Страница 2: ДСТУ CWA 14365-1:2008. Настанова з використання електронних підписів. Частина 1. Юридичні та технічні аспекти (61884)

[ISO 10181-2] ISO/IEC 10181-2: Інформаційні технології. Взаємозв’язок відкритих систем. Безпечне середовище відкритих систем: Середовище автентифікації, 1996

[ISO 10181-4] ISO/IEC 10181-4: Інформаційні технології. Взаємозв'язок відкритих систем. Безпечне середовище відкритих систем: Середовище неспростовності, 1997

[IS013888-1] ISO/IEC 13888-1: Інформаційні технології. Методи захисту. Неспростовність. Частина 1. Загальні положення, 1997

[ISO 7498-2] ISO 7498-2 Системи оброблення інформації. Взаємозв’язок відкритих систем. Базова еталонна модель. Частина 2. Архітектура безпеки, 1989

[ITSEC] Єврокомісія: Критерії оцінювання IT-безпеки (ITSEC). Версія 1.2,1991

[TS 101456] ETSI: Вимоги політики для органів сертифікації, що випускають посилені сертифікати, TS 101 456, v1.1.1, січень 2002

[TS 101733] ETSI: Формати електронних підписів, ETSI TS 101 733, версія 1,2.2, грудень 2000

[TS 101862] ETSI: Профілі посилених сертифікатів, ETSI TS 101 862, версія 1.2.1, червень 2001

[TS 101903] ETSI: XML-просунуті електронні підписи, ETSI TS 101 903, версія 1.1.1, лютий 2002

[TS 102 038] ETSI: XML-формати для політик підписів, ETSI TS 102 038 v версія 0.0.3, грудень 2001

[UNCISG] Організація Об'єднаних Націй: Конвенція ООН з контрактів для міжнародного продажу товарів, 1980

[SMIME] В, Ramsdell: Специфікація повідомлення S/MIME версії З, RFC 2633,1999

[SSL] А.О. Freier, R Karlton, RC. Kocher: Протокол SSL, версія 3.0,. Netscape Communications Corp., 1996 [TLS] T. Dierks и С. Аллен: Протокол TLS, версія 1.0, RFC 2246, 1999.

3. ТЕРМІНИ ТА ВИЗНАЧЕННЯ ПОНЯТЬ ТА АБРЕВІАТУРИ

   1. Терміни та визначення понять

Кваліфікований електронний підпис (QES, Qualified electronic signature)

Електронний підпис, що задовольняє вимоги, встановлені у статті 5(1) Директиви 1999/93/ЕС, тобто розширений електронний підпис, заснований на посиленому сертифікаті й створений надійним засобом накладання електронного підпису.

Директива 1999/93/ЕС

Директива Європарламенту від 13 грудня 1999 р. про комунікаційне середовище для електронних підписів в OJ EC 19,1.2000, L12/12.

AS Розширений електронний підпис Advanced electronic Signature

СС Загальні критерії, Версія 2.1 Common Criteria Version 2.1

CEN Європейський комітет стандартизації Comite Europen de Normalisation

(European Committee for Standardization

)

workshop

4. ЕЛЕКТРОННИЙ ПІДПИС З ТЕХНІЧНОЇ

ТА ЮРИДИЧНОЇ ТОЧОК ЗОРУ

Для подальшого обговорення в цьому стандарті різних типів електронних підписів корисно спочатку розглянути визначення ISO, що стосуються послуг захисту, які використовують механізм цифрового підпису: автентифікацію, цілісність даних і неспростовність (див. 4.1).

Крім того, потрібно врахувати чотири основних типи електронних підписів, які можна виділити з юридичної точки зору (див. 4.2).

автентифікація (Authentication)

Забезпечення необхідної ідентичності об’єкта [ISO/IEC 10181-2].

автентифікація джерела даних (Data origin authentication)

Підтвердження того, що джерело отриманих даних таке, як потрібно [ISO 7498-2].

автентифікація рівноправного/однорівневого об’єкта (Peer entity authentication)

Підтвердження того, що рівноправний/однорівневий об’єкт у з’єднанні — такий, як потрібно [ISO 7498-2].

цілісність даних (Data integrity)

Така властивість, що дані не змінено або знищено у несанкціонований спосіб [ISO 7498-2].

спростовність (Repudiation)

Заперечення одним із залучених у комунікацію об’єктів того, що він брав участь у всій або частині комунікації [ISO 7498-2].

неспростовність джерела (Non-repudiation of origin)

Послугу призначено для захисту від помилкової відмови ініціатора від фактів створення контен­та й відправлення повідомлення [ISO/IEC 13888-1].

неспростовність (Non-repudiation)

Послугу призначено для обрання, підтримки, надання й підтвердження незаперечних доказів щодо потрібної події або дії з урегулювання спорів про появу або непояву події чи дії [ISO/IEC 10181-4].

В автентифікації варто звернути увагу на те, що фактично існує два різних типи послуг автен- тифікації: автентифікація джерела даних й автентифікація рівноправного/однорівневого об’єкта.

У контексті цього документа автентифікацію джерела даних пов’язано з передачею підписаних повідомлень, які потім може перевірити одержувач. Тому автентифікація джерела даних — це послу­га, якій у Директиві більше підходить загальне визначення «електронний підпис», описане в наступному розділі. Приклад застосування для цієї мети механізму цифрового підпису — підписана за протоколом S/MIME електронна пошта.

Автентифікація рівноправного/однорівневого об’єкта пов’язана з автентифікацією сторони, що спілкується в on-line-сесії. Приклад застосування для цієї мети механізму цифрового підпису — автен­тифікація клієнта й сервера, що використовує протокол захищених сокетів [SSL] або протокол безпе­ки транспортного рівня [TLS].

Цілісність даних гарантує виявлення змін у переданих даних незалежно від того, чи відбулося це внаслідок зловмисної атаки або через помилки передачі. Приклад застосування для цієї мети механі­зму цифрового підпису — повторно підписана за протоколом S/MIME електронна пошта.

Для неспростовності стандарти [ISO 7498-2] та [ISO/IEC 13888-1] визначають кілька типів послуг неспростовності. Загальне визначення послуг неспростовності наведено в [ISO/IEC 10181-4]. Ту з них, яку зазвичай пов’язують з електронними підписами, насправді визначено як «неспростовність джере­ла». Застосовуючи це визначення, варто врахувати, що «факт створення контенту повідомлення» сто­сується електронного підпису, створеного підписувачем, і не обов’язково підписаного документа. Не­спростовність джерела (NRO) також є послугою, якій у Директиві найбільше підходить визначення ква­ліфікованого електронного підпису («5.1 підпису»), описане далі в цьому стандарті. Зазвичай, послу­га NRO не захищає підписувана від подальшої відмови від його електронного підпису; вона лише ус­кладнює для нього доказ цього у разі суперечки, а в деяких юридичних системах послуга NRO навіть припускає, що електронний підпис є справжнім. Приклад застосування з цією метою механізму ци­фрового підпису — підписана юридично обов’язкова угода, що задовольняє всі вимоги безпеки квалі­фікованого електронного підпису.

Як обговорено в попередньому розділі, цілісність даних, автентифікація в з’єднанні рівноправних вузлів і автентифікація джерела даних — це просто технічні визначення, взяті з технічних стандартів. Щоб юридично оцінити послуги, надавані їхньою технічною реалізацією, варто покластися на науковий і технологічний доказ, перевіривши таке:

1. якщо електронний підпис справжній, тобто

• він відповідає конкретній людині і

• його не підроблено;

2. якщо підписані дані справжні, тобто

• вони відповідають даним, наданим підписувачеві, і

• їх не змінено.

Неспростовність — це складніша послуга, при цьому технологію варто доповнити юридичним по­няттям неспростовності. Неспростовність у юридичному середовищі стосується не тільки самого підпи­су, а й усних оголошень і поведінки.

У юридичних термінах неспростовність підпису визначають у такий спосіб:

1. відповідно до застосовуваних правових норм у відкритих співтовариствах, і/або

2. відповідно до угоди в конкретних співтовариствах, які можуть бути відкритими або закритими, залежно від їхньої політики.

Елементи юридичної неспростовності також відрізняються залежно від функції підпису й типу підписаного документа/даних. Серед них можна виділити три різних типи:

1. несемантичні (тобто просто технічні) елементи, наприклад дійсність, цілісність;

2. контекстні або семантичні елементи, що залежать від технічних і юридичних оцінок, наприклад знання, намір, задум, розуміння, інтерпретація, насильство, помилка, обман, дійсна недієздатність тощо;

3. просто юридичні елементи, наприклад законна сила/недієздатність, правоздатність/неправо- здатність, повноваження.

Неправильно й марно давати технічне визначення неспростовності без врахування юридичних елементів неспростовності, наданих відповідно до застосовуваних правових норм і/або згідно з угодою. Більше того, якщо є всі технічні докази, у сторін усе ще, можливо, немає достатньої інформації для висновку юридично обов’язкової угоди.

Юридичні аспекти функціональності підпису не залежать від рівня достовірності/довіри. Письмо­вий документ і підписаний олівцем папір — правочинні, незалежно від рівня достовірності/довіри па­перу й олівця. Завжди краще мати функціональність, підібрану до відповідного рівня достовірності/ довіри. Проте юридично функціональність підпису як і раніше доступна (або може бути доступна). Тех­нічне й юридичне визначення неспростовності логічно або автоматично не еквівалентні. Навіть якщо технічні особливості підпису не повністю адекватні (написаний від руки заповіт; сформульована й підписана на папері письмова угода), підпис можна вважати юридично обґрунтованим. У статті 5.2 Директиви передбачено, що електронні підписи не потрібно дискримінувати через їхні технічні недоліки, а треба визнати як можливий доказ за аналогією з тим, як визнають як доказ сучасні технічно слабкі рукописні підписи.

4.2.2 Підписи з функціональної точки зору

Ґрунтуючись на певних характеристиках підписів з юридичної точки зору, наступні визначення опи­сують чотири основних функції підписів — підпису для ідентифікації, підпису для автентифікації, підпи­су як оголошення знання і підпису як волевиявлення. Використовуючи механізм цифрового підпису, всі подані нижче підписи (за винятком підпису для ідентифікації) також забезпечують цілісність даних.