности сведений, реквизитов документа и факта его «электронного подписания» конкретным лицом.

В Гражданском кодексе Российской Федерации (п. 2 ст. 160) впервые

KJ

в российском законодательстве допускается использование электронной цифровой подписи при совершении сделок, но лишь в случаях и в порядке, предусмотренных законом, иными правовыми актами или соглашениями сторон. В Федеральном законе «Об информации, информационных технологиях и о защите информации» введено понятие «электронное сообщение как информация, переданная или полученная пользователем информационно-телекоммуникационной сети» (ст. 2) и определяется его правовой статус. В соответствии с этим законом (ст. 11) электронное сообщение, подписанное электронной цифровой подписью (ЭЦП), признается электронным документом, равнозначным документу, подписанному собственноручной подписью, в случаях, если федеральными законами или иными нормативными документами не устанавливается или не подразумевается требование о составлении такого документа на бумажном носителе. В целях заключения гражданско-правовых договоров или оформления иных правоотношений, в которых участвуют лица, обменивающиеся электронными сообщениями, обмен электронными сообщениями, каждое из которых подписано ЭЦП или иным аналогом собственноручной подписи отправителя такого сообщения, в порядке, установленном федеральными законами, иными нормативными правовыми актами или соглашением сторон, рассматривается как обмен документами.

Закон также определяет право получателя электронного сообщения, находящегося на территории РФ, проводить проверку, позволяющую установить отправителя электронного сообщения, а в установленных федеральными законами или соглашениями сторон случаях получатель обязан проводить такую проверку.

Как видно из нормы этих статей, законодательство лишь подтверждает возможность использования ЭЦП, но не определяет правового режима ее использования (случаи и порядок ее использования).

30 ноября 1999 г. Еврокомиссия приняла законопроект о поддержке и применении ЭЦП во всех странах, входящих в Евросоюз. Министры по телекоммуникациям стран ЕС утвердили закон, который придает ЭЦП на контрактах, согласованных по Интернету, такой же юридический статус, как и их эквивалентам, сделанным от руки.

После довольно долгого обсуждения и доработки 10 января 2002 г. был подписан Федеральный Закон Российской Федерации «Об электронной цифровой подписи», положивший начало созданию правовой базы электронного документооборота в России.

Целью указанного Федерального закона является обеспечение правовых условий использования электронной цифровой подписи в электронных документах, при соблюдении которых ЭЦП в электронном документе признается равнозначной собственноручной подписи в документе на бумажном носителе. Его действие распространяется на отношения, возникающие при совершении гражданско-правовых сделок и в других предусмотренных законодательством РФ случаях.

Технология получения ЭЦП. Прежде чем рассмотреть суть закона, необходимо понять основные механизмы передачи электронных документов с использованием ЭЦП. В основе формирования ЭЦП лежит принцип шифрования передаваемого сообщения. При этом ключ, на котором шифруется информация, является «секретным» и известен только отправителю. Чтобы исключить возможность подделки, он, как и любой шифр-ключ, должен удовлетворять принятым в криптографии требованиям.

бранного алгоритма ЭЦП шифрует передаваемую информацию, представленную в цифровом виде, или производную от этого сообщения, полученную путем сжатия информации в соответствии с определенными математическими преобразованиями (хеш-функцией). Полученная таким образом шифрованная последовательность и есть цифровая подпись. Далее отправитель информации по открытому каналу связи посылает незашифрованную информацию и

полученную Получатель сообщения

Алгоритм

ЭЦП

Отправитель сообщения

Передаваемое сообщение

Канал связи

Хеш-функция

Алгоритм ЭЦП

Секретный ключ

тг

Открытый ключ

Открытый Проверка ключ ЭЦП Информация о принадлежности открытого ключа

Удостоверяющий центр

Рис. 7.2. Алгоритм формирования ЭЦП

Получатель сообщения с помощью открытого ключа и выбранного алгоритма ЭЦП расшифровывает цифровую подпись. Далее он сравнивает принятую незашифрованную информацию и информацию, полученную при расшифровании цифровой подписи. Если цифровая подпись не была подделана и передаваемая открытая информация не искажена, то их тексты должны полностью совпасть. Если подпись подделана, то принятая открытая информация и информация, полученная при расшифровании,

будут различаться.

Если пользователь ведет переписку с несколькими абонентами сети и использует открытые ключи ЭЦП, то он должен безошибочно определять, какой из открытых ключей какому пользователю принадлежит.

Сертификат подписи. Документ, удостоверяющий подпись, получил название сертификата открытого ключа ЭЦП (сертификат подписи). Он подтверждает принадлежность открытого ключа ЭЦП владельцу секретного ключа подписи. Такой документ должен выдаваться удостоверяющим центром открытых ключей подписи.

Наличие такого документа важно при разрешении споров о создании того или иного документа конкретным лицом. Чтобы исключить возможность внесения изменений в сертификаты ключей со стороны пользователей при передаче их по каналам связи, сертификат в виде электронных данных подписывается ЭЦП удостоверяющего центра.

Таким образом, удостоверяющий центр выполняет функции электронного нотариуса и подтверждает легитимность подписанного электронного документа. Поэтому такой нотариус, как и обычный государственный нотариус, должен исполнять свои функции на основании лицензии, выданной государственным органом.

Как было сказано выше, для узаконивания рассмотренных механизмов использования ЭЦП был принят Федеральный закон «Об электронной цифровой подписи». В законе уточнены некоторые понятия, определяющие основные принципы пользования электронными документами. Так, под ЭЦП понимается «реквизит электронного документа, предназначенный для защиты данного электронного документа от подделки, полученный в результате криптографического преобразования информации с использованием закрытого ключа электронной цифровой подписи и позволяющий идентифицировать владельца сертификата ключа подписи, а также установить отсутствие искажения информации в электронном документе». При этом владельцем сертификата ключа подписи является «физическое лицо, на имя которого удостоверяющим центром выдан сертификат ключа подписи и которое владеет соответствующим закрытым ключом электронной цифровой подписи, позволяющим с помощью средств электронной цифровой подписи создавать свою электронную цифровую подпись в электронных документах (подписывать электронные документы)».

Важным является определение факта подтверждения подлинности ЭЦП в электронном документе - как «положительного результата проверки соответствующим сертифицированным средством электронной цифровой подписи с использованием сертификата ключа подписи принадлежности электронной цифровой подписи в электронном документе владельцу сер- тификата ключа подписи и отсутствия искажений в подписанном данной электронной цифровой подписью электронном документе».

Законом определены условия признания равнозначности электронной цифровой подписи и собственноручной подписи (ст.

сертификат ключа подписи, относящийся к этой ЭЦП, не утратил силу (действует) на момент проверки или на момент подписания электронного документа при наличии доказательств, определяющих момент подписания; •

подтверждена подлинность ЭЦП в электронном документе; •

ЭЦП используется в соответствии со сведениями, указанными в сертификате ключа подписи.

Поскольку основным документом, подтверждающим подлинность ЭЦП и идентификацию владельца, является сертификат ключа подписи, в законе достаточно подробно определены сведения, которые он содержит, а также сроки и порядок его хранения в удостоверяющем центре.

Отдельно рассмотрена деятельность удостоверяющих центров, их статус и взаимоотношения между этими центрами и владельцами сертификатов ключа подписи.

В заключение необходимо отметить важность узаконивания техни- ко-математических решений, применяемых при использовании ЭЦП. Это вызвано тем, что в настоящее время существует множество алгоритмов шифрования информации, ЭЦП, способов их программной реализации. В математике также существует довольно большой набор различных функций хеширования. Чтобы обеспечить возможность обмена информацией между абонентами, необходимо закрепление единого алгоритма ЭЦП и функции хеширования, достаточно полно удовлетворяющих требованиям безопасности и достоверности информации. В наиболее развитых странах существует практика задания алгоритма ЭЦП и функции хеширования в виде государственных стандартов. Такие стандарты существуют и в РФ. Первым отечественным стандартом ЭЦП является принятый в 1994 г. и действующий в настоящее время ГОСТ Р 34.10-94 «Информационная технология. Криптографическая защита информации. Процедуры выработки и проверки электронной цифровой подписи на базе асимметричного криптографического алгоритма».

В целях повышения криптографических качеств ЭЦП, гарантирующих при сохранении в тайне закрытого ключа подписи невозможность её подделки в течение нескольких десятков лет даже с учётом развития вычислительной техники и соответствующих математических алгоритмов, с 2000 г. специалисты ФАПСИ начали разработку нового стандарта. Постановлением Гос- стандарта России № 380-СТ от 12 сентября 2001 г. разработанный ФАПСИ проект стандарта ЭЦП утвержден в качестве государственного стандарта ГОСТ Р34.10-2001 и введен в действие с 1 июля 2002 г.

Таким образом, в РФ в настоящее время имеется благоприятная возможность получить взаимоувязанное решение как юридических и организационных вопросов, связанных с применением ЭЦП в документообороте, гак и технических вопросов и вопросов качества, связанных с криптографическими свойствами процедур ЭЦП.

В соответствии с «Положением о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации» средства ЭЦП относятся к криптографическим. Порядок их разработки и использования будет рассмотрен ниже.