Как защитить электронную подпись в мобильном телефоне

В первом квартале 2014 г. число используемых в России SIM-карт превысило 241 млн штук. Учитывая, что в стране проживает 146,1 млн человек, получается, что на каждого россиянина приходится по два мобильных телефона. Большинство людей уже не представляют свою жизнь без смартфона, используя его не только в личной жизни, но и в работе. Это открывает широкие возможности, в том числе для решения задач с использованием электронной подписи, которую необходимо защитить.

Для того, чтобы с помощью телефона можно было осуществить надёжную идентификацию, аутентификацию и сформировать усиленную квалифицированную электронную подпись, необходимо соблюсти несколько условий.

Как сохранить ключ в безопасности

Один их важных принципов – хранение закрытого ключа в тайне. Решить данную проблему можно было бы с помощью программной реализации. Однако существует ряд препятствий, которые мешают выбрать данный способ. Во-первых, при большом количестве мобильных операционных систем срок их жизни составляет всего 2,5 года. Пока технические специалисты разрабатывают, сертифицируют и выводят решение на рынок, появляется новая платформа, и все приходится начинать заново.

Во-вторых, отсутствует легитимность подобных разработок. Яркий пример – платформа iOS, приложения которой являются монолитными и распространяются через AppStore. Так, при экспортировании на американский сайт российской криптографии в отсутствие специальных разрешающих документов (лицензии ГосДепа США, экспортной лицензии и т.д.), нарушается законодательство сразу двух стран. Кроме того, так как происходит реализация криптографии на мобильной платформе, то на телефоне формируется недоверенная среда, в которой достаточно легко реализуются атаки, разработанные для обычных компьютеров, например, атака с подменой документов.

Таким образом, при разработке технологии мобильной PKI наиболее правильным вариантом является использование аппаратных средств с неизвлекаемым закрытым ключом. В качестве системы криптографической защиты информации (СКЗИ) можно применять USB-токены и смарт-карты, однако и для конечного пользователя, и для разработчика удобным назвать этот способ нельзя. Так как разные платформы имеют различные разъёмы и интерфейсы, необходимо разрабатывать отдельное приложение под каждую платформу, что приводит к повышению накладных расходов и увеличению количества устройств, которые пользователь нескольких мобильных гаджетов должен иметь при себе.

Конечно, благодаря принятию нового стандарта USB 3.1 ожидается, что разработчики-производители телефонов и мобильных платформ унифицируют их в части разъёмов. Кроме того, существуют интерфейсы NFC и BlueTooth, которые также можно использовать для решения данной проблемы. Но в телефоне есть отчуждаемый модуль безопасности в виде sim-карты, и нет необходимости в применении дополнительных устройств.

Использование этой технологии для подписи документов кажется очень перспективным. Но, к сожалению, её реализация по ряду причин не так проста. Например, чтобы посчитать подпись на sim-карте без использования криптоакселератора в виде Java-апплета, необходимо потратить полторы недели. То есть для ускорения работы нужен со-процессор. Но те криптоакселераторы, что есть на sim-картах, не поддерживают параметры эллиптических кривых, заложенных государственными стандартами. Таким образом, необходимо производить доработку как операционной системы, так и sim-карты. А это значит, что на уже действующих sim-картах воспользоваться новой технологией будет нельзя, необходимо будет их заменить.

Кроме того, существует архитектурное ограничение, так как из области приложений телефона обратиться напрямую к sim-карте нельзя. С другой стороны, этот факт является положительным с точки зрения обеспечения информационной безопасности, ведь если нельзя обратиться к sim-карте напрямую, то этого не сделают ни хакеры, ни вредоносное программное обеспечение.

Порядок использования электронной подписи

В то же время, применяя PKI на sim-карте, пользователь получает универсальное решение, которое не требует разработки приложений под каждую отдельную платформу и защищено от атак с подменой документов из области приложений. Использование электронной подписи на sim-карте возможно по двум каналам: посредством sms (онлайн-канал), который, по сути, является вторым доверенным каналом в телефоне, или с помощью бесконтактной технологии NFC (оффлайн-канал).

Для понимания процесса формирования электронной подписи на sim-карте необходимы четыре компонента: телефон (или компьютер); электронный сервис (площадка для проведения электронного документооборота); платформа, которая обращается к удостоверяющему центру, в котором осуществляется проверка сертификата ключа подписи; и, наконец, оператор связи.

На любом компьютере или мобильном устройстве заполняется необходимая информация о документе, после чего генерируется запрос на электронную подпись. Запрос отправляется на проверку в электронный сервис, выявляющий значимую информацию, которую должен увидеть пользователь на телефоне для подтверждения (например, если это платёжное поручение, то нужна информация, кому, куда и сколько). Также данный сервис выделяет хэш документа, который, в свою очередь, отправляется на платформу.

После этого платформа идентифицирует пользователя, выявляет, чей он абонент и отправляет запрос на электронную подпись оператору сотовой связи, который, после проверки высылает на sim-карту пользователя серию зашифрованных sms-сообщений. Внешне данные сообщения похожи на применяемую в банках технологию 3D-Secure, однако они содержат большее количество информации по ключевым данным. Так, если это платёжное поручение, то в sms будут находиться ИНН, БИК и номер счёта получателя платежа, а также информация о сумме перечисляемых средств.

После всех операций пользователь получает сообщение с визуализацией подписываемых им данных и запросом на ввод pin-кода. Если он вводит верный pin-код, на sim-карте происходит подписание хэша, что соответствует требованиям закона №63-ФЗ "Об электронной подписи". В завершении подписанный хэш отправляется обратно оператору связи, на платформу и электронный сервис, где сравнивается отправленный и подписанный хэш. При условии совпадения пользователь получает уведомление об успешной подписи электронного документа.

Если используется технология NFC, то сформировать электронную подпись можно, приложив телефон к NFC-ридеру. При этом в качестве ридера может быть использован другой телефон, поддерживающий данную технологию. При подписании электронного документа телефоны нужно лишь поднести один к другому и подтвердить сделку, введя pin-код.

Таким образом, рынок созрел до новых массовых технологий. Использовать мобильный телефон в качестве средства формирования электронной подписи теперь можно совершенно легально как с точки зрения законодательных требований, так и с точки зрения технологий. При использовании предложенного подхода доработка мобильных операционных систем (iOS, Android, Windows и др.) не потребуется.

Преимущества для бизнеса

Так как телефон всегда под рукой, применение мобильной PKI обеспечивает массу преимуществ. В России, однако, по сравнению со странами Европы и Азии, эта технология пока недостаточно востребована. Если обратиться к статистике, то среди населения Финляндии, которое составляет 5,4 млн человек, пользователями мобильной PKI являются 3 млн человек, или более 55%. При этом с помощью мобильных телефонов они совершают порядка 500 млн транзакций в год.

Эти данные не могли не заинтересовать российских операторов сотовой связи, входящих в "Большую тройку". Их первым шагом в данном направлении стало принятие принципиального решения об использовании одной технологии, единых стандартов и требований к выдаче карт, API для встраивания и тому подобное. Для вывода новой технологии на рынок необходимо выстроить мощную инфраструктуру, которая будет затрагивать все аспекты работы новой технологии: от выдачи sim-карт до внедрения разработки на электронных сервисах. Именно поэтому сам факт использования единых стандартов и технологий должен дать мощный стимул к развитию в России электронных сервисов для физических лиц. Сервис же станет массовым тогда, когда будет выстроена необходимая платформа операторами сотовой связи.

Не секрет, что сегодня около 90% всех электронных сервисов разработаны для корпоративных клиентов. Постепенное насыщение массового рынка средствами электронной подписи способно изменить эту статистику. Компания Yota уже выдаёт sim-карты с поддержкой электронной подписи и технологии NFC, поэтому, возможно, проблема с нехваткой электронных сервисов для физлиц в скором времени останется в прошлом.

Положительное влияние на распространение мобильной PKI окажет и деятельность крупных ритейлеров и банков. Специалисты подсчитали, что средняя стоимость одного очного контакта с клиентом кредитной организации в среднем обходится в 850 руб. в Москве и 730 руб. в регионе. В эту сумму входит оплата помещения, коммунальных услуг, а также заработная плата работника, осуществляющего приём. Благодаря использованию электронной подписи на sim-карте точки ритейла смогут в несколько раз ускорить обслуживание, что снизит затраты и даст дополнительные преимущества перед конкурентами.

Кроме того, развитие технологии мобильной PKI позволит ускорить переход на безбумажный документооборот, что опять же приведёт к снижению накладных расходов (к слову, крупная компания или банк в месяц тратит до 9–12 тонн бумаги).