Український телекомунікаційний портал

Електронний підпис давно перестав бути інструментом, який дістають кілька разів на місяць для податкової звітності. У компаніях ним підписують договори, фінансові документи, заявки, кадрові накази, працюють із державними системами та електронним документообігом.Але є одна особливість. Чим звичнішим стає КЕП, тим менше користувач думає про те, що відбувається технічно. Підключив носій, увів РІN-код, підписав документ — готово.З точки зору кібербезпеки найцікавіше починається саме тут. Надійність криптографічного алгоритму ще не означає, що так само надійно захищений сам процес використання підпису.

Сертифікат — не найслабше місце

Коли говорять про електронний підпис, увага часто зосереджується на сертифікаті: ким він виданий, скільки діє, чи можна перевірити його статус. Для користувача це зрозуміло. Сертифікат видно, його можна перевірити, продовжити або перевипустити.Але операція підписання виконується за допомогою особистого ключа. Саме тому питання, де цей ключ знаходиться і хто фактично може ним скористатися, для корпоративної безпеки не менш важливе, ніж перевірка сертифіката. Умовно кажучи, можна мати абсолютно коректний сертифікат і при цьому слабко організоване зберігання ключа.Саме тут з’являються практичні ризики.

Файл з ключем легко перестає бути приватним

Файловий ключ зручний. Його легко перенести на інший комп’ютер, скопіювати на USВ-накопичувач або тимчасово передати співробітнику, який працює з документами.У цьому ж і проблема.Будь-який файл теоретично можна:

скопіювати;продублювати у резервну копію;випадково синхронізувати з хмарним сховищем;залишити на старому комп’ютері;передати через месенджер або пошту;отримати з зараженої робочої станції.

У невеликій компанії це може роками не створювати помітних проблем. Але зі збільшенням кількості працівників, віддалених робочих місць та електронних документів контроль швидко ускладнюється. Особливо якщо один і той самий підпис використовується на кількох комп’ютерах.

Компрометація пароля — лише частина проблеми

Захист файлу паролем потрібний, але не варто плутати пароль із захистом самого ключа.Якщо зловмисник уже отримав копію ключового файлу, він може працювати з ним окремо від комп’ютера власника. Далі все залежить від складності пароля, реалізації програмного забезпечення та конкретного сценарію атаки.Є й інша ситуація — заражений комп’ютер.Користувач може сам коректно ввести пароль і підписати потрібний документ, але при цьому система вже перебуває під контролем шкідливого ПЗ. У такому випадку проблема знаходиться не в криптографії електронного підпису, а в середовищі, де він використовується.Це одна з причин, чому електронний підпис варто розглядати як частину загальної системи кібербезпеки, а не як окрему бухгалтерську функцію.

Апаратний носій змінює саму модель захисту

Ідея апаратного захисту досить проста: особистий ключ не повинен існувати у вигляді звичайного файла, який можна скопіювати. У захищеному токені або смарт-картці ключ генерується і зберігається всередині спеціалізованого пристрою. Криптографічна операція також виконується всередині нього.Комп’ютер передає пристрою дані для підписання й отримує результат, але сам особистий ключ назовні не передається.Це принципово інша ситуація.Якщо звичайну флешку можна розглядати просто як місце зберігання файлів, криптографічний токен є активним захищеним пристроєм.Докладніше про те, як працює кваліфікований підпис і які варіанти захищеного зберігання ключів використовуються сьогодні, можна прочитати в матеріалах Smаrt Lаb. Саме неможливість звичайного копіювання ключа і є однією з головних переваг такого підходу.

Але токен не вирішує все

Було б неправильно стверджувати, що достатньо видати працівникам апаратні ключі — і проблема закрита. Наприклад, токен не захистить людину від ситуації, коли вона сама підтверджує неправильну операцію.Фішинговий лист може привести співробітника на підроблений ресурс. Соціальна інженерія може переконати його відкрити документ або виконати дію, якої він не планував. Зловмисник може отримати віддалений доступ до робочої станції.Ключ при цьому залишається всередині захищеного пристрою. Але користувач може сам дозволити операцію.Тому поряд із захистом ключа залишаються важливими:

контроль робочих станцій;антивірусний та еndроіnt-захист;МFА для корпоративних облікових записів;розмежування прав;журналювання операцій;навчання персоналу;зрозумілі процедури погодження критичних документів.

КЕП не замінює ці механізми. Він працює разом із ними.

Що змінює віддалена робота

Ще кілька років тому ключ директора або бухгалтера часто фізично знаходився в офісі. Сценарій був доволі передбачуваним: конкретний комп’ютер, конкретне робоче місце, обмежене коло користувачів.Тепер ситуація інша.Документи підписують із ноутбуків, домашніх комп’ютерів, через віддалені робочі столи. Працівники можуть перебувати в різних містах і країнах. Частина корпоративної інфраструктури працює у хмарі.На цьому фоні модель «ось файл із ключем, тільки нікому його не давайте» виглядає дедалі слабше.Компанії доводиться відповідати вже на інші запитання.Хто має право підписувати конкретний тип документа? Що відбувається з ключем після звільнення співробітника? Чи можна визначити, з якого робочого місця виконувалася операція? Хто контролює резервні копії? Що робити при втраті носія?І це вже питання не лише електронного підпису, а управління цифровою ідентичністю.

Підпис також потребує життєвого циклу

У корпоративній інфраструктурі небезпечно сприймати КЕП як річ, яку один раз отримали й забули до завершення строку дії.Для нього теж потрібен життєвий цикл.Ключ видається конкретному користувачу, використовується для визначених завдань, а при зміні ролі або звільненні доступ має бути переглянутий. Втрата носія повинна запускати зрозумілу процедуру реагування, а не кілька днів внутрішніх з’ясувань.Так само варто контролювати, де саме використовуються електронні підписи. В одній організації це може бути лише бухгалтерія. В іншій — десятки співробітників, система документообігу, тендерні майданчики, банківські сервіси та внутрішні корпоративні системи.Чим ширше використання, тим важливіший централізований підхід.

Смарт-картка, USВ-токен чи хмара

Одного універсального форм-фактора для всіх немає.USВ-токен зручний для користувача, який працює на різних комп’ютерах. Смарт-картка краще вписується в інфраструктуру, де одна картка одночасно використовується для ідентифікації співробітника, фізичного доступу та криптографічних операцій.Хмарні рішення дають інший рівень мобільності та централізованого керування.Тому вибір варто починати не з питання «який токен купити», а зі сценарію роботи.Скільки людей підписує документи? Де вони знаходяться? Наскільки критичними є операції? Чи потрібна інтеграція з корпоративними системами? Яким є допустимий рівень ризику?Тільки після цього має сенс вибирати технологію.

КЕП поступово стає елементом Zеrо Тrust

У сучасній корпоративній безпеці дедалі менше працює сама ідея «користувач уже всередині мережі, отже йому можна довіряти».Перевіряється конкретна особа, конкретний пристрій і конкретна операція.Електронний підпис добре вписується в таку модель. Він дозволяє криптографічно підтвердити дію користувача, але максимальну користь дає тоді, коли ключ належним чином захищений, а сама операція є частиною контрольованого процесу.Тобто питання сьогодні звучить уже не лише як «чи є у співробітника КЕП».Набагато важливіше інше: хто фактично контролює особистий ключ і за яких умов ним можна скористатися.Саме тут електронний підпис перестає бути просто засобом для роботи з документами і стає повноцінним елементом корпоративної кібербезпеки.