Хранение ключей ЭП как точная наука

ivalnick — 30.10.2025 С вопросами хранения ключей электронной подписи (ЭП) я сталкиваюсь уже 27 лет.
За это время вымерли дискеты, а сами ключи выросли от возможности применения в рамках одной системы ЭДО, до универсального применения.
Но отношение пользователей к вопросам безопасности практически не поменялось: часть ведёт себя безалаберно, другая часть - параноидально. А так хотелось бы золотой середины!

Рассматривать дела минувших дней сегодня не будем, ограничившись самым востребованным видом ЭП - Усиленной квалифицированной электронной подписью (УКЭП). Получить её можно в любом аккредитованном Удостоверяющем центре, но руководители юридических лиц и индивидуальные предприниматели должны получать её в Удостоверяющем центре ФНС или у его доверенных лиц (сейчас таковых шесть). Про Казначейство и Банк России я промолчу - это совсем отдельная песня.

В общем случае нам потребуется посетить УЦ имея при себе:

• Паспорт


• СНИЛС


• ИНН


• Сертифицированный ключевой носитель

Вот пять правил, которые минимизируют риск потенциального попадания ключа нежелательным лицам и связанным с этим неприятностям:

1. Генерация ключевой пары должна проводиться только владельцем ключа и только на своём компьютере, так же, как и установка сертификата в ключевой контейнер.
   
2. Для ключевого носителя должен быть задан новый пин-код, отличающийся от стандартных "12345678", "87654321", "00000000" и прочих типовых комбинаций.
   
3. Ключевой носитель не должен находиться в открытом доступе.
   
4. Ключевой носитель должен использоваться только самим владельцем ключа.
   
5. Ключевой контейнер не должен копироваться ни при каких обстоятельствах.
   

Немного подробней про эти правила.

Правило №1: генерация ключевой пары
Это единственный способ избежать потенциальной утечки секретного ключа в самом начале. Как бы вас ни убеждали, что сотрудник УЦ сделает всё быстрее и без ошибок, отвечать за последствия вам и только вам.
Я знаю, что есть УЦ, которые такой возможности не предоставляют - старайтесь их избежать.
Если это невозможно, то остаётся только верить в честность и порядочность УЦ, как организации, и его представителя, как человека. Но если эта вера не оправдается, то я уже предупредил кто в ответе за всё.

Правило №2: смена пин-кода
Нарушается очень часто. Владелец либо не знает о необходимости этого действия, либо пренебрегает им.
Зачастую для удобства пин-код не только не меняют, но и сохраняют его в компьютере, чтобы не вводить постоянно при работе.
Практически никогда не меняется пароль администратора, что делает установку собственного пин-кода практически бессмысленной.

Правило №3: хранение ключевого носителя
Ключевой носитель должен всегда находится у его владельца или в защищенном месте, доступ к которому имеет только его владелец.
Открытое хранение или постоянное нахождение ключевого носителя в компьютере, это серьёзный риск. Особенно учитывая то, что Правило №2 нарушается в 9 случаях из 10.
Бывают ситуации, когда ключевые носители хранятся в сейфе, доступ к которому имеют третьи лица. В этом случае ключевой носитель должен храниться таким образом, чтобы владелец мог быть уверен, что его ключевой носитель не был использован в его отсутствие. Например в опечатанном тубусе.

Правило №4: использование ключевого носителя
Очень болезненное, особенно для руководителей.
Или оно выполняется, но тогда многие процессы тормозятся во время командировки или отпуска руководителя.
Или оно не выполняется и тогда доступ к ключевому носителю имеет ограниченный, а может и не сильно ограниченный список сотрудников, каждый из которых в состоянии нанести ущерб даже не по злому умыслу.
Представить себе ситуацию, в которой использование ключевого носителя сотрудника может потребоваться третьему лицу, я не могу. Хотя так регулярно поступают.

Правило №5: копирование ключевого носителя
Стремление сделать резервную копию ключевого носителя, видимо, прошито на генетическом уровне со времён дискет, которые ломались регулярно.
Для современных носителей такие ситуации единичны (если только речь не идёт о бракованной партии, но это ещё большая редкость).
Зачастую копии делают чтобы два сотрудника могли одновременно работать в двух разных системах ЭДО. И никакие "неизвлекаемые ключи" тут не помогают.
Но кроме явного нарушения Правила №4, тут ещё присутствует риск утраты одной из копий, об использовании которой злоумышленником станет известно слишком поздно.

Не могу утверждать, что следование этим правилам гарантирует отсутствие проблем. Уж хлопот оно точно прибавит.
Так же и оступление от этих правил, даже от всех пяти сразу, может никогда не доставить неприятностей. Только вероятность из возникновения очень уж сильно увеличивается.

Ну и несколько цитат от экспертов, представляющих известные компании (можете поискать, если интересно), опубликованных в течении последнего года:

• "Необходимо копировать цифровую подпись на защищённый носитель (токен), чтобы не потерять его."


• "Размещение КЭП на стационарном устройстве будет подходящим вариантом в большинстве случаев."

Оставить комментарий

Популярные посты:

• Ранее
• Архив