следующая тема »

[zver]

Имеется программное обеспечение, одна из компонент которого реализует функции инфраструктуры открытых ключей. В качестве "криптоядра" применяется КриптоПро CSP 1.1. Кривизна ПО требует использования реестра Windows в качестве считывателя ключевого носителя.
Вопрос:
Какие основные организационно-технические меры следует принять для обеспечения "корпоративной неотрекаемости ЭЦП"?

[Николай Николаевич Федотов]

Кривизна ПО требует использования реестра Windows в качестве считывателя ключевого носителя.

Требуется пояснить: секретный ключ хранится в реестре? Если да, то в реестре какой машины - ЦС или подписанта?

[zver]

Кривизна ПО требует использования реестра Windows в качестве считывателя ключевого носителя.

Требуется пояснить: секретный ключ хранится в реестре? Если да, то в реестре какой машины - ЦС или подписанта?

Секретный ключ ЦС хранится в реестре машины с ПО ЦС, секретный ключ подписанта в реестре машины подписанта.
В обоих случаях путь ветки вида:
HKLM\SOFTWARE\Crypto Pro\Settings\USERS\USER_NAME\Keys\MCSKEY_KEY_ID,
где USER_NAME - имя пользователя (в случае ЦС - USER_NAME == SecurityService), KEY_ID == ID ключа.

Еще присутсвует одна особенность реализации PKI:
При кодировании любого документа на открытом ключе адресата, параллельно осуществляется кодирование на открытом ключе специального системного пользователя (т.н. MasterKey). Таким образом получается 2 сессионных ключа для закодированного документа. Производитель такое решение преподносит как возможность перекодирования документа при утере секретных ключей отправителя и адресата.
Такой подход оправдан или имеет смысл каким-либо способом организовать backup секретных ключей пользователей на случай их утери/порчи?

[Николай Николаевич Федотов]

Вопрос:
Какие основные организационно-технические меры следует принять для обеспечения "корпоративной неотрекаемости ЭЦП"?

Думаю, в описанной ситуации неотрекаемость может быть лишь чисто формальной. То есть, система реально не защищена, но хитро составленный договор может обеспечить принцип "клиент всегда виноват".

[zver]

Вопрос:
Какие основные организационно-технические меры следует принять для обеспечения "корпоративной неотрекаемости ЭЦП"?

Думаю, в описанной ситуации неотрекаемость может быть лишь чисто формальной. То есть, система реально не защищена, но хитро составленный договор может обеспечить принцип "клиент всегда виноват".

Имменно поэтому и написал "корпоративная неотрекаемость", о полноценной замене рукописной подписи говорить тут не приходится.
Система функционирует внтури одной организации и интересует какими внутрикорпоративными нормативными документами лучше всего отрегулировать применение ключей?
Следует ли писать полноценную Политику применения сертификатов (по RFC3647) или ограничится положением в Политике инф безопасности предприятия?

[Николай Николаевич Федотов]

Система функционирует внтури одной организации и интересует какими внутрикорпоративными нормативными документами лучше всего отрегулировать применение ключей?

Можно использовать любые внутрикорпоративные документы. Но следует помнить, что, какие документы ни составляй, последнее слово не останется за владельцем ИС. Даже если в Политике, Процедуре и Приказе написано, что чёрное - это белое, на этом основании взыскать с работника убытки не получится.

[Elemuss]

Пожалуйста помогите!!!!! Привидите пример полноценной политики применения ЭЦП в учреждении.