Новые технические спецификации ETSI для использования электронных цифровых подписей в облаке

Данная заметка Хулиана Инзы (Julián Inza - на фото) была опубликована 22 мая 2019 года на сайте Todo es electrónico («Всё электронное»).

Технический комитет Европейского института телекоммуникационных стандартов (European Telecommunications Standards Institute, ETSI) по инфраструктуре электронной подписи (Electronic Signature Infrastructure, ESI) только что опубликовал комплект из трёх технических спецификаций для усиленных электронных подписей в облаке, поддерживающих использование мобильных устройств:

• ETSI TS 119 431-1 «Электронные подписи и инфраструктуры –Требования политик и по безопасности для поставщиков услуг доверия (TSP) – Часть 1: Компоненты оказываемой доверенным поставщиком услуги, использующие удаленные квалифицированные устройства создания подписей/печатей (QSCD) или удаленные устройства подписания (SCDev)» (Electronic Signatures and Infrastructures (ESI); Policy and security requirements for trust service providers; Part 1: TSP service components operating a remote QSCD / SCDev), объёмом 29 страниц, см. https://www.etsi.org/deliver/etsi_ts/119400_119499/11943101/01.01.01_60/ts_11943101v010101p.pdf ;


• ETSI TS 119 431-2 «Электронные подписи и инфраструктуры –Требования политик и по безопасности для поставщиков услуг доверия (TSP) – Часть 2: Компоненты оказываемой доверенным поставщиком услуги, поддерживающие создание усиленных электронных подписей AdES»  (Electronic Signatures and Infrastructures (ESI); Policy and security requirements for trust service providers; Part 2: TSP service components supporting AdES digital signature creation), объёмом 24 страницы, см.  https://www.etsi.org/deliver/etsi_ts/119400_119499/11943102/01.01.01_60/ts_11943102v010101p.pdf
  
  Мой комментарий: речь идёт о нескольких классах подписей: как о привычных нам универсальных, пригодных для всех объектов (CAdES), так и специализированных для файлов конкретных форматов (PAdES, XAdES);


• ETSI TS 119 432 «Электронные подписи и инфраструктуры – Протоколы удалённого создания усиленных электронных подписей» (Electronic Signatures and Infrastructures (ESI); Protocols for remote digital signature creation), объёмом 67 страниц, см.  https://www.etsi.org/deliver/etsi_ts/119400_119499/119432/01.01.01_60/ts_119432v010101p.pdf 

Этот новый набор стандартов способствует созданию усиленных электронных подписей в облаке, что облегчает внедрение технологий электронной подписи посредство ухода от необходимости применения пользователями специализированного программного обеспечении и наличия у них защищённых устройств для создания подписи, таких, как устройства для работы со смарт-картами.

Для обозначения сред электронного подписания в облаке часто используется аббревиатура TW4S (от Trustworthy System Supporting Server Signing – «доверенная система, поддерживающая подписание на сервере»).

Подписант полагается на предлагаемый специализированной третьей стороной доверенный сервис, обеспечивающий управление секретным ключом электронной подписи (ключом подписания) и создание, под контролем подписанта, усиленных электронных подписей для направленных ей электронных документов.

Чтобы обеспечить надёжность облачной среды создания подписей, а также использование закрытого ключа (ключа подписания) под контролем подписанта, поставщик услуги удаленного подписания должен внедрить процедуры безопасного управления и использовать надёжные системы и продукты, в том числе защищённые электронные каналы связи.

По словам вице-президента технического комитета ETSI ESI Ника Поупа (Nick Pope), «это большой шаг в деле обеспечения безопасности решений для подписания усиленными электронными подписями, который учитывает тенденцию внедрения облачных сервисов и широкое распространение мобильных устройств. Данные нормы делают возможным новый способ реализации доверенных услуг и сервисов, который кардинально упрощает использование усиленных электронных подписей и предоставляет набор инструментов, очень важных для противодействия растущему интернет-мошенничеству, жертвами которого становятся компании и организации».

Спецификации ETSI TS 119 431 (части 1 и 2) определяют политику и требования по безопасности, которые органы по оценке соответствия (Conformity Assessment Bodies) могут использовать для подтверждения того, что доверенный поставщик услуг следует передовым практикам работы для услуг подписания в облаке, особенно в контексте европейского закона eIDAS.

Мой комментарий: Полное название закона eIDAS - Регламент № 910-2014 Европейского парламента и Совета от 23 июля 2014 года «Об электронной идентификации и услугах доверия для электронных транзакций на внутреннем рынке, и об отмене Директивы 1999/93/EC»» (Regulation (EU) No 910/2014 of the European Parliament and of the Council of 23 July 2014 on electronic identification and trust services for electronic transactions in the internal market and repealing Directive 1999/93/EC, см. http://eur-lex.europa.eu/legal-content/EN/TXT/?uri=uriserv:OJ.L_.2014.257.01.0073.01.ENG ). Об этом законе см. также пост http://rusrim.blogspot.ru/2014/09/blog-post_95.html 

Данная разработка ETSI дополняет публикации Европейского комитета по стандартизации (CEN) EN 419241-1 «Доверенные системы, поддерживающие подписание на сервере – Часть 1: Требования по безопасности» (Trustworthy Systems Supporting Server Signing - Part 1: Security Requirements – о нём также см. пост https://rusrim.blogspot.com/2017/07/en-419241-1-1.html - Н.Х.) и EN 419241-2:2019 «Доверенные системы, поддерживающие подписание на сервере – Профиль защиты для доверенного модуля создания подписи на сервере» (Trustworthy Systems Supporting Server Signing. Protection profile for QSCD for Server Signing, см. также https://shop.bsigroup.com/ProductDetail/?pid=000000000030357421 ), которые устанавливают базовые требования к электронному подписанию в облаке.

Стандарт ETSI TS 119 432 описывает протокол, который позволяет клиентскому приложению запрашивать создание усиленной электронной подписи на сервере. Эта протокол защищённого информационного обмена между различными компонентами, необходимыми для безопасного создания усиленной электронной подписи в облаке, в соответствии со стандартами безопасности, установленными законом eIDAS.

Для реализации этого протокола предложены два варианта: XML-интерфейс на основе спецификации OASIS DSS для защищённых сервисов подписания версии 2.0 (  https://www.oasis-open.org/committees/tc_home.php?wg_abbrev=dss ), и JSON-интерфейс на основе спецификации консорциума Cloud Signature Consortium (CSC – «Консорциум облачного подписания», см. https://cloudsignatureconsortium.org/ ).  В ходе разработки спецификаций протокола Европейский институт телекоммуникационных стандартов ETSI сотрудничал с обоими этими органами по стандартизации, OASIS и CSC.

Испанский «Орган по оценке соответствия в области доверия» (TCAB, Trust Conformity Assessment Body – испанская компания, одним из сотрудников которой является Хулиан Инза – Н.Х.) уже рассматривает эти новые стандарты на предмет их использования при оценке соответствия предоставляемых клиентам услуг подписания в облаке.

Испанский национальный орган по аккредитации (Entidad Nacional de Acreditación, ENAC, https://www.enac.es/ ) не предполагает использовать данные стандарты ETSI при оценке квалифицированных услуг.

Хулиан Инза (Julián Inza)

Источник: сайт Todo es electrónico
https://inza.wordpress.com/2019/05/22/nuevas-normas-de-etsi-para-firmas-digitales-en-la-nube/