Електронен подпис

[----------]

Ето какъв е-mail получавам тези дни, който малко ме втриса  и аз се заемам да му напиша един проточен отговор в смисъла на "Нееее!, не си прави Електронен подпис!" Той ми обяснява, че...

Това просто ще ми спести време и създаде удобство.

а пък аз му отговарям така:

Да, де! Те точно така ти казват: бързо, лесно, вкусно ;D
Сега нека да ти разкажа малко за Електронния подпис. Това е технология, която удостоверява твоята самоличност чрез специална парола, разположена на части върху няколко отделни носителя, за да не може да бъде разбита. Съществува тенденция тази технология да навлезе масово в обществения живот и накрая да измести изцяло конвенционалното подписване с писалка върху хартия. Какво представлява тази технология?

1. За да използваш Електронен подпис, трябва да бъдеш регистриран в сървъра на компанията, която поддържа тази технология. Там се пазят данни за твоето ЕГН, лична карта, адреси, мое би занимания, биометрика etc., подобно на служба ЕСГРАОН, задвижена от комунистите в България с цел Единна регистрация на населението, която картотекира българския народ през шестдесетте и от тогава функционира с твоя единен граждански номер, зад който се крие цялата информация на държавата относно личността ти.

2. Изготвя ти се и ти се предоставя чип. Той прилича на smart-карта за дигитално апаратче и вътре е закодирана една част от твоята парола. Също така, предоставя ти се "четец за чипа" - нещо като USB-преходник, който завираш в дупката на компютъра и завираш чипа в него, за да направи контакт. Също, предоставен ти е CD с програма на фирмата, която трябва предварително да си инсталирал на компютъра, от който ще е-подписваш.

3. Когато задействаш вече инсталираната програма и тя верифицира, че чипът ти е свързан с компютъра, те пита за твоята част от паролата. Ти въвеждаш този код и програмата го изпраща заедно с паролата от чипа към сървъра на обслужващата те фирма. Вероятно тук има и контрол за ІР-достъп, и прочея данни за автентичност. Сървърът приема заявката (парола от чип и ръчно въведена парола), сверява я с базата данни и при правилен код я отнася към лицето-собственик.

4. Не ми е съвсем ясно, но доколкото знам, подписваният от теб документ бива изпратен в сървъра на обслужващата те фирма, за да може там да бъде конвертиран до стойността на едни идентификационен код. Конвертирането става на базата на съдържащите се върху документа данни (символи), които един вид биват сумирани и пресметнати по формула, даваща като резултат точен идентификационен код. Ако впоследствие промениш нещо в документа - дори и един интервал, една запетайка или "й" с "и", тогава пресмятането по формулата ще даде друг резултат, идентификационният код ще бъде различен и липсата на тъждество между първоначалния документ и последващия ще се установи.

5. Далеч съм от мисълта, че анализът на документите с цел изготвяне на идентификационен код няма да бъде използван и за прочитане на същите, за да се види кой с кого и какво договорира. Далеч съм и от тази мисъл, че един чисто Електронен подпис, който в крайна сметка е нещо от рода на

00111011 10011001
01010001 10000100
01000101 00011000
11010100 01010101
01000101 11100101
10110101 01101110
11110001 11001110
00111000 10101101
10101111 00110110
00110110 01101011

няма никога и при никакви обстоятелства да бъде copy-pasteнат от системния администратор и Законът да се произнесе с определението, че лицето е подписало този документ и този документ е неговата автентична воля! (Вече по закон във всички "напреднали страни", какъвто е и BG-щатът на EU!, признават Електронния подпис за напълно категорично доказателство, че това си ТИ.)

6. Следващата стъпка е доста лесно предвидима: поради факта, че е "бързо, лесно, вкусно", подписването на хартия все повече ще изгубва значението си и накрая ще бъде оставено като ретро-носталгия в книгите за гости и подписите на грамоти. По гишетата в банките и институциите наместо химикалка, завързана с въженце, за да не я откраднеш, ще се появи мъничък конектор, в който да завреш своя чип и клавиатура отдолу, подобна на тази от банкоматите! Излишно е да говорим за бързото, лесно и вкусно имплантиране на този чип, за да се пристъпи към окончателното справяне с проблемите на обществото

Разбира се, никой не отрича, че това "спестява време" и "създава удобство"! Какво обаче прави освен това, никой не ти казва, поне не в офисите на "Информационно обслужване"АД*!

*"Информационно обслужване"АД
е един от доставчиците на бъл-
гарския пазар, при който може
да бъде поръчан Е-подпис.

[Geo]

Излишна параноя, поне на този етап. Аутентикацията е трифакторна, иска се освен електронния сертификат и физическото присъствие на точно определена сим карта и въвеждането на парола. Комуникацията при ползване на ел. подпис винаги трябва да става през SSL, иначе казано не може да бъде подслушвана или подменяна. Единствените опасни точки са две - твоя компютър, ако бъде заразен или ако някой добие физически достъп до машината ти, сим картата и знание за паролатата ти (трудничко е и трите накуп, а?); сървърите на компанията, в която си ползвал подписа - а какво може да се вземе оттам зависи от дейността на компанията, но това не им дава възможност за ползване на твоя подпис...

Риск винаги има в технологиите, но не е ли така и във всички останали дейности?

[Log Viewer]

Комуникацията при ползване на ел. подпис винаги трябва да става през SSL, иначе казано не може да бъде подслушвана или подменяна.

SSL отдавна е доказано, че не е достатъчно сигурна. За сега най-доброто при комуникация е 256 енкриптиране + собствен ключ. Но това не е този електронен подпис за който иде реч.

[Geo]

Дай някой източник за несигурностите при SSL, защото до мен не е стигнала новината за разбиването му. Как мислиш, дали всички електронни транзакции щяха да се защитават с SSL, ако внучето на баба може да го кракне?

[----------]

Излишна параноя, поне на този етап.

Една от целите на масонския елит е да изстръгне способността у случайното население да предвижда в далечен план какво вещае една или друга стъпка. Наистина, на този етап е излишно и параноично да се притесняваме от електронните подписи. На един следващ етап обаче, когато този вид autenticация стане достатъчно масова, от доброволна ще се превърне в задължителна, а следващият стабилизиращ ход - имплантирането на чип и заменянето по този начи на всички неудобни документи за самоличност и за кредитен статус, ще стане съвсем "своевременно"... Излишно е да цитирам Библията на местата, в които говори за "белега на Звяра", без който "никой няма да може да купува или да продава" >

[pacificblue]

Дай някой източник за несигурностите при SSL, защото до мен не е стигнала новината за разбиването му. Как мислиш, дали всички електронни транзакции щяха да се защитават с SSL, ако внучето на баба може да го кракне?

Абе за внучето на баба не знам, но NSA ще се справи.  Преди време бях чел за група, която е разбила RSA (512 бита) за 10 часа. Използвали са 2000 и нещо PC-та в клъстер.  Има и много други методи. Ето ти един линк - http://www.schneier.com/essay-021.html
До скоро имаше забрана да се изнасят технологии с РСА над 512 бита от САЩ, а вече забранта отпадна, което ме навежда на мисълта, че може би са му намерили цаката. Предполагам се досещаш, че няма да го разтръбят по медиите.

[----------]

Всяка една поредица от нули и единици, колкото и уникална да е тя, може да бъде преписана и то по начин, който да бъде напълно идентичен с преписаната поредица - до степен, че копието да може да се каже, че е [същото като] оригинала...

00111011 10011001
01010001 10000100
01000101 00011000
11010100 01010101
01000101 11100101

е напълно равно на

00111011 10011001
01010001 10000100
01000101 00011000
11010100 01010101
01000101 11100101

Каквато и технология да бъде прилагана към електронното подписване, автентично размножителната копирателна способност на цифровата технология ще си остане проблем за невъзможността подписът да бъде фалшифициран.

[Geo]

@pacificblue - източника е доста стар, и въпреки, че говори за генерални неща, споменава и някои конкретни работи - като атаки на имплементации и пр., та не е зле да има и по-нови данни... Така или иначе, нищо интересно не видях във въпросния документ.

@flyDragon - серията нули и единици се нарича "документ, подписан с електронен подпис", да речем ДПЕП. Той се разпространява заедно с Public Key, публичен ключ, като този, които има публичния ключ, може да прочете документа. Публичния ключ се генерира от частния ключ (Private Key), който е неизменна част и сърцевината на електронния подпис. Често, за допълнителна сигурност, частният ключ е задължително да се извлече от SMART карта, т.е. се въвежда двуфакторно разпознаване - по знанието - таен ключ плюс притежанието на обект - SMART картата.

При подписването чрез тайния ключ и смарт картата се генерира публичен ключ, който е уникален за комбинацията подписан документ + таен ключ. Няма начин някой, който не разполага с тайния ти ключ да подпише документа така, че да изглежда че ти си го подписал. Публичния ключ е уникален.

Иначе казано, някой може да разпространява подписани от теб нули единици, но какво от това, нали ТИ си ги подписал? Ако не си ги подписал, каквито и нули и единици да разпространява, не може да ги свърже с теб...

Разбира се, тайният ключ и смарт картата винаги трябва да се пазят както си пазиш дебитната или кредитната карта, личната карта, акта за раждане...

За сравнение, последните проучвания показват, че само 25% от кражбите на самоличност или лични данни стават по интернет, в останалите 75% от случаите са използвани други методи. Да не говорим, че хартиените подписи се фалшифицират много по-лесно от електронните...

[Alien]

Да не говорим, че хартиените подписи се фалшифицират много по-лесно от електронните...

Да ама и после много по лесно при едно изследване може да се докаже че са фалшифицирани докато ако се стигне до това да се докаже че електронния подпис е фалшив нещата ще се забатачат още повече.

[Geo]

Такова нещо като фалшив електронен подпис няма :-D

Има вариант някой да се сдобие с тайния ти ключ и смарт картата ти, ако не си ги пазиш както следва. В този случай ще си виновен ти, ако не си предупредил навреме за кражбата, макар че дори и да не си има много повече технологични средства за засичане на това кога откъде и как е подписан даден документ или е извършена дадена транзакция, отколкото удостоверяването на полагането на подписа (подкупни нотариуси ;-))

[----------]

00111011 10011001
01010001 10000100
01000101 00011000
11010100 01010101
01000101 11100101

Всеки път - едно и също!...

[Magnolia]

Такова нещо като фалшив електронен подпис няма :-D

Има вариант някой да се сдобие с тайния ти ключ и смарт картата ти, ако не си ги пазиш както следва. В този случай ще си виновен ти, ако не си предупредил навреме за кражбата,

Е, да, то това ще се случи, така или иначе..Те го знаят. За това си говорим.
И виновниците ще бъдат чипосани, щом не "слушат".

[extazo]

Погрешна е точката, че документа се изпраща до фирмата доставчик на електронен подпис.
Мисля, че Гео долу горе добре обясни идеята, това е асиметричен алгоритъм за криптиране, което означава, че се криптира с един ключ а се декриптира с друг (този алгоритъм плюс идеята за едно-посочна хеш функция е цялата схема). Еднопосочната хеш функция с голяма точност подписва данни, разбира се случват се колизии тъй като не  може в 16 байта да кодираш уникално всичко.
Що се отнася до сл, самия СЛ не е алгоритъм за криптиране, той ползва имплементиращ алгоритъм за криптиране(най-често РСА) и ключ (256бит за сега) .
РСА е доказан, че няма слабости и времето за \"crack\" е експоненциално зависимо от дължината на ключа (някои алгоритми имат слабости и дори да увеличиш дължината на криптиращия ключ, времето за crackване остава константа).
Може ли да се crackne РСА(и всеки друг алгоритъм) - без съмнение.