Как развитие мобильной PKI способно изменить нашу жизнь

В первом квартале 2014 года число используемых в России SIM-карт превысило 241 млн. штук. Учитывая, что на 1 января текущего года, по оценке Росстата, в нашей стране проживало 146,1 млн. человек, получается, что на каждого россиянина приходится практически по 2 мобильных телефона. При этом большинство наших соотечественников уже не представляют свою жизнь без мобильного гаджета, применяя его не только по прямому предназначению, но и для прослушивания музыки, навигации, отправки сообщений через Интернет, фото и видеосъёмки. Почему бы в таком случае не использовать столь востребованные мобильные технологии и для решения задач, связанных с PKI?

Прежде чем говорить, о популяризации мобильной PKI среди жителей России, рассмотрим техническую часть вопроса. Ведь для того, чтобы с помощью телефона можно было осуществить надёжную идентификацию, аутентификацию и сформировать усиленную квалифицированную электронную подпись, необходимо соблюсти несколько фундаментальных принципов, важнейший из которых - хранение закрытого ключа втайне.

Решить данную проблему можно было бы с помощью программной реализации. Однако существует ряд "но", который заставляет задуматься о правильности выбранного способа.

Во-первых, необходимо понимать, что при большом количестве мобильных операционных систем срок их жизни составляет всего 2,5 года. Пока технические специалисты разрабатывают, сертифицируют и выводят решение на рынок, появляется новая платформа, и всё приходится начинать заново.

Второй не менее важной проблемой является отсутствие легитимности в подобных разработках. Яркий пример - платформа iOS, приложения в которой являются монолитными и распространяются через AppStore. Таким образом, экспортируя на американский сайт российскую криптографию при отсутствии специальных разрешающих документов (лицензии ГосДепа США, экспортной лицензии и т.д.), мы нарушаем законодательство сразу двух стран.

Кроме того, так как мы реализуем криптографию на мобильной платформе, то на телефоне формируется недоверенная среда, в которой достаточно легко реализуются атаки, разработанные для обычных компьютеров, например, атака с подменой документов.

Исходя из всего вышеперечисленного, можно сделать вывод, что при разработке технологии мобильной PKI наиболее правильным вариантом является использование аппаратных средств с неизвлекаемым закрытым ключом. В качестве СКЗИ можно применять USB-токены и смарт-карты, однако и для конечного пользователя, и для разработчика удобным назвать этот способ нельзя. Так как разные платформы имеют различные разъёмы и интерфейсы, необходимо разрабатывать отдельное приложение под каждую платформу, что приводит к повышению накладных расходов и увеличению количества устройств, которые пользователь нескольких мобильных гаджетов должен иметь при себе.

Конечно, благодаря принятию нового стандарта USB 3.1 ожидается, что разработчики-производители телефонов и мобильных платформ унифицируют их в части разъёмов. Кроме того, существуют интерфейсы NFC и BlueTooth, которые также можно использовать для решения данной проблемы. Однако зачем применять дополнительные устройства, если в телефоне и так есть отчуждаемый модуль безопасности в виде SIM-каргы?

Использование этой технологии для подписи документов кажется очень перспективным. Но, к сожалению, её реализация не так проста по ряду причин. Например, для того, чтобы посчитать подпись на SIM-карте без использования криптоакселератора в виде Java-anruieTa, необходимо потратить 1,5 недели. То есть для ускорения работы нужен со-процессор, но те криптоакселераторы, которые есть на SIM-картах, не поддерживают параметры эллиптических кривых, заложенные государственными стандартами. Таким образом, необходимо производить доработку как операционной системы, так и SIM-карты. А это значит, что на уже действующих SIM-картах воспользоваться новой технологией будет нельзя, необходимо произвести их замену.

Кроме того, существует архитектурное ограничение, так как из области приложений телефона обратиться напрямую к SIM-карте нельзя. С другой стороны, этот факт является положительным с точки зрения обеспечения ИБ, ведь если мы не можем обратиться к SIM-карте напрямую, то этого не сделают ни хакеры, ни вредоносное программное обеспечение.

В то же время, применяя PKI на SIM-карте, мы получаем универсальное решение, которое не требует разработки приложений под каждую отдельную платформу и защищено от атак с подменой документов из области приложений.

Использование электронной подписи на SIM-карте возможно по двум каналам: посредством SMS (или online-канала), который, по сути, является вторым доверенным каналом в телефоне, или спомощью бесконтактной технологий NFC (или offline-канала).

Теперь подробно рассмотрим процесс формирования ЭП на SIM-карте. Для этого нам необходимы 4 компонента:

1. телефон (или компьютер);
2. электронный сервис (площадка для проведения ЭДО);
3. платформа, которая обращается к Удостоверяющему центру (УЦ): здесь осуществляется проверка сертификата ключа подписи;
4. оператор связи.

На любом компьютере или мобильном устройстве мы заполняем необходимую информацию о документе, после чего генерируется запрос на ЭП. Данный запрос отправляется на проверку в электронный сервис, который:

• выявляет значимую информацию, которую должен увидеть пользователь на телефоне для подтверждения (например, если это платёжное поручение, то нужна информация: кому, куда и сколько)и
• выделяет хэш документа, который, в свою очередь, отправляется на платформу.

Далее платформа идентифицирует пользователя, выявляет, чей он абонент, и отправляет запрос на ЭП оператору сотовой связи, который после проверки высылает на SIM-карту пользователя серию зашифрованных SMS-сообщений. Внешне данные сообщения похожи на применяемую в банках технологию 3D-Secure, однако они содержат большее количество информации по ключевым данным. Например, если это платёжное поручение, то в SMS будут находиться ИНН, БИК и номер счёта получателя платежа, а также информация о сумме перечисляемых средств.

После всех вышеперечисленных операций пользователь получает сообщение с визуализацией подписываемых им данных и запросом на ввод PIN-кода на ЭП. Если он вводит верный PIN-код, на SIM-карте происходит подписание хэша, что удовлетворяет требованиям 63-ФЗ "Об электронной подписи".

В завершении подписанный хэш отправляется обратно оператору связи, на платформу и электронный сервис, где сравнивается отправленный и подписанный хэш, и при условии совпадения пользователь получает уведомление об успешной подписи электронного документа.

Если мы используем технологию NFC, то сформировать ЭП можно, приложив телефон к NFC-ридеру. При этом в качестве ридера может быть использован другой телефон, поддерживающий данную технологию. При подписании электронного документа телефоны нужно лишь поднести один к другому и подтвердить сделку, введя PIN-код.

Так как телефон всегда под рукой, применение мобильной PKI обеспечивает массу преимуществ, однако в России по сравнению со странами Европы и Азии эта технология пока недостаточно востребована.

Если обратиться к статистике, то мы увидим, что среди населения Финляндии, которое составляет 5,4 млн. человек, пользователями мобильной PKI являются 3 млн. человек, или более 55%. При этом с помощью мобильных телефонов они совершают порядка 500 млн. транзакций в год.

Эти данные не могли не заинтересовать российских операторов сотовой связи, входящих в "Большую тройку". Их первым шагом в данном направлении стало принятие принципиального решения об использовании одной технологии, единых стандартов и требований к выдаче карт, API для встраивания и т. д.

Понятно, что для вывода новой технологии на рынок необходимо выстроить мощную инфраструктуру, которая будет затрагивать все аспекты работы новой технологии: от выдачи SIM-карт до внедрения разработки на электронных сервисах. Именно по-этому сам факт использования единых стандартов и технологий должен дать мощный стимул к развитию в нашей стране электронных сервисов для физических лиц.

Не секрет, что порядка 90% всех электронных сервисов на сегодняшний день разработаны для корпоративных клиентов. Постепенное насыщение массового рынка средствами электронной подписи способно изменить эту статистику. На сегодняшний день компания Yota уже выдаёт SIM-карты с поддержкой электронной подписи на SIM-картах и технологии NFC, поэтому надеюсь, что проблема с нехваткой электронных сервисов для физлиц в скором времени останется в прошлом.

Положительное влияние на распространение мобильной PKI окажет и деятельность крупных ритейлеров и банков. Специалисты подсчитали, что средняя стоимость одного очного контакта с клиентом в среднем обходится кредитной организации в 850 руб. в Москве и 730 руб. в регионе. В эту сумму входит и оплата помещения, коммунальных услуг, а также заработная плата работника, осуществляющего приём. Благодаря использованию ЭП на SIM-карте точки ритейла смогут в несколько раз ускорить обслуживание, что снизит затраты и даст дополнительные преимущества перед конкурентами.

Кроме того, развитие технологии мобильной PKI позволит ускорить переход на безбумажный документооборот, что опять же приведёт к снижению накладных расходов (к слову, крупная компания или банк в месяц тратит до 9-12 тонн бумаги).