Что такое электронная подпись. Неизвестные люди оформили ЭЦП, подделав паспорт директора, чтобы отправлять по ТКС «левые» декларации Подделка цифровой подписи

Все больше новых технологий и терминов приходят в нашу жизнь. И далеко не все успевают эти технологии освоить и даже понять, для чего они. Сегодня мы поговорим об электронной подписи - новой технологии и явлении, с каждым днем получающим все более широкое распространение.

По своей сути, электронная подпись - это аналог обычной подписи человека, призванный идентифицировать его или закрепить его авторство в виртуальной среде. Чаще всего электронные подписи применяются в электронной почте, а также в банковской сфере и бухгалтерском электронном документообороте, являясь дополнительной защитой при проведении транзакций и пересылке важных документов.

Создание электронной подписи получается в результате криптографического преобразования информации с использованием закрытого ключа. Еще одна важная составная часть технологии - сертификат электронной подписи , выдаваемый уполномоченной организацией и позволяющий подтвердить подлинность подписи, исключив ее подделку.

В отличие от рукописного текста, электронный документ очень легко подделать, причем, незаметно для получателя. Вы просто удаляете отдельные слова или целые абзацы и вставляете новые - догадаться, что документ в процессе, например, пересылки был изменен, практически невозможно. Электронная подпись же дает гарантию, что подписанный документ изменить нельзя. То есть, помимо прочего, это еще и защита информации от изменения и подделки. В то же время, человек, подписавший документ электронной подписью, не сможет отказать от авторства документа, ведь электронная подпись - сугубо конфиденциальная информация, которая должна быть доступна только одному человеку.

Чаще всего ключ электронной подписи хранится на специальной флешке (как на снимке в начале статьи), которую нельзя ни скопировать, ни использовать каким-либо другим образом. Такие флешки есть у директоров и главных бухгалтеров компаний, подписывающих личными электронными подписыми банковские документы и бухгалтерскую отчетность, которая сегодня чаще всего передается в налоговые инспекции в электронном виде с помощью специальных систем.

Процесс подписания документа электронной подписью выглядит следующим образом: с помощью специального программного кода программы, используемой для подписи документа, создается специальная функция, так называемая хэш-функция, которая идентифицирует содержимое документа. Затем автор документа шифрует содержание хэш-функции своим персональным закрытым ключом - подписывает документ электронной подписью. Зашифрованная хэш-функция помещается в то же сообщение, что и сам документ. Полученное сообщение можно сохранить на любом носителе, пересылаться по электронной почте или, например, с помощью системы Клиент-банк. Хэш-функция имеет небольшой размер, поэтому практически не влияет на вес сообщения.

При получении, подписанного электронной подписью документа, пользователь имеет возможность убедиться в ее подлинности. Алгоритм подтверждения электронной подписи состоит в следующем: с помощью собственной программы, работающей с электронными подписями, получатель сообщения создает собственный вариант хэш-функции подписанного документа. Затем происходит расшифровка хеш-функции, которая содержится в сообщении и сравнение двух хэш-функций - отправленной и полученной. Их совпадение гарантирует подлинность содержимого документа и одновременно его авторство.

Можно ли подделать электронную подпись?

Теоретически, возможно все. Однако, трудозатраты на подделку электронной подписи, наложенную даже не сертифицированными средствами, то есть простыми программами, не прошедшими сертификацию, слишком велики. У хакеров существует масса более простых способов взлома системы, чем подделка электронной цифровой подписи. Так что электронная подпись считается достаточно надежным средством защиты информации.

Последние советы раздела «Наука & Техника»:

Зачем нужна рация
Что значит статическое электричество в нашей жизни
Что такое коптер
Как жить вечно

Любопытной и, можно сказать, детективной историей поделился с нашими читателями директор коммерческой фирмы.

Компания сдала декларацию по НДС за 1 квартал 2016, где налог к уплате был 300 тыс. рублей. Налог уплатила. Однако на следующий день некто сдает от имени компании уточненную декларацию, где налог к уплате уже только 5 тыс. рублей. Уточненный расчет отправлен через другого спецоператора и подписан ЭЦП руководителя, которая, как выяснилось, оформлена по его паспорту с вклеенной туда фотографией другого человека. Подпись на доверенности на получение ЭЦП тоже поддельная.

Кто эти люди и зачем им это было нужно? Таким вопросом задался руководитель компании. Обращение в полицию направлено, заявление об отказе от «левой» ЭЦП написано. Но вопрос о цели этих манипуляций, предпринятых посторонними людьми, не дает покоя директору.

Сейчас спустя год, видимо под закрытие года, из налоговой приходит заявление о том, что у нас не соответствуют данные по декларации, так как у нас есть уточненка по декларации за 1й квартал 2016г! Ну мы значит, начинаем выяснять что? кто? зачем? после какого корпоратива??... выясняется интересный и даже я бы сказал удивительный факт, оказывается, что у моей организации две ЭЦП (Об этом нам сообщила налоговая) у двух разных операторов. Ну про одного то мы в курсе работаем с ним несколько лет все ок, но вот кто второй??? Второго нам назвала налоговая.
Звоним. Там милая девушка, находит нашу ООО по ИНН, и сообщает, что мы работаем, что есть ЭЦП и что у неё даже есть документы от ген. дира на заявление об открытии этой самой ЭЦП. Ну я значит, так украткой, прошу мне их предоставить, на что она без проблем отправляет мне сканы документов... Что я вижу? Поддельный паспорт с вклеенной фоткой другого человека, доверенность на получение этой ЭЦП с поддельными подписями и ни на одном документе нет печати. Вобщем 100% подделка к бабке не ходи. Ну оператор этот с равнодушием вздыхая, приглашает меня к себе в офис, чтобы я написал заявление об отказе от этой подписи, от чего я отказался и написал заявление в полицию. Но речь не о том, что мне делать - все действия я уже выполнил и с налоговой и с полицией и тд., у меня к Вам другой вопрос:

Значит я, сдаю декларацию по НДС за 1й квартал 2016г 24.04.2016г. налог к уплате у меня около 300 000р. , кто-то, оформляет, практически за один два дня, по абсолютно левым документам ЭЦП от моего имени, в конторе с которой я ни когда не имел ни каких дел и внимание 25.04.2016г. сдает от моей ООО уточненку почти на 110 000 млн. р. , налог к уплате у меня получается около 5 т.р.
Соответственно я то не вижу этого, плачу налоги по своей нормальной декларации и вот спустя год всплывает эта тема. Вопрос в чем здесь умысел?? Ради чего это кому то понадобилось сделать??
- Alexander1982

Участники обсуждения предположили, что возможно злоумышленники хотели получить переплату на подставной расчетный счет, но что-то им помешало. Коллеги, следуя традициям детективного жанра, высказывают свои предположения по поводу мистера Икс, который владел информацией и имел мотив для совершения таких действий.

Присоединиться к обсуждению можно в теме форума « »

Новый закон заменил личную подпись гражданина России набором символов.

8 апреля в России принят закон «Об электронной цифровой подписи», который позволяет обращаться за услугами органов власти через интернет, используя документы, заверенные электронной подписью. В силу закон вступит с июля 2011 года, но уже сейчас ряд государственных служб области активно принимают документы с такой подписью. О том, как жители области могут стать обладателями ЭЦП, где она может им понадобиться и что может затормозить процесс ее распространения, рассказал в интервью НГС.НОВОСТИ заместитель руководителя управления Росреестра по Новосибирской области Дмитрий Ламерт .

Справка : Электронная цифровая подпись (ЭЦП) – подпись, которой удостоверяют электронные документы при обращении в госслужбы через интернет. Электронная подпись имеет такую же юридическую силу, как и традиционная. Получить ЭЦП может любое заинтересованное лицо.

Что представляет собой электронная цифровая подпись? В чем, по-вашему, видятся ее удобства?

Электронная цифровая подпись – это удобный аналог подписи, которую человек ставит на каких-либо документах. Она удобна тем, что в короткие сроки может перемещаться на дальние расстояния. Подпись позволяет получить документы из регионов страны от органов власти, которые находятся далеко, отправив туда только запрос, удостоверенный ЭЦП. Электронная подпись – это набор символов, который размещается на электронных цифровых носителях, либо на дисках, либо на флеш-картах.

Кто сейчас в большей степени ею пользуется?

Сейчас подписи в основном имеют организации и индивидуальные предприниматели. В частности, она необходима для удобства кадастровых инженеров, которые подают в Росреестр документы для кадастрового учета, заверив их ЭЦП. Также с помощью подписи кадастровый инженер может обратиться за получением сведений из государственного кадастра недвижимости и получить сведения из единого государственного реестра прав.

Может ли обычный человек получить цифровую подпись?

Какого-то разделения на юридических и физических лиц нет, и в ближайшем будущем все граждане смогут иметь эту подпись.

Подпись позволит человеку самостоятельно представить все документы в органы власти, которые работают с ЭЦП.

Например, без помощи кадастрового инженера, но при наличии ЭЦП возможно сдать в Росреестр свой межевой план, а также получить выписку из единого государственного реестра.

Насколько обширны сферы, где можно использовать ЭЦП?

Закон, который вступает в силу, полностью вводит в действие ЭЦП: любой документ можно будет подписать ручкой, а можно удостоверять электронной цифровой подписью. Также закон говорит о том, что все органы власти должны будут перейти на работу с документами, которые станут заверять электронной подписью. В частности, в Росреестре можно использовать подпись при постановке объекта недвижимости на государственный кадастровый учет. В дальнейшем возможно использование ЭЦП в различных социальных сферах, куда можно будет отправить запрос и получить документ, не ожидая в очереди.

Каким образом человек сможет ее получить?

ЭЦП выдают удостоверяющие центры, где необходимо предоставить документы, удостоверяющие личность, а также правоустанавливающие документы на предприятие, если подпись оформляется на юридическое лицо.

Дмитрий Ламерт считает, что введение электронных цифровых подписей позволит сократить очереди.

Сегодня оформление электронной подписи стоит от 5000 до 7000 рублей. В ближайшее время ее стоимость будет снижаться.

Насколько проект важен государству? Возможно ли его финансирование из бюджета? Будет ли оформление бесплатным?

Пока речь о финансировании из бюджета не стоит, так как ЭЦП – это бизнес-услуга. Никто не отнимает у человека право обратиться с обычным подписанным документом, но если есть желание не являться лично в тот или иной орган власти, то можно оформить электронную подпись.

Можно ли подделать подпись? Какова у нее степень защиты?

Электронную подпись сложнее подделать, чем обычную. На 100 % нельзя гарантировать, что это не может произойти.

По крайней мере, ЭЦП в Новосибирской области еще ни разу не подделывали, в отличие от подписи ручкой.

Данные человека, которые удостоверяют его электронно-цифровую подпись, хранит удостоверяющий центр, а за сохранность самой подписи несет ответственность владелец. Если электронный носитель с подписью утерян, надо мгновенно сообщить в удостоверяющий центр, чтобы аннулировать сертификат о получении подписи.

Зачем введение электронной цифровой подписи государству?

Введение ЭЦП – это еще один шаг к улучшению качества услуг. Подпись можно будет использовать для получения какого-нибудь кредита, оформления права на свой объект недвижимости. Например, по какой-то причине вам понадобились справки из трех государственных органов. Сегодня вы должны будете либо отправить запросы во все эти органы конвертом по обычной почте, либо просто уйти с работы, отпроситься, чтобы подать запросы им лично. Наличие ЭЦП дает возможность в обеденный перерыв напечатать эти три запроса и отправить их со своего компьютера, удостоверив электронной подписью, и ждать, когда вам придут ответы.

Связана ли электронная подпись с универсальной электронной картой, которую начнут вводить с января 2012 года, чтобы объединить паспорт, страховой полис и прочие документы?

Прямой связи здесь нет, но работает карта по тому же принципу. Если ЭЦП дает возможность не подписывать, а удостоверить, то электронная карта позволяет не носить с собой большой объем документов.

Быстро ли подпись приобретет популярность и что будет тормозить ее внедрение?

Тормозить или ускорять этот процесс будет скорость внедрения ЭЦП во всех органах власти: чем быстрее эту услугу органы будут предоставлять, тем быстрее подпись будет распространяться. К тому же все новое пугает, а подпись – новый механизм, мощный рывок, не все его воспринимают на «ура».

Сами заведете себе электронную подпись?

Я приобрету себе такую подпись, как только все органы власти начнут активно предоставлять эту услугу.

Благодаря цифровым подписям, многие документы - паспорта, приказы, завещания, договора- теперь могут существовать в электронной форме, а любая бумажная версия будет в этом случае только копией электронного оригинала. Основные термины, применяемые при работе с ЭЦП: Закрытый ключ - это некоторая информация длиной 256 бит, хранится в недоступном другим лицам месте на дискете, смарт-карте, touch memory. Работает закрытый ключ только в паре с открытым ключом. Открытый ключ - используется для проверки ЭЦП получаемых документов-файлов, технически это некоторая информация длиной 1024 бита. Открытый ключ работает только в паре с закрытым ключом. Код аутентификации - код фиксированной длины, вырабатываемый из данных с использованием секретного ключа и добавляемый к данным с целью обнаружения факта изменений хранимых или передаваемых по каналу связи данных.

Средства электронно-цифровой подписи - аппаратные и/или программные средства, обеспечивающие:

Создание электронной цифровой подписи в электронном документе с использованием закрытого ключа электронной цифровой подписи; и/или - подтверждение с использованием открытого ключа электронной цифровой подписи подлинности электронной цифровой подписи в - создание закрытых и открытых ключей электронных цифровых подписей. ЭЦП- это просто: Каждому пользователю ЭЦП, участвующему в обмене электронными документами, генерируются уникальные открытый и закрытый (секретный) криптографические ключи. Ключевым элементом является секретный ключ: с помощью него производится шифрование электронных документов и формируется электронно-цифровая подпись. Также секретный ключ остается у пользователя, выдается ему на отдельном носителе: это может быть дискета, смарт-карта или touch memory. Хранить его нужно в секрете от других. Для проверки подлинности ЭЦП используется открытый ключ. В удостоверяющем центре находится дубликат открытого ключа, создана библиотека сертификатов открытых ключей. Удостоверяющий центр обеспечивает регистрацию и надежное хранение открытых ключей во избежание внесения искажений или попыток подделки. Когда пользователь устанавливает под электронным документом свою электронную цифровую подпись, на основе секретного ключа ЭЦП и содержимого документа путем криптографического преобразования вырабатывается некоторое большое число, которое и является электронно-цифровой подписью данного пользователя под данным конкретным документом. В конец электронного документа добавляется это число или сохраняется в отдельном файле. В подпись записывается следующая информация. Пользователь, получивший подписанный документ и имеющий открытый ключ ЭЦП отправителя на основании текста документа и открытого ключа отправителя выполняет обратное криптографическое преобразование, обеспечивающее проверку электронной цифровой подписи отправителя. Если ЭЦП под документом верна, то это значит, что документ действительно подписан отправителем и в текст документа не внесено никаких изменений. В противном случае будет выдаваться сообщение, что сертификат отправителя не является действительными.

Управление ключами:

Важной проблемой всей криптографии с открытым ключом, в том числе и систем ЭЦП, является управление открытыми ключами. Необходимо обеспечить доступ любого пользователя к подлинному открытому ключу любого другого пользователя, защитить эти ключи от подмены злоумышленником, а также организовать отзыв ключа в случае его компрометации. Задача защиты ключей от подмены решается с помощью сертификатов. Сертификат позволяет удостоверить заключенные в нем данные о владельце и его открытый ключ подписью какого-либо доверенного лица. В централизованных системах сертификатов (например, PKI) используются центры сертификации, поддерживаемые доверенными организациями. В децентрализованных системах (например, PGP) путем перекрестного подписывания сертификатов знакомых и доверенных людей каждым пользователем строится сеть доверия. Управлением ключами занимаются центры распространения сертификатов. Обратившись к такому центру, пользователь может получить сертификат какого- либо пользователя, а также проверить, не отозван ли еще тот или иной открытый ключ.

ЭЦП под микроскопом:

Рассмотрим принцип работы ЭЦП поподробней. Схема электронной подписи обычно включает в себя следующие составляющие:

Алгоритм генерации ключевых пар пользователя; - функцию вычисления подписи; - функцию проверки подписи. Функция вычисления подписи на основе документа и секретного ключа пользователя вычисляет собственно подпись. В зависимости от алгоритма, функция вычисления подписи может быть детерминированной или вероятностной. Детерминированные функции всегда вычисляют одинаковую подпись по одинаковым входным данным. Вероятностные функции вносят в подпись элемент случайности, что усиливает криптостойкость алгоритмов ЭЦП. В настоящее время детерминированые схемы практически не используются. Даже в изначально детерминированные алгоритмы сейчас внесены модификации, превращающие их в вероятностные (так, в алгоритм подписи RSA вторая версия стандарта PKCS#1 добавила предварительное преобразование данных (OAEP), включающее в себя, средипрочего, зашумление). Функция проверки подписи выясняет, соответствует ли данная подпись данному документу и открытому ключу пользователя. Открытый ключ пользователя доступен всем, так что любой может проверить подпись под данным документом Поскольку подписываемые документы - переменной (и достаточно большой) длины, в схемах ЭЦП зачастую подпись ставится не на сам документ, а на его хэш. Для вычисления хэша используются криптографические хэш-функции, что гарантирует выявление изменений документа при проверке подписи. Хэш-функции не являются частью алгоритма ЭЦП, поэтому в схеме может быть использована любая надежная хэш-функция. Хеширование представляет собой преобразование входного массива данных в короткое число фиксированной длины (которое называется хэшем или хэш-кодом) таким образом, чтобы с одной стороны, это число было значительно короче исходных данных, а с другой стороны, с большой вероятностью однозначно им соответствовало.

Алгоритмы ЭЦП делятся на два больших класса:

• - обычные цифровые подписи;
• - цифровые подписи с восстановлением документа.

Обычные цифровые подписи необходимо пристыковывать к подписываемому документу. К этому классу относятся, например, алгоритмы, основанные на эллиптических кривых (ECDSA, ГОСТ Р 34.10-2001, ДСТУ 4145-2002). Цифровые подписи с восстановлением документа содержат в себе подписываемый документ: в процессе проверки подписи автоматически вычисляется и тело документа. К этому классу относится один из самых популярных алгоритмов - RSA, который мы рассмотрим в конце статьи. Следует различать электронную цифровую подпись и код аутентичности сообщения, несмотря на схожесть решаемых задач (обеспечение целостности документа и неотказуемости авторства). Алгоритмы ЭЦП относятся к классу асимметричных алгоритмов, в то время как коды аутентичности вычисляются по симметричным схемам. Можно сказать, что цифровая подпись обеспечивает: - удостоверение источника документа. В зависимости от деталей определения документа могут быть подписаны такие поля, как "автор", "внесенные изменения", "метка времени" и т. д.

• - защиту от изменений документа. При любом случайном или преднамеренном изменении документа (или подписи) изменится хэш, следовательно, подпись станет недействительной;
• - невозможность отказа от авторства. Так как создать корректную подпись можно лишь, зная закрытый ключ, а он известен только владельцу, то владелец не может отказаться от своей подписи под документом. Совершенно очевидно, что ЭЦП вовсе не совершенна. Возможны следующие угрозы цифровой подписи.

Злоумышление может:

• - попытаться подделать подпись для выбранного им документа;
• - попытаться подобрать документ к данной подписи, чтобы подпись к нему подходила;
• - попытаться подделать подпись для хоть какого-нибудь документа;
• - в случае кражи ключа подписать любой документ от имени владельца ключа;
• - обманом заставить владельца подписать какой-либо документ, например, используя протокол слепой подписи;
• - подменить открытый ключ владельца на свой собственный, выдавая себя за него. При использовании надежной хэш-функции, вычислительно сложно создать поддельный документ с таким же хэшем, как и у подлинного. Однако эти угрозы могут реализоваться из-за слабостей конкретных алгоритмов хэширования, подписи или ошибок в их реализациях.

RSA как фундамент ЭЦП:

Не секрет, что наибольшую популярность среди криптоалгоритмов цифровой подписи приобрел RSA (применяется при создании цифровых подписей с восстановлением документа). На начало 2001 года криптосистема RSA являлась наиболее широко используемой асимметричной криптосистемой (криптосистемой открытого (public) ключа) и зачастую называется стандартом de facto. Вне зависимости от официальных стандартов, существование такого стандарта чрезвычайно важно для развития электронной коммерции и вообще экономики. Единая система открытого (public) ключа допускает обмен документами с электронно- цифровыми подписями между пользователями различных государств, использующими различное программное обеспечение на различных платформах; такая возможность насущно необходима для развития электронной коммерции. Распространение системы RSA дошло до того что, ее учитывают при создании новых стандартов. При разработке стандартов цифровых подписей, в первую очередь в 1997 был разработан стандарт ANSI X9.30, поддерживающий Digital Signature Standard (стандарт Цифровой подписи). Годом позже был введен ANSI X9.31, в котором сделан акцент на цифровых подписях RSA, что отвечает фактически сложившейся ситуации, в частности - для финансовых учреждений. До недавнего времени главным препятствием для замены бумажного документооборота электронным были недостатки защищенной аутентификации (установления подлинности); почти везде контракты, чеки, официальные письма, юридические документы все еще выполняются на бумаге. Появление цифровой подписи на основе RSA сделало осуществление электронных операций достаточно безопасным и надежным. Как работает алгоритм RSA?

Алгоритм RSA предполагает, что посланное закодированное сообщение может быть прочитано адресатом и только им. В этом алгоритме используется два ключа - открытый и секретный. Данный алгоритм привлекателен также в случае, когда большое число субъектов (N) должно общаться по схеме все-со-всеми. В случае симметричной схемы шифрования каждый из субъектов каким-то образом должен доставить свои ключи всем остальным участникам обмена, при этом суммарное число используемых ключей будет достаточно велико при большом значении N. Применение асимметричного алгоритма требует лишь рассылки открытых ключей всеми участниками, суммарное число ключей равно N. Сообщение представляется в виде числа M. Шифрование осуществляется с помощью общедоступной функции f(M), и только адресату известно, как выполнить операцию f-1. Адресат выбирает два больших простых (prime) числа p и q, которые делает секретными. Он объявляет n=pq и число d, c (d,p- 1)=(d,q-1)=1 (один из возможных способов выполнить это условие, выбрать d больше чем p/2 и q/2). Шифрование производится по формуле: f(M) є Md mod n, где M и f(M) оба Ј n-1. Как было показано, может быть вычислено за разумное время, даже если M, d и n содержит весьма большое число знаков. Адресат вычисляет M на основе Md, используя свое знание p и q. В соответствие со следствием 6, если dc є(p-1)1, тогда (Md)eє p1. Исходный текст M получается адресатом из зашифрованного F(M) путем преобразования: M = (F(M))e (mod pq). Здесь как исходный текст, так и зашифрованный рассматриваются как длинные двоичные числа. Аналогично (Md)e є qM, если dc є (q-1)1. e удовлетворяет этим двум условиям, если cd є (p-1) (q-1)1. Теорема 1 гласит, что мы можем позволить e=x, когда x является решением уравнения dx + (p-1)(q-1)y = 1. Так как (Md)e - M делимо на p и q, оно делимо и на pq, следовательно, мы можем определить M, зная Md, вычислив его значение в степени e и определив остаток от деления на pq. Для соблюдения секретности важно, чтобы, зная n, было нельзя вычислить p и q. Если n содержит 100 цифр, подбор шифра связан с перебором ~1050 комбинаций. Данная проблема изучается уже около 100 лет. RSA-алгоритм запатентован (20 сентября 1983, действует до 2000 года). Теоретически можно предположить, что возможно выполнение операции f-1, не вычисляя p и q. Но в любом случае задача эта не проста и разработчики считают ее трудно факторизуемой. Предположим, что мы имеем зашифрованный текст f(M) и исходный текст M, и мы хотим найти значения p и q. Нетрудно показать, что таких исходных данных для решения задачи недостаточно - надо знать все возможные значения Mi. Использование алгоритма RSA на конкретном примере. Выбираем два простые числа p=7; q=17 (на практике эти числа во много раз длиннее). В этом случае n = p*q будет равно 119. Теперь необходимо выбрать e, выбираем e=5. Следующий шаг связан с формированием числа d так, чтобы d*e=1 mod [(p-1)(q-1)]. d=77 (использован расширенный алгоритм Эвклида). d - секретный ключ, а e и n характеризуют открытый ключ. Пусть текст, который нам нужно зашифровать, представляется M=19. С = Memod n. Получаем зашифрованный текст C=66. Этот "текст" может быть послан соответствующему адресату. Получатель дешифрует полученное сообщение, используя М= Cdmod n и C=66. В результате получается M=19. На практике общедоступные ключи могут помещаться в специальную базу данных. При необходимости послать партнеру зашифрованное сообщение можно сделать сначала запрос его открытого ключа. Получив его, можно запустить программу шифрации, а результат ее работы послать адресату. Взлом ЭЦП: Взлом ЭЦП фактически сводится к взлому алгоритма шифрования. В данном случае возможные варианты взлома мы рассмотрим на примере алгоритма RSA. Существует несколько способов взлома RSA. Наиболее эффективная атака - найти секретный ключ, соответствующий необходимому открытому ключу. Это позволит нападающему читать все сообщения, зашифрованные открытым ключом, и подделывать подписи. Такую атаку можно провести, найдя главные сомножители (факторы) общего модуля n - p и q. На основании p, q и e (общий показатель) нападающий может легко вычислить частный показатель d. Основная сложность в поиске главных сомножителей (факторинг) n. Безопасность RSA зависит от разложения на сомножители (факторинга), что является трудной задачей, не имеющей эффективных способов решения. Фактически, задача восстановления секретного ключа эквивалентна задаче разложения на множители (факторинга) модуля: можно использовать d для поиска сомножителей n и наоборот - можно использовать n для поиска d. Надо отметить, что усовершенствование вычислительного оборудования само по себе не уменьшит стойкость криптосистемы RSA, если ключи будут иметь достаточную длину. Фактически же совершенствование оборудования увеличивает стойкость криптосистемы. Другой способ взломать RSA состоит в том, чтобы найти метод вычисления корня степени e из mod n. Поскольку С = Me mod n, то корнем степени e из mod n является сообщение M. Вычислив корень, можно вскрыть зашифрованные сообщения и подделывать подписи, даже не зная частный ключ. Такая атака не эквивалентна факторингу, но в настоящее время неизвестны методы, которые позволяют взломать RSA таким образом. Однако в особых случаях, когда на основе одного и того же показателя относительно небольшой величины шифруется достаточно много связанных сообщений, есть возможность вскрыть сообщения. Упомянутые атаки - единственные способы расшифровать все сообщения, зашифрованные данным ключом RSA. Существуют и другие типы атак, позволяющие, однако, расшифровать только одно сообщение и не позволяющие нападающему вскрыть прочие сообщения, зашифрованные тем же ключом. Также изучалась возможность расшифровывания части зашифрованного сообщения. Самое простое нападение на отдельное сообщение - атака по предполагаемому открытому тексту. Нападающий, имея зашифрованный текст, предполагает, что сообщение содержит какой-то определенный текст (например, "Штирлиц - Плейшнеру"), затем шифрует предполагаемый текст открытым ключом получателя и сравнивает полученный текст с имеющимся зашифрованным текстом. Такую атаку можно предотвратить, добавив в конец сообщения несколько случайных битов. Другая атака на единственное сообщение применяется в том случае, если отправитель посылает одно и то же сообщение M трем корреспондентам, каждый из которых использует общий показатель e = 3. Зная это, нападающий может перехватить эти сообщения и расшифровать сообщение M. Такую атаку можно предотвратить, вводя перед каждым шифрованием в сообщение несколько случайных битов. Также существуют несколько атак по зашифрованному тексту (или атаки отдельных сообщений с целью подделки подписи), при которых нападающий создает некоторый зашифрованный текст и получает соответствующий открытый текст, например, заставляя обманным путем зарегистрированного пользователя расшифровать поддельное сообщение. Разумеется, существуют и атаки, нацеленные не на криптосистему непосредственно, а на уязвимые места всей системы коммуникаций в целом. Такие атаки не могут рассматриваться как взлом RSA, так как говорят не о слабости алгоритма RSA, а скорее об уязвимости конкретной реализации. Например, нападающий может завладеть секретным ключом, если тот хранится без должной предосторожности. Необходимо подчеркнуть, что для полной защиты недостаточно защитить выполнение алгоритма RSA и принять меры математической безопасности, т.е. использовать ключ достаточной длины, так как на практике наибольший успех имеют атаки на незащищенные этапы управления ключами системы RSA.

Подделать можно и обычную подпись, причем настолько искусно, что отличить ее от настоящей позволит только тщательная графологическая экспертиза. С электронным аналогом подписи подобное возможно, по крайней мере, в отношении брелока или смарт-карты, на которой хранится секретный ключ.

Подпись подделывают следующими способами:

• 1. По памяти, запомнив увиденную подпись,
• 2. Рисованием, когда подпись воспроизводится с использованием образца подлинной подписи,
• 3. Копированием, когда подпись обводится чернилами или шариковой пастой на просвет,
• 4. С помощью копировальной бумаги,
• 5. Путем передавливания штрихов заостренным предметом с последующей обводкой следов давления,
• 6. С помощью веществ, обладающих копирующей способностью (изготовление промежуточного клише),
• 7. Фотопроекционным способом,
• 8. При помощи сканера и компьютера.

У организаций воруют деньги с помощью поддельной электронной подписи. Мы узнали историю компании, которая столкнулась с таким мошенничеством и выяснили, как защититься.

Что делать, если у компании воруют деньги с помощью поддельной электронной подписи

Инспекторы сообщили компании, что за ней числится переплата, которой быть не должно. Оказалось, кто-то сдал за организацию уточненку и снизил сумму к уплате. Декларацию заверили электронной подписью директора.

• Важная статья:

Налоговики рассказали, что у организации две электронные подписи, хотя она оформляла только одну. Инспекторы назвали удостоверяющий центр, который выпустил вторую подпись. Руководитель обратился туда и выяснил, что сертификат выдали по фальшивым документам. Директор его аннулировал.

С дублем электронной подписи мошенники могли перевести себе переплату компании, если им удалось бы открыть счет от ее имени. Мы спросили в удостоверяющих центрах, как защититься от такого мошенничества. В центрах знают о злоупотреблениях, но не могут их исключить.

«Центр выдает сертификат по доверенности и копиям документов. Их легко подделать. Но сотрудник центра не вправе отказаться оформлять подпись представителю компании, если он принес все нужные документы», - рассказал Михаил Добровольский, замруководителя УЦ СКБ Контур по технологическим вопросам.

У компаний есть выход - проверять, не выпустил ли кто-то от их имени электронную подпись. В этом помогут налоговики. Инспекторы рассказали нам, что по запросу директора дадут сведения обо всех электронных подписях компании. Если появились лишние, их надо срочно аннулировать.

К заявлению инспекторы просят приложить документы, которые подтверждают обращение в полицию. Например, копию уведомления о возбуждении уголовного дела. Тогда налоговики заблокируют прием документов с посторонними подписями.