Как развитие мобильной PKI способно изменить нашу жизнь
Октябрь, 2014
В первом квартале 2014 года число используемых в России SIM-карт превысило 241 млн — практически по 2 мобильных телефона на каждого россиянина. Большинство соотечественников уже не представляют жизнь без мобильного гаджета. Почему бы не использовать столь востребованные мобильные технологии и для решения задач, связанных с PKI — надёжной идентификацией, аутентификацией и формированием усиленной квалифицированной электронной подписи?
Программная реализация упирается в ряд “но”: срок жизни мобильных операционных систем составляет всего 2,5 года (пока решение разработают и сертифицируют — появляется новая платформа); отсутствие легитимности (экспортируя российскую криптографию в AppStore без лицензии ГосДепа США мы нарушаем законодательство сразу двух стран); недоверенная среда телефона, где легко реализуются атаки, разработанные для компьютеров, например с подменой документов. Поэтому наиболее правильный вариант — аппаратные средства с неизвлекаемым закрытым ключом. USB-токены и смарт-карты неудобны (разные разъёмы и интерфейсы платформ, отдельное приложение под каждую, лишние устройства у владельца нескольких гаджетов), а самый естественный модуль безопасности уже есть в телефоне — SIM-карта.
Реализация не так проста: без криптоакселератора в виде Java-апплета подпись на SIM-карте считается 1,5 недели, а существующие криптоакселераторы не поддерживают параметры эллиптических кривых по ГОСТ — нужна доработка ОС и SIM-карты, то есть замена уже действующих карт. Архитектурное ограничение — из области приложений телефона обратиться напрямую к SIM-карте нельзя, но это плюс с точки зрения ИБ: не можем мы — не сделают и хакеры с вредоносным ПО. В итоге PKI на SIM-карте — универсальное решение без разработки приложений под каждую платформу, защищённое от атак с подменой документов. Подпись возможна по двум каналам: через SMS/online-канал (второй доверенный канал в телефоне) или бесконтактную технологию NFC (offline-канал).
Для формирования ЭП на SIM-карте необходимы 4 компонента: телефон (или компьютер), электронный сервис (площадка ЭДО), платформа, обращающаяся к удостоверяющему центру (проверка сертификата ключа подписи), и оператор связи. Заполняем информацию о документе — генерируется запрос на ЭП и отправляется в электронный сервис, который выявляет значимую информацию для подтверждения пользователем (кому, куда, сколько) и выделяет хэш документа, отправляемый на платформу. Платформа идентифицирует пользователя, выявляет его оператора и отправляет запрос оператору, который высылает на SIM-карту серию зашифрованных SMS (внешне похоже на 3D-Secure, но с большей информацией — ИНН, БИК, номер счёта получателя, сумма). Пользователь получает сообщение с визуализацией подписываемых данных и запросом PIN-кода на ЭП: при верном вводе на SIM-карте происходит подписание хэша, что удовлетворяет требованиям 63-ФЗ “Об электронной подписи”; подписанный хэш возвращается через оператора на платформу и сервис, где сверяется с отправленным, и пользователь получает уведомление об успешной подписи. При использовании NFC достаточно приложить телефон к NFC-ридеру (в роли которого может быть другой телефон) и подтвердить сделку вводом PIN-кода.
В России мобильная PKI пока недостаточно востребована, хотя статистика впечатляет: в Финляндии (5,4 млн населения) пользователями мобильной PKI являются более 55% — 3 млн человек, совершающих порядка 500 млн транзакций в год. Операторы “Большой тройки” приняли принципиальное решение об использовании одной технологии, единых стандартов и требований к выдаче карт, API для встраивания — сам факт единых стандартов должен дать мощный стимул развитию электронных сервисов для физических лиц (сегодня порядка 90% из них разработано для корпоративных клиентов). Yota уже выдаёт SIM-карты с поддержкой ЭП и NFC. Положительное влияние окажут и крупные ритейлеры с банками: очный контакт с клиентом обходится кредитной организации в среднем в 850 руб. в Москве и 730 руб. в регионе, а ЭП на SIM-карте позволит точкам ритейла в несколько раз ускорить обслуживание. Кроме того, мобильная PKI ускорит переход на безбумажный документооборот (крупная компания или банк тратит до 9-12 тонн бумаги в месяц).
Это краткая аннотация статьи, полную версию читайте в первоисточнике.
Первоисточник: “Банковские технологии”, № 10 (225), октябрь, 2014
Эксперт: Сергей Груздев, Аладдин