Простая электронная подпись - Форум по вопросам информационной безопасности

Подскажите, пожалуйста, что кроме ЕСИА можно отнести к системе идентификации (аутентификации), которую можно расценивать, как подписание простой (минимум) электронной подписью?

Согласно закону 63-ФЗ:
Простой электронной подписью является электронная подпись, которая посредством использования кодов, паролей или иных средств подтверждает факт формирования электронной подписи определенным лицом.
----

Например:
- файлы, пришедшие по электронной почте;
- сканы документов;
- файлы, к которым прикреплен сертификат (усиленной ЭП).
?

Спасибо!

Любой функционал идентификации и аутентификации, подтвержденный сертификатом соответствия ФСТЭК.

А при чём здесь ФСТЭК и подтверждение соответствия?
В принципе, к простой электронной подписи можно приравнять использование логина и пароля.
Логика такая: пользователю дали логин, он установил себе пароль и обязался никому его не рассказывать, а коли расскажет, то сам виноват. Например, логин/пароль от электронной почты. Соответственно, если от этого пользователя приходит электронное письмо, что считается, что это сообщение подписано простой электронной подписью.
Надо только правильно документы оформить.

1) Функционал ИАФ, в случае простой ЭП, определяет субъекта ПДн? НПА должны предусматривать, в частности правила определения лица, подписывающего электронный документ, по его простой электронной подписи - ФЗ-63 (персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу - ФЗ-152).

2) Использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз - ПП-1119.

Простой ЭП на гос. уровне кроме ЕСИА - ничего. И то, с ЕСИА еще куча неясностей, которые до сих пор не решены...
На частном уровне - самоподписанные сертификаты, "самопальный" УЦ. Но с использованием ПО, прошедшего процедуру оценки соответствия (читай, получившего сертификат/разрешение) ФСБ России, ибо только ФСБ к криптографии в стране имеет отношение. ФСТЭК тут ни при чем.
Пример "самопального" УЦ - комплекс МагПро-КриптоПортал. Сертификат ФСБ России по КС2, возможность генерировать сертификаты ЭП самостоятельно, возможность их проверки/валидации средствами самого МагПро (серверная и клиентская части). Впрочем область его применения не для подписывания файлов и т.п., а для защиты сетевых соединений. Пример для ЭП в файлах можно найти у других вендоров.
Усиленная ЭП от простой отличается технически только местом выдачи - квалифицированным УЦ, имеющим на это лицензию/разрешение ФСБ России, а также применением сертифицированных СКЗИ на пунктах приема/генерации/получения ЭП...

*в сторону* развели тут полемику про ИАФ...

2 oko: вопрос был про простую ЭП, к которой ФСБ отношения не имеет.

Усиленная ЭП от простой отличается как небо и земля.

А вот усиленная квалифицированная ЭП от усиленной неквалифицированной отличается как раз сертификатом, выданным аккредитованным (а не квалифицированным) УЦ, и соответствием средств ЭП Приказу ФСБ №796 (что д.б. указано в сертификате).

> Функционал ИАФ, в случае простой ЭП, определяет субъекта ПДн?

Сертифицированная Windows 2008. Пользователь прошел аутентификацию и написал вордовый документ. Что из функционала "ИАФ" будет простой электронной подписью к этому документу?

to ustav
Согласен, ошибся в терминологии с неквалифицированной и квалифицированной ЭП. Спасибо за правку!
По теме же (особливо коррелируя с вопросом тов. malotavr) выходит, что, возможно, метка файловой системы о владельце файла в сертифицированной ОС будет являться "простой ЭП"? Следуя такой логике, а метод проверки такой ЭП на приемной стороне какой? Тоже средствами только сертифицированной ОС?
Иными словами, "простая ЭП" в законе есть, а ее реализация явно ничем не указана. Методы же ИАФ тут лишь косвенно подходят. Мое мнение как в старой фразе: "мы говорим Ленин - подразумеваем партию, говорим партия - подразумеваем Ленина". Т.е. ЭП = криптография, а не что-то рядом притянутое. Вестимо, понятие "простая ЭП" - это реверанс в сторону продуктов с криптухой, которые давно используются, но сертификатов не имеют...

> Вестимо, понятие "простая ЭП" - это реверанс в сторону продуктов с криптухой, которые давно используются, но сертификатов не имеют...

Реверанс в сторону несертифицированной крипты - это усиленная подпись. Для нее уже требуется крипта, но, в отличие от квалифицированной, еще не требуется обязательная сертификация средств электронной подписи

Примеры простых электронных подписей:
- PIN и однократные пароли (не факт прохождения аутентификации, а сами циферки PINа/пароля или производные от них, в связке с подтверждаемыми ими данными)
- рисунок собственноручной подписи, сделанный стилусом на планшете и, опять же., присобаченный к данным
- ключ шифрования, нанесенный штрих-кодом на страницу биометрического паспорта (факт, что он прочтен считывателем, эквивалентен подписи субъекта под согласием предъявить к проверке записанные на чип биометрические данные)
- снятый считывателем рисунок пальца (например, в банкоматах с биометричеким подтверждением транзакций, банк-эквайер в приниппе не может его верифицировать, но с его помощью он доказывает банку-эмитету, что карточку вставлял именно ее держатель)

Вот-вот. Простая ЭП и была придумана на тот случай, когда надо обеспечить юридическую значимость в случае, когда использование крипты нецелесообразно или неприменимо. Читайте внимательно закон.
В качестве простой электронной подписи вы можете использовать любой реквизит, если это прописано договором. Хоть отсутствие точки в конце каждого второго предложения.