Главная › Продукты › Шифр-Arch

Шифр-Arch

На сегодня является акутальным хранение документов исключительно в электронном виде, особенно, если документы предназначены не только для внутреннего использования, но и для передачи их в другие организации. Как правило, такие документы должны обладать квалифицированной электронной подписью (КЭП).
Сроки хранения таких документов измеряются десятилетиями, существует необходимость проверки ЭП всеми подписантами для установления:
  • Целостности документа.
  • Авторства.
  • Неотказуемости.
Актуально на сегодня для государственного, банковского и страхового сектора.

Подходы

  • Стандартный. Использование ЭП в формате CAdES X-Long, которая позволяет обеспечить долговременную проверку ЭП. 
    • Решение о корректности ЭП принимается, когда она успешно проверяется, при получении/создании. 
    • По истечению определенного периода времени невозможно проверить ЭП согласно действующим нормативным документам.

Функции

  • Проверка ЭП, перед занесением документа в архив*.
    • Проверка ЭП:
      • Отправка запросов в ЦУО (OCSP).
      • Отправка запросов в ЦСК (OCSP).
    • Расширение ЭП до CAdES X-Long (в случае необходимости).
  • Проверка ЭП в формате CAdES X-Long и документа из архива*.
    • Проверка ЭП:
      • Отправка запросов в ЦУО (OCSP).
      • Отправка запросов в ЦСК (OCSP).
*- ЭП хранится вместе с документами в архиве.
  • Расширенный (Blockchain). В дополнение к Стандартному подходу, предлагается использовать модифицированные механизмы блокчейн, на основе имитовставки.
    • Решение о корректности ЭП принимается, когда она успешно проверяется, при получении/создании.
    • Сама ЭП и результаты ее проверки, а также все используемые для проверки данные заносятся в БД и сцепляются с предыдущими записями с помощью имитовставки.
    • При проверке ЭП, непосредственно сама ЭП не проверяется, а лишь проверяется целостность всех сцепленных записей в БД.

Функции

  • Получение ЭП, перед занесением документа в архив*.
    • Проверка ЭП
      • Отправка запросов в ЦУО (OCSP)
      • Отправка запросов в ЦСК (OCSP)
    • Расширение ЭП до CAdES X-Long (в случае необходимости)
    • Формирование QR-code для ЭП CAdES X-Long
    • Добавление открепленной ЭП, хеш-образа документа в БД со сцепленными записями
  • Проверка целостности документа из архива
    • Сопоставление хеш-образа документа и записи из БД со сцепленными записями
  • Проверка целостности БД со сцепленными записями
    • Проверка целостности БД со сцепленными записями, посредством ее воспроизведения
*- ЭП хранится в БД архива ЭП со сцепленными записями, без документов

Недостатки и преимущества обеих подходов

 
Недостатки
Преимущества
Стандартный подход
  1. Ограниченный срок гарантированной проверки ЭП:
    • Срок действия сертификата ЦУО (ЦУО).
    • Срок действия сертификата ЦСК (ЦУО).
    • Срок действия сертификата OCSP (ЦСК).
    • Срок действия сертификата TSP (ЦУО).
  2. Возможность компрометации используемых ключей.
  3. Возможность отказа от существующих стандартов ЭП, по причине их морального устаревания.
  4. Необходимость расширения ЭП до формата CAdES X-Long.
  5. Проверка ЭП из архива онлайн с ЦСК и ЦУО.
  1. Простота использования.
  2. Отсутствие БД.
  3. Отсутствие необходимости в обеспечении дополнительных механизмов защиты.
  4. Документы хранятся в отдельной системе.
Расширенный подход (Blockchain)
  1. Сложность решения.
  2. Необходимость ведения БД с открепленной ЭП сцепленными записями.
  3. Необходимость периодически производить проверку целостности всей БД с сцепленными записями.
  4. Необходимость расширения ЭП до формата CAdES X-Long.
  5. Необходимость в обеспечении защиты ключа имитовставки для блокчейна.
  1. Неограниченный срок гарантированной проверки ЭП, т.к. сама ЭП не проверяется, а лишь проверяется целостность сцепленных записей в БД с открепленной ЭП.
  2. Компрометации используемых ключей не влияет, на уже проверенные ЭП.
  3. Отказ от существующих стандартов ЭП не влияет, на уже проверенные ЭП.
  4. Документы хранятся в отдельной системе.
  5. Проверка ЭП из архива в офлайн (без ЦСК и ЦУО).

Шифр-Arch

Система, которая позволяет обеспечить структурированное и долговременное хранение электронных документов в одном месте, гарантируя проверку целостности сцепленных записей в БД даже после невозможности проверки ЭП.

Характеристики

Система ведения долговременного архива позволяет:
  • Работать сразу в нескольких ЦОД, в виде единого кластера.
  • Работать автономно в каждом ЦОД, если единый кластер “развалился”.
  • Восстановление единого кластера, после его “развала”, на основе кластеров одного из ЦОД.
  • Горизонтальное масштабирование, до 32-х серверов в кластере БД с документами.
  • Хранение документов: не ограничено по объему (проверяли на 192 ТБ).
  • Размер документа: до 5 ТБ.
  • Клонирование узлов со связанными цепочками для повышения доверия/защиты от подделки.
  • Аутентификация посредством JWT (JSON Web Token).
  • Защита каналов связи:
    • Работа внутри системы через TLS.
    • Работа с API через TSL.
    • Web-интерфейс через HTTPS/TLS.

Функции

  • Проверка ЭП, перед занесением документа в архив*.
    • Проверка ЭП:
      • Отправка запросов в ЦУО (OCSP).
      • Отправка запросов в ЦСК (OCSP).
    • Расширение ЭП до CAdES X-Long (в случае необходимости).
    • Дополнительно можно добавить, к ЭП документа:
      • ЭП ответственного сотрудника (архивариуса).
      • Печать организации.
    • Добавление открепленной ЭП, хеш-образа документа и результатов проверки ЭП в БД со сцепленными записями.
  • Полнотекстовый поиск документа по реквизитам и подписантам (текст документа не индексируется).
  • Проверка ЭП, перед занесением документа в архив*.
  • Проверка целостности документа из архива:
    • Сопоставление хеш-образа документа и записи из БД со сцепленными записями.
    • Принятие решение по результатам консолидированной проверки из нескольких узлов.​
  • Проверка целостности БД со сцепленными записями (несколько таких БД):
    • Проверка целостности БД со сцепленными записями, посредством ее воспроизведения.
    • Принятие решение по результатам консолидированной проверки из нескольких узлов.
    • По расписанию.
Ролевая модель:
  • Администратор архива.
  • Оператор архива.
*- ЭП хранится в БД архива ЭП со сцепленными записями, без документов.

Криптография

Используемые криптографические алгоритмы:
  • ЭП/КЭП:
    • ДСТУ 4145+ГОСТ 34.311-95 (по умолчанию).
    • ДСТУ 4145+ДСТУ 7624:2014*.
    • ECDSA+SHA-256*.
    • RSA+SHA-256*.
  • Hash:
    • ГОСТ 34.311-95.
    • ДСТУ 7564:2014.
    • SHA-2 семейство.
  • MAC (используется для блокчейна):
    • ДСТУ ГОСТ 28147:2009.
    • ДСТУ 7624:2014 (по умолчанию).
    • AES (AES-NI).
*- пока не востребовано, возможно подключить в дальнейшем.
 
Используемые хранилища ключей:
  • ЭП/КЭП:
    • PFX/PKCS#12/Key-6.dat (по умолчанию).
    • PKCS#11-пассивный режим.
    • PKCS#11-активный режим (Network HSM).
  • MAC:
    • PKCS#12 (по умолчанию).
    • PKCS#11-активный режим (Network HSM).

Демонстрация веб-клиента

На рисунках продемонстрировано главную страницу и добавление документа.
Рисунок 1. Главная страница вкладки "Документи в архіві"
Рисунок 2. Процесс добавления документа в архив