Enigma 1

Bezpieczeństwo podpisu elektronicznego: 

Bezpieczeństwo podpisu elektronicznego dr inż. Jacek Pokraśniewicz ENIGMA Systemy Ochrony Informacji Sp. z o.o.

Plan prezentacji: 

Plan prezentacji Wstęp Bezpieczeństwo składania podpisu elektronicznego Weryfikacja podpisu elektronicznego, zależnie od rodzaju

Podpis: 

Podpis Podpis jest składany przy użyciu klucza prywatnego (karty elektronicznej zawierającej klucz prywatny) Podpis jest weryfikowany przy użyciu wskazanego w nim certyfikatu; certyfikat zawiera dane osoby, która złożyła podpis (np. imię, nazwisko, adres, PESEL) Dany podpis „pasuje” tylko do jednego, konkretnego dokumentu i do jednego klucza, którym został złożony podpis może być przesyłany i składowany niezależnie od dokumentu 89473CB91E79134E82743 Podpis Jana Kowalskiego 309488E2438700C41234D Podpis Stanisława Nowaka A2CB7939E9173BC80134 Podpis Jana Kowalskiego 7B02419348253948B8093 Podpis Stanisława Nowaka

Składanie podpisu elektronicznego: 

Składanie podpisu elektronicznego „Wejście” – czyli co trzeba mieć wiadomość w formacie zrozumiałym dla odbiorcy narzędzie do przygotowania podpisu klucz prywatny do złożenia podpisu certyfikat związany z tym kluczem, pozwalający na naszą identyfikację na podstawie klucza wystawiony przez Centrum Certyfikacji Kluczy akceptowane przez odbiorcę

Składanie podpisu elektronicznego: 

Składanie podpisu elektronicznego Co może pójść źle: Błędy ludzkie: podpisanie i wysłanie nie tego co trzeba Ataki: zmiana wiadomości przed przygotowaniem podpisu kradzież klucza służącego do składania podpisów kradzież PINu do urządzenia z kluczem (karty) złożenie podpisu nie tylko na jednym dokumencie, ale i na kilku innych (przygotowanych przez atakującego)

Składanie podpisu elektronicznego: 

Składanie podpisu elektronicznego Na ile te ataki są możliwe/prawdopodobne? Kradzież klucza do podpisywania jeśli używamy kart/urządzeń – atak prawdopodobnie niemożliwy jeśli używane karty/urządzenia mają odpowiednie certyfikaty – atak niemożliwy (wg akt. stanu wiedzy) Inne ataki kradzież PINu – bezp. komp. – możliwe dodatkowe podpisy - bezp. komp. – możliwe, wymaga wcześniejszego przygotowania

Składanie podpisu elektronicznego: 

Składanie podpisu elektronicznego Co z tym można zrobić ? bezpieczeństwo komputera firewall, antywirus, IDP/IPS, ... inne, dodatkowe metody Czy można zagwarantować bezwzględne bezpieczeństwo procesowi podpisywania ? ... Czy podpis odręczny jest bardziej bezpieczny ? ?

Weryfikacja podpisu: 

Weryfikacja podpisu Co trzeba mieć ? podpisaną wiadomość w zrozumiałym formacie (podpisu, a następnie wiadomości) certyfikat do weryfikacji (może być załączony do wiadomości) klucz publiczny Centrum Certyfikacji Kluczy, służący do zweryfikowania certyfikatu narzędzie do weryfikacji podpisów aktualną listę unieważnionych certyfikatów, wydaną przez Centrum Certyfikacji Kluczy

Weryfikacja podpisu: 

Weryfikacja podpisu Przebieg procesu Sprawdzenie integralności wiadomości matematyczna weryfikacja podpisu Identyfikacja podmiotu składającego podpis weryfikacja certyfikatu, wystawionego przez akceptowane Centrum Certyfikacji Kluczy klucz publiczny z certyfikatu służy do weryfikacji podpisu dane „osobowe” z certyfikatu identyfikują podmiot składający podpis Sprawdzenie „ważności” podpisu certyfikat nie może być przeterminowany certyfikat nie może być unieważniony przyjmuje się (za X.509) że lista CRL jest aktualna, jeśli nie nastąpiła jeszcze data planowego wystawienia następnej listy CRL

Weryfikacja podpisu: 

Weryfikacja podpisu W przypadku unieważnienia certyfikatu występuje określony czas propagacji informacji o tym unieważnieniu nie jest jasno określone czy podpis jest wtedy ważny ani kto odpowiada za działania wynikające z przyjęcia ważności potencjalnie nieważnego podpisu ze względu na zakres zastosowań (uwierzytelnienie) ta niepewność nie jest zazwyczaj szkodliwa

Weryfikacja podpisu „kwalifikowanego”: 

Weryfikacja podpisu „kwalifikowanego” Co się zmienia ? „grupa docelowa” i wartość dowodowa podpis „zwykły” służy do podniesienia bezpieczeństwa normalnej komunikacji między podmiotami „znającymi się”, mającymi relacje podpis kwalifikowany zastępuje „dowód osobisty” – może służyć jako identyfikacja osoby „obcej” podpis kwalifikowany ma moc dowodową podpisu własnoręcznego potrzeba dużo większej precyzji w weryfikacji „ważności” (mocy dowodowej) podpisu

Weryfikacja podpisu kwalifikowanego: 

Weryfikacja podpisu kwalifikowanego Przebieg procesu Sprawdzenie integralności wiadomości matematyczna weryfikacja podpisu Identyfikacja podmiotu składającego podpis weryfikacja certyfikatu, wystawionego przez kwalifikowane Centrum Certyfikacji Kluczy klucz publiczny z certyfikatu służy do weryfikacji podpisu dane osobowe z certyfikatu identyfikują podmiot składający podpis Sprawdzenie „ważności” podpisu certyfikat nie może być przeterminowany certyfikat nie może być unieważniony lub zawieszony na określony moment

Odpowiedzialność za skutki prawne podpisu kwalifikowanego: 

Odpowiedzialność za skutki prawne podpisu kwalifikowanego Podpis jest ważny jeśli został złożony przed momentem unieważnienia Unieważnienie certyfikatu wywołuje skutki prawne od momentu unieważnienia, które znajduje się w liście CRL/ARL Niezbędne jest określenie relacji między datą złożenia podpisu a datą unieważnienia (znakowanie czasem)

Weryfikacja kwalifikowanego podpisu – co mówi prawo ?: 

Weryfikacja kwalifikowanego podpisu – co mówi prawo ? Rozporządzenie i normy EU określają trzy możliwe wyniki weryfikacji podpisu: poprawnie zweryfikowany negatywnie zweryfikowany niekompletnie zweryfikowany - gdy bezpieczny podpis elektroniczny lub poświadczenie elektroniczne jest poprawne w rozumieniu specyfikacji zastosowanego algorytmu szyfrowego, ale podczas weryfikacji nie udało się potwierdzić, że kwalifikowany certyfikat lub zaświadczenie certyfikacyjne służące do jego weryfikacji oraz użyta ścieżka certyfikacji zawiera ważne w określonym czasie poświadczenia elektroniczne, w szczególności gdy kwalifikowany certyfikat służący do weryfikacji tego podpisu jest zawieszony

Weryfikacja kwalifikowanego podpisu – jak to robić dobrze (1) ?: 

Weryfikacja kwalifikowanego podpisu – jak to robić dobrze (1) ? Aby uzyskać jednoznaczny wynik weryfikacji podpisu należy: Oznakować podpis czasem Uzyskać listy CRL i ARL, które są nowsze niż znacznik czasu Tak uzyskany wynik weryfikacji nie może już ulec zmianie i ma wartość dowodową

Weryfikacja podpisu kwalifikowanego (2): 

Weryfikacja podpisu kwalifikowanego (2) Przebieg procesu Oznakowanie czasem podpisanej wiadomości kwalifikowany znacznik czasu lub inne metody (np. tzw. timemark, dopuszczony przez europejskie normy dot. podpisów kwalifikowanych) Sprawdzenie integralności wiadomości matematyczna weryfikacja podpisu Identyfikacja podmiotu składającego podpis weryfikacja certyfikatu, wystawionego przez kwalifikowane Centrum Certyfikacji Kluczy klucz publiczny z certyfikatu służy do weryfikacji podpisu dane osobowe z certyfikatu identyfikują podmiot składający podpis Sprawdzenie „ważności” podpisu – na moment oznaczenia czasem certyfikat (wtedy !) nie może być przeterminowany certyfikat (wtedy !) nie może być unieważniony lub zawieszony – na podstawie listy CRL wystawionej po momencie oznaczenia czasem

Weryfikacja kwalifikowanego podpisu: 

Weryfikacja kwalifikowanego podpisu Co może pójść nie tak ? bezpieczeństwo komputera narzędzia weryfikujące mogą być podmienione klucz publiczny min. wł. ds. gosp. może być podmieniony możemy użyć „zwykłego” narzędzia do kwalifikowanych podpisów pomimo informacji „podpis poprawny” może się okazać, że podpis nie ma mocy dowodowej (nie jest równoważny podp. odręcznemu) możemy użyć właściwego narzędzia, ale z komunikatami wprowadzającymi w błąd

ENIGMA – produkcja i wdrażanie narzędzi: 

ENIGMA – produkcja i wdrażanie narzędzi Narzędzia dla centrów certyfikacji Centaur CCK (Centrum certyfikacji Kluczy), Centaur PR - punkty rejestracji Centaur OCSP (OCSP) Centaur DAT - znakowanie czasem Centaur SCEP Centaur ETA (CCK dla certyfikowanych szyfratorów VPN) inne Certyfikat Agencji Bezpieczeństwa Wewnętrznego jedyne takie oprogramowanie w Polsce deklaracja zgodności z ustawa o podpisie elektronicznym

ENIGMA – produkcja i wdrażanie narzędzi: 

ENIGMA – produkcja i wdrażanie narzędzi Narzędzia serwerowe PKI dla klientów Centaur SU – serwer uwierzytelnienia Radius, SSL, inne – integracja z serwerami pocztowymi, bazami danych, aplikacjami do logowania itd. Centaur WER – elektroniczna skrzynka podawcza odbieranie dokumentow elektronicvznytch, weryfikacja podpisów elektroniczncyh we wszystkich obecnmych w Polsce formatach, wystawianie urzędowego poświadczenia odbioru deklaracja zgodności z ustawą o podpisie elektronicznym PEM-HEART Serwer – generowanie i weryfikacja podpisów elektronicznych, szyfrowanie i deszyfrowanie deklaracja zgodności z ustawą o podpisie elektronicznym

ENIGMA – produkcja i wdrażanie narzędzi: 

ENIGMA – produkcja i wdrażanie narzędzi Narzędzia PKI na stacje klienckie PEM-HEART – podpisy elektroniczne, szyfrowanie, SSL ... oprogramowanie interakcyjne biblioteka wysokiego poziomu PEM-HEART API dla programistów deklaracja zgodności z ustawa o podpisie elektronicznym ENCARD karta procesorowa, zgodna z ustawą o podpisie elektronicznym (na bazie karty SETEC) ENCARD Login – logowanie przy pomocy karty na stacji Windows bez środowiska domeny

ENIGMA – produkcja i wdrażanie narzędzi: 

ENIGMA – produkcja i wdrażanie narzędzi Inne narzędzia Kryptodysk 2.0.1 szyfrowanie dysków wirtualnych Kryptomail szyfrowanie poczty bez użycia infrastruktury PKI

ENIGMA Systemy Ochrony Informacji Sp. z o.o.: 

ENIGMA Systemy Ochrony Informacji Sp. z o.o. Zapraszamy do współpracy biuro@enigma.com.pl www.enigma.com.pl