Основные принципы формирования системы удостоверяющих центров российской федерации (суцрф) (стр. 3 из 8)
При использовании и соответствующем уровне развития системы УЦ с налаженными «мостовыми» связями, абонент одного УЦ сможет передать юридически значимые электронные документы в другой город и в подразделение другого ведомства с достаточной уверенностью в их своевременной доставке и пригодности.
Компоненты архитектуры мостового УЦ
Рис. 1 Пример архитектуры мостовой ИОК
СУЦРФ может состоять из следующих компонентов (Рис.1):
· Центр управления политиками (ЦУП) мостового УЦ: устанавливает общие политики Мостового УЦ, проверяет политики доверенных доменов и участвует в кросс-сертификации с доменами ИОК организаций. По сути он назначает политики, которые определяют государственные уровни услуг по сертификации, осуществляющие единые техники и процедуры проведения кросс-сертификации, что значительно упрощает, детерминирует и удешевляет их;
· Доверенные домены организаций: В данном контексте это домены ИОК организаций, которые кросс-сертифицировались с мостовым УЦ, и которые функционируют под управлением одного органа управления политиками. Домен ИОК может иметь такую архитектуру, которая необходима ему для эффективного функционирования, и может содержать несколько УЦ. Кросс-сертифицируется с мостовым УЦ так называемый УЦ принципал, который обычно совмещен с органами управления политиками домена и\или является точкой доверия домена.
· Центр управления политиками доверенного домена (ЦУПД): этот орган устанавливает политики внутри домена ИОК организации, и контролирует их исполнение;
· Органы сертификации (УЦ):
à Мостовой УЦ (Bridge УЦ - МУЦ): Это совокупность сильносвязных кросс-сертифицированных УЦ, функционирующих под управлении ЦУП. Его целевое назначение состоит в обеспечении мостов доверия между доверенными доменами ИОК. ЦУП вводит в мостовую инфраструктуру УЦ принципалы через кросс-сертификацию с МУЦ. Заметим, что МУЦ не является корневым УЦ для пользователей доверенных доменов, так как самоподписанные (самоизданные) сертификаты не начинают с него путей сертификации. Таким образом, каждый доверенный домен имеет такую архитектуру ИОК, которая ему необходима;
à УЦ принципал (Principal УЦ, PУЦ): Это УЦ внутри доверенного домена, который кросс-сертифицируется с МУЦ. В каждом домене может быть только один УЦ принципал. УЦ принципал обычно совмещен с органами управления политиками домена и/или является точкой доверия домена.
Число УЦ (см. Рис.2), которое необходимо иметь в мостовом УЦ, определяется числом требующих поддержки криптографических алгоритмов и протоколов управления ИОК.
Рис. 2 К вопросу о числе УЦ в МУЦ
Это позволит решить проблемы совместимости при кросс-сертификации с МУЦ и стойкость МУЦ к зависимости от частного решения ИОК.
Обеспечение функционирования СУЦРФ
Главным органом управления СУЦ РФ является УФО.
Целесообразно, чтобы УФО взял на себя функции координации деятельности УЦ. В то же время, ни для одной структуры не представляется возможным в одиночку справиться со всеми задачами обеспечения надежного функционирования Федеральной инфраструктуры открытых ключей. Необходима общегосударственная программа реализации данных задач с привлечением ряда министерств, ведомств и коммерческих организаций с лидирующим положением в этом вопросе у профильного гражданского ведомства.
В рамках этой программы для координации деятельности СУЦ РФ при Уполномоченном Федеральном Органе необходимо создание структуры, выполняющей функции Координационного Комитета СУЦ РФ.
Функции Комитета
К основным функциям Комитета относятся:
-разработка планов развития СУЦ РФ,
-обеспечение совместимости технологий ИОК,
-выработка рекомендаций Федеральному МУЦ и участникам ИОК,
-информационная поддержка всех, кто так или иначе применяет или планирует применять эту технологию.
Состав и структура Комитета
В Комитет должны войти представители заинтересованных в развитии СУЦ РФ Федеральных структур, Федерального Мостового УЦ, крупных сообществ, объединенных в рамках своих ИОК, а также коммерческих структур.
При Комитете должны быть созданы рабочие группы курирующие, как минимум, три аспекта:
-правовой,
-экономический,
-технологический.
Выработка конкретных требований к составу Комитета и его структуре находятся в компетенции УФО.
Еще одним органом, который должен быть создан УФО (в рамках оргструктуры Координационного Комитета или в качестве отдельного, взаимодействующего с Комитетом по горизонтальным связям), является Центр Управления Политиками сертификации.
Функции Центра Управления:
-выработка условий кросс-сертификации с Федеральным МУЦ,
-проверка кросс-сертифицируемых УЦ на соответствие этим условиям для выдачи разрешения на кросс-сертификацию,
-периодический аудит кросс-сертифицированных УЦ на соблюдение условий кросс-сертификации,
Состав Центра Управления
Состав Центра Управления определяется УФО или, по его поручению, Координационным Комитетом.
Центр Управления действует на основании “Методик и критериев кросс-сертификации с ФМУЦ”.
Технологическая служба Федерального МУЦ
Технологическая служба (ТС ФМУЦ) создается УФО для обеспечения:
-проектирования,
-внедрения,
-эксплуатации Федерального Мостового Удостоверяющего Центра
Технологическая служба действует на основании:
1. Политики сертификатов (Certificate Policy) Федерального МУЦ
2. Регламента Сертификатов (Certificate Practice Statement) Федерального МУЦ, разрабатываемых Центром Управления политиками на основании рекомендаций Координационного Комитета.
Обеспечение информационной безопасности в УЦ
Основными задачами по обеспечению информационной безопасности УЦ являются:
- защита конфиденциальной информации (ключевая информация СКЗИ, личная информация, охраняемая в соответствии с действующим законодательством, закрытые ключи УЦ, парольная информация и информация аудита и т.п.) при ее хранении, обработке и передаче;
- контроль целостности конфиденциальной и открытой информации (информация о владельцах, входящая в состав сертификатов, информация об отозванных сертификатах, свободно распространяемые программные компоненты (и документация к ним) и т.п.);
- контроль целостности программных и аппаратных компонент комплекса;
- обеспечение безотказной работы.
Комплекс мер и средств защиты информации в УЦ должен включать в себя следующие подсистемы:
- подсистема криптографической защиты информации, включающая в себя программные и/или программно-аппаратные СКЗИ;
- подсистема защиты информации от несанкционированного доступа (НСД), включающая в себя программные и/или программно-аппаратные средства аутентификации, разграничения доступа, межсетевые экраны;
- подсистема активного аудита информационной безопасности УЦ;
- подсистема обнаружения вторжений (IDS);
- подсистема резервного копирования и архивирования данных;
- подсистема обеспечения целостности информации, программных и аппаратных компонент комплекса, в том числе криптографическими методами;
- подсистема обеспечения безотказной работы комплекса, включающая в себя антивирусные средства;
- подсистема защиты оборудования комплекса от утечки информации по техническим и побочным каналам;
- подсистема обеспечения защиты информации от НСД режимными и организационно-техническими мерами.
Ключевым аспектом решения проблемы безопасности государственных удостоверяющих центров является выработка системы требований (для коммерческих УЦ - рекомендаций), критериев и показателей для оценки уровня их безопасности. Исходя из этих требований будут выбираться те или иные средства защиты информации. За выбор и обоснование таких требований отвечает УФО. К этой работе привлекаются также Гостехкомиссия и ФСБ. Такие требования (рекомендации) могут быть определены на основе используемым в настоящее время классов защищенности, но желательно построить их в соответствии с новым ГОСТом (ГОСТ Р ИСО/МЭК 15408-2002 части 1, 2, 3. Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий), который предполагается ввести в действие в 2004 году. Фактически это должно привести к некоторому, относительно небольшому, набору возможных типовых степеней защищенности для удостоверяющих центров, характеризующих степень доверия к издаваемым им сертификатам.