IV. ПОЛОЖЕНИЕ ОБ УДОСТОВЕРЯЮЩЕМ ЦЕНТРЕ СЛУЖБЫ ДОВЕРЕННОЙ ТРЕТЬЕЙ СТОРОНЫ ИНТЕГРИРОВАННОЙ ИНФОРМАЦИОННОЙ СИСТЕМЫ ЕВРАЗИЙСКОГО ЭКОНОМИЧЕСКОГО СОЮЗА

5. Стоимость услуг

УЦ службы ДТС осуществляет выпуск сертификатов для обеспечения функционирования службы ДТС на безвозмездной основе.

6. Перечень ключевых носителей

УЦ службы ДТС в качестве ключевых носителей использует:

доверенное вычислительное устройство (ДВУ) ЭЦП (информация хранится на SSD-диске из состава ДВУ) согласно модели угроз, утвержденной Решением Коллегии ЕЭК от 29.08.2017 N 101 ДСП;

индивидуальные ключевые носители - специально подготовленные USB-flash носители.

Часть ключевой информации, необходимой для инициализации ключа ЭЦП сохраняется в ДВУ, а часть на USB-flash носителе. В ДВУ и на USB-flash носителях информация хранится в защищенном виде.

Инициализация ключей и работа с ключами ЭЦП выполняются исключительно в ДВУ ЭЦП и только при предъявлении соответствующего USB-flash носителя и успешной аутентификации владельца ключа ЭЦП.

7. Порядок плановой смены ключей ЭЦП УЦ службы ДТС

Плановая смена ключей ЭЦП УЦ службы ДТС выполняется не ранее чем по истечении 1 года и не позднее чем по истечении 1 года и 3 месяцев с даты начала действия ключей ЭЦП УЦ в соответствии с требованиями используемого средства ЭЦП.

Процедура плановой смены ключа ЭЦП осуществляется в следующем порядке:

администратор сертификации УЦ службы ДТС совместно с администратором информационной безопасности УЦ службы ДТС формируют новый ключ ЭЦП и соответствующий ему ключ проверки ЭЦП;

формируется и сохраняется в реестре сертификатов самоподписанный сертификат УЦ службы ДТС;

сертификат сохраняется на съемный носитель и устанавливается на сервер УЦ службы ДТС.

Неактуальный ключ ЭЦП УЦ службы ДТС используется только для формирования списков отозванных сертификатов в электронной форме, изданных УЦ службы ДТС в период его действия.

Уведомление пользователей о плановой смене ключей ЭЦП УЦ службы ДТС осуществляется путем публикации нового сертификата УЦ службы ДТС в репозитории УЦ службы ДТС.

Внеплановая смена ключей ЭЦП УЦ службы ДТС выполняется в случае компрометации ключа ЭЦП УЦ службы ДТС или в случае возникновения физической неисправности аппаратной части средств ЭЦП (ДВУ и (или) USB-flash носителя) либо при сбое программного обеспечения, приводящего к невозможности использования средств ЭЦП.

При отсутствии подозрения на компрометацию ключа ЭЦП УЦ службы ДТС смена ключа выполняется в соответствии с порядком плановой смены ключей, указанным в пункте 7 настоящего Регламента.

Процедура смены ключа ЭЦП при его компрометации (или подозрения на компрометацию) осуществляется в следующем порядке:

администратором сертификации УЦ службы ДТС совместно с администратором информационной безопасности УЦ службы ДТС генерируется новая ключевая пара и изготавливается новый сертификат в соответствии с порядком плановой смены ключей, указанным в пункте 7 настоящего Регламента.

выполняется односторонняя кросс-сертификация соответствующего скомпрометированному ключу корневого сертификата УЦ службы ДТС (кросс-сертификат подписывается на новом ключе ЭЦП УЦ службы ДТС);

выполняется процедура аннулирования (отзыва) скомпрометированного корневого сертификата УЦ службы ДТС. Формируемый список отозванных сертификатов подписывается на новом ключе ЭЦП УЦ службы ДТС.

Информирование владельцев сертификатов о внеплановой смене ключей производится путем оповещения с использованием телефонной связи.

При внеплановой смене ключей ЭЦП УЦ службы ДТС администратор ДТС должен получить новый корневой сертификат УЦ службы ДТС, созданный кросс-сертификат, выполнить их установку и осуществить обновление локальных списков отзыва на соответствующих серверах ДТС.

9.1. Подача заявления на выпуск сертификата

Заявление на выпуск сертификата подается в УЦ службы ДТС в форме документа на бумажном носителе, подлинность реквизитов которого проверяется согласно приложению N 2 к настоящему Регламенту. Заявление должно быть заверено подписью заявителя, а также печатью организации - оператора соответствующего ДТС, для которого запрашивается сертификат, либо заверено нотариально в соответствии с законодательством государства-члена по форме согласно приложению N 3 к настоящему Регламенту.

Перечень организаций-операторов сервисов службы ДТС определяется решением Комиссии.

Заявления на выпуск сертификата сервиса подтверждения подлинности ДТС и сертификата службы штампов времени ДТС могут подаваться только уполномоченными сотрудниками организации-оператора ДТС.

При подаче заявлений на выпуск сертификата сервиса подтверждения подлинности (СПП) ДТС и сертификата службы штампов времени ДТС уполномоченным сотрудником организации-оператора ДТС учитывается наличие в ДТС основного и резервного серверов сервисов ДТС. Для обеспечения сертификатами сервисов одной ДТС в УЦ службы ДТС подаются 4 заявления:

для СПП основного сервера ДТС;

для СПП резервного сервера ДТС;

для СШВ основного сервера ДТС;

для СШВ резервного сервера ДТС.

С заявлениями на выпуск сертификатов ключей проверки ЭЦП сервисов ДТС заявитель предоставляет в УЦ службы ДТС файлы запросов на сертификат ключа проверки ЭЦП в формате PKCS#10 на отчуждаемом носителе (CD или DVD диске), сгенерированные заявителем непосредственно на сервере соответствующего ДТС.

При смене ключей ЭЦП, в случае, если персона заявителя не меняется, допускается упрощенная подача заявления без прибытия в Комиссию (кроме случаев компрометации ключа ЭЦП) путем пересылки в УЦ службы ДТС носителя с файлом запроса на выпуск сертификата. Запросы на выпуск сертификата, передаваемые в УЦ службы ДТС без личного прибытия в Комиссию, должны быть подписаны на действующем ключе ЭЦП сервиса подтверждения подлинности соответствующей подсистемы ДТС.

9.2. Обработка заявления на выпуск сертификата

После успешной аутентификации заявителя администратор сертификации совместно с администратором информационной безопасности УЦ службы ДТС проверяют соответствие идентификационной информации данным, содержащимся в заявлении на выпуск сертификата. Запрос на выпуск сертификата сохраняется в базе данных. При первоначальной регистрации идентификационная информация также заносится в базу данных и заявителю выдается парольная фраза для оперативной аутентификации при запросе отзыва сертификата по телефону.

Заявление на выпуск сертификата передается на обработку в случае, если выполнены следующие требования:

заявитель прошел процедуру аутентификации в соответствии с пунктом 23.2 настоящего Регламента;

файл запроса на сертификат соответствует установленному формату (формат запроса указан в приложении N 1 к настоящему Регламенту), идентификационные данные в запросе совпадают с данными, указанными в заявлении на бумажном носителе;

уникальное имя DN в запросе соответствует требованиям пункта 23.1.1 настоящего Регламента;

алгоритм генерации ключей и подписи запроса является совместимым с используемым в УЦ службы ДТС.

Если хотя бы одно из приведенных требований не выполнено, то заявление на выпуск сертификата отклоняется с обязательным уведомлением заявителя.

9.3. Срок обработки заявления на выпуск сертификата

Обработка заявления на выпуск сертификата производится в течение 1 рабочего дня. В случае если УЦ службы ДТС требуются дополнительные данные для аутентификации заявителя, срок обработки может быть увеличен.

10.1. Выпуск сертификата сервера СДТС

При выпуске сертификата сервера СДТС заявитель предоставляет в УЦ службы ДТС файл запроса в установленном формате, сгенерированный заявителем непосредственно на сервере СДТС. Администратор сертификации УЦ службы ДТС проверяет наличие идентификационной информации из заявления в базе данных УЦ службы ДТС и осуществляет выпуск сертификата на основе файла запроса по шаблону "Сервер СДТС".

Шаблоны сертификатов приведены в приложении N 1 к настоящему Регламенту.

10.2. Выпуск сертификата сервера СПСС

При выпуске сертификата сервера СПСС заявитель предоставляет в УЦ ДТС файл запроса в установленном формате, сгенерированный заявителем непосредственно на сервере СПСС. Администратор сертификации УЦ службы ДТС проверяет наличие идентификационной информации из заявления в базе данных службы ДТС и осуществляет выпуск сертификата на основе файла запроса по шаблону "Сервер СПСС".

Шаблоны сертификатов приведены в приложении N 1 к настоящему Регламенту.

10.3. Выпуск сертификата сервера СШВ

При выпуске сертификата сервера СШВ заявитель предоставляет в УЦ службы ДТС файл запроса в установленном формате, сгенерированный заявителем непосредственно на сервере функционирования СШВ. Администратор сертификации УЦ службы ДТС проверяет наличие идентификационной информации из заявления в базе данных УЦ и осуществляет выпуск сертификата на основе файла запроса по шаблону "Сервер СШВ".

Шаблоны сертификатов приведены в приложении N 1 к настоящему Регламенту.

10.4. Уведомление владельца о выпуске сертификата

После выпуска сертификатов по запросу от оператора ДТС, переданного при личном прибытии уполномоченного представителя в УЦ, администратор УЦ службы ДТС уведомляет владельца о выпуске сертификата путем передачи представителю оператора сертификата на бумажном носителе и сертификата в электронном виде на съемном носителе.

После выпуска сертификата по запросу от оператора ДТС, переданному без личного прибытия уполномоченного представителя в УЦ, администратор УЦ службы ДТС уведомляет владельца о выпуске сертификата посредством телефонной связи либо отправкой почтового сообщения с приложением выпущенного сертификата в электронном виде. Дополнительно в адрес владельца сертификата высылается сертификат на бумажном носителе.

11.1. Подтверждение принятия сертификата

Владельцу сертификата вместе с сертификатом в электронной форме выдается сертификат в форме бумажного документа. Владелец при приеме сертификата обязан ознакомиться с идентификационной информацией, включенной в состав сертификата. В случае если идентификационная информация корректна, владелец заверяет сертификат на бумажном носителе собственноручной подписью. Один экземпляр сертификата на бумажном носителе выдается владельцу, второй экземпляр передается на архивное хранение в УЦ службы ДТС.

Факт подписания сертификата в форме документа на бумажном носителе является подтверждением принятия сертификата.

11.2. Публикация сертификата

Выданный сертификат публикуется на сервере УЦ службы ДТС.

11.3. Срок создания и выдачи сертификата

Срок создания и выдачи сертификата не превышает одного рабочего дня с момента подачи заявления и подтверждающих документов.

12. Использование ключей и сертификатов

Цели использования ключей и сертификатов зависят от политики, в соответствии с которой выдан сертификат.

12.1. Ключ и сертификат сервера СДТС

Ключ ЭЦП сервера СДТС используется исключительно для формирования ЭЦП в квитанциях проверки ЭЦП и запросах на проверку к СДТС национальных сегментов в автоматическом режиме.

Сертификат сервера СДТС включается в состав квитанций и запросов и используется для проверки ЭЦП в данных квитанциях и запросах, а также идентификации сервера СДТС.

12.2. Ключ и сертификат сервера СПСС

Ключ ЭЦП сервера СПСС используется только для формирования ЭЦП в OCSP-ответах службы в режиме доверенного ответчика в автоматическом режиме.

Сертификат СПСС включается в структуру OCSP-ответов сервиса и используется для проверки ЭЦП в OCSP-ответе и идентификации СПСС.

12.3. Ключ и сертификат сервера СШВ

Ключ ЭЦП сервера СШВ используется только для формирования ЭЦП в штампах времени, выдаваемых службой по запросам СДТС.

Сертификат СШВ включается сервером сервиса в структуру выдаваемых штампов времени и используется для проверки ЭЦП в штампах времени и идентификации службы.

13. Обновление сертификата

Обновление сертификата для существующей ключевой пары не производится. Каждый сертификат выпускается с новой ключевой парой.

14. Обновление ключей

Обновление ключей подразумевает выдачу нового сертификата для новой ключевой пары зарегистрированного владельца сертификата. Процедуры идентификации и выпуска сертификата с новыми ключами аналогичны процедурам первоначальной регистрации и выполняются в соответствии с пунктом 23.2 настоящего Регламента.

15. Изменение данных, включаемых в сертификат

УЦ службы ДТС не производит модификацию сертификатов. При изменении идентификационных данных, включаемых в сертификат, производится выпуск нового сертификата с новой ключевой парой в соответствии с пунктом 20.2 настоящего Регламента.

16.1. Основания для отзыва сертификата

Сертификат ключа проверки ЭЦП, выданный УЦ службы ДТС, подлежит отзыву в случае компрометации ключа ЭЦП согласно пункту 30.3 настоящего Регламента, а также в случае, когда информация, включаемая в сертификат, является неточной или неполной.

Приостановление действия сертификата не поддерживается.

16.2. Запрос на отзыв сертификата

Отзыв сертификата, выданного УЦ службы ДТС, может запросить владелец сертификата или руководитель УЦ службы ДТС в письменной форме.

16.3. Передача запроса на отзыв сертификата

Запрос на отзыв сертификата может быть передан в УЦ службы ДТС с использованием оптического съемного носителя CD/DVD. При этом запрос подписывается с использованием ключа отзываемого сертификата, выданного УЦ службы ДТС. Запрос на отзыв может быть передан в УЦ службы ДТС также по телефонной связи с аутентификацией владельца сертификата по парольной фразе, назначаемой при первоначальной регистрации.

После передачи запроса на отзыв в УЦ службы ДТС владелец сертификата должен предоставить заявление на отзыв сертификата на бумажном носителе, заверенное личной подписью владельца сертификата, подписью уполномоченного лица и печатью органа (организации) оператора ДТС либо заверенное нотариально в соответствии с национальным законодательством. Форма заявления приведена в приложении N 4 к настоящему Регламенту.

16.4. Допустимые сроки задержки обработки запроса на отзыв сертификата

Запрос на отзыв сертификата обрабатывается в течение 1 рабочего дня.

17. Требования к проверке статуса сертификата доверяющей стороной

Доверяющая сторона, получив электронный документ с ЭЦП, обязана проверить сертификат ключа проверки ЭЦП по протоколу проверки статусов сертификатов в оперативном режиме либо по списку отозванных сертификатов, если СПСС недоступен. Если сертификат, при помощи которого проверяется ЭЦП документа, содержится в списке отозванных сертификатов, то такой документ отклоняется доверяющей стороной.

17.1. Частота выпуска СОС

Список отозванных сертификатов выпускается УЦ службы ДТС сразу же после обработки запроса на отзыв сертификата, но не реже 1 раза в 3 месяца (даже при отсутствии изменений в списке), и публикуется в репозитории по адресам:

http://00.DTS.EEC;

http://01.DTS.EEC.

17.2. Максимальное время задержки публикации СОС

Список отозванных сертификатов публикуется на сервере УЦ службы ДТС непосредственно после выпуска. Максимальное время задержки публикации составляет 1 час.

17.3. Сервис проверки сертификатов в режиме реального времени

УЦ службы ДТС оказывает услуги проверки сертификатов в режиме реального времени. Услуга данного типа предоставляется по протоколу OCSP, описанному в RFC 6960.

Протокол OCSP позволяет получать информацию о статусе сертификата без необходимости получения и проверки полного списка CRL.

Протокол OCSP действует на основе модели запрос - ответ. В ответ на каждый запрос сервер СПСС, входящий в структуру УЦ службы ДТС, пересылает следующую стандартную информацию о статусе сертификата:

правильный (англ. good) - означает положительный ответ на запрос, который следует однозначно интерпретировать как удостоверение того, что сертификат является действительным;

отозванный (англ. revoked) - означает, что сертификат отозван;

неизвестный (англ. unknown) - означает, что проверяемый сертификат не был выдан УЦ службы ДТС.

Сервис OCSP генерирует ответ, основываясь на СОС УЦ службы ДТС.

18. Особые требования при замене скомпрометированной пары ключей

При компрометации ключей соответствующий сертификат немедленно заносится в СОС и выдача нового сертификата производится в порядке, предусмотренном для первоначальной регистрации.

19. Основания приостановки действия сертификатов

УЦ ДТС не приостанавливает действие выданных сертификатов.

20.1. Способы информирования о статусе сертификатов, выданных УЦ службы ДТС

Информацию о статусе сертификатов, выданных УЦ службы ДТС, можно получить на основе СОС, публикуемых в репозитории УЦ службы ДТС, а также по протоколу OCSP. Информация о доступе к серверу службы OCSP содержится в каждом выданном сертификате.

20.2. Доступность сервиса

Услуги по проверке статуса сертификата доступны 24 часа в сутки, 7 дней в неделю.

21. Депонирование и восстановление ключей

УЦ службы ДТС не осуществляет депонирование и восстановление ключей.

22. Репозиторий

Репозиторий является совокупностью файлов и каталогов, размещенных на сервере УЦ службы ДТС. Репозиторий содержит сертификаты, списки отозванных сертификатов и настоящий Регламент.

Вся информация, опубликованная УЦ службы ДТС в его репозитории, доступна по следующим адресам:

http://00.DTS.EEC,

http://01.DTS.EEC

Репозиторий содержит следующую информацию:

все выданные УЦ службы ДТС сертификаты;

актуальные списки отозванных сертификатов;

политики управления сертификатами, утвержденные руководителем УЦ службы ДТС;

актуальную версию настоящего Регламента.

Информация в репозитории публикуется со следующей периодичностью:

сертификаты, выданные УЦ службы ДТС, - непосредственно сразу после выпуска нового сертификата;

списки отозванных сертификатов - не реже 1 раза в 3 месяца и немедленно в случае отзыва ранее выданных сертификатов;

новая версия настоящего Регламента - по факту ее утверждения.

УЦ службы ДТС использует механизмы защиты, предотвращающие несанкционированное добавление, удаление или изменение записей в репозитории.

Доступ к репозиторию обеспечивается 24 часа в сутки, 7 дней в неделю.

УЦ не ограничивает доступ к размещенным сертификатам и СОС по протоколу http.

23.1.1. Типы имен

Идентификационные данные владельцев сертификатов, а также идентификационные данные УЦ службы ДТС, указываемые в сертификатах, должны представлять собой отличительное имя (DN), закодированное в соответствии с Рекомендациями X.500. Отличительное имя должно быть уникальным в рамках УЦ службы ДТС.

Состав и формат компонентов отличительного имени должны соответствовать рекомендациям X.501.

Требования к компонентам имени (к идентификационной информации владельца сертификата) приведены в таблице 1.

Таблица 1

Имя DN предлагается лицом, представляющим заявление в УЦ службы ДТС. Если данное имя соответствует общим требованиям и является уникальным, т.е. не совпадает с DN другого владельца сертификата, уже зарегистрированного в УЦ службы ДТС, то оно принимается в качестве идентификационных данных и заносится в УЦ службы ДТС при регистрации владельца сертификата.

Для обеспечения уникальности имени DN операторы УЦ службы ДТС могут добавлять различительные символы в компонент CN отличительного имени.

23.1.2. Анонимные сертификаты

УЦ службы ДТС не выпускает анонимные сертификаты. В качестве псевдонимов используются наименования служб и сервисов.

23.2. Процедуры идентификации и аутентификации пользователей УЦ службы ДТС и первоначальной регистрации

Регистрация пользователей УЦ службы ДТС осуществляется, когда физическое лицо, подающее заявление на выпуск сертификата, не имеет ни одного действительного сертификата, выданного УЦ службы ДТС.

После успешной проверки предоставленных данных заявитель вносится в список уполномоченных пользователей УЦ службы ДТС и получает парольную фразу для оперативной идентификации при запросе на отзыв. Заявление на выпуск сертификата обрабатывается и осуществляется выпуск сертификата.

Процедура идентификации определяется утвержденными руководителем УЦ службы ДТС политиками сертификатов.

23.2.1. Порядок идентификации и аутентификации при запросе сертификата сервера сервиса подтверждения подлинности ДТС

При подаче заявления на выпуск сертификата идентификация заявителя осуществляется только при личном обращении в УЦ службы ДТС. Заявитель обязан предоставить следующие документы:

заявление на выпуск сертификата на бумажном носителе;

паспорт физического лица, предоставляющего заявку на сертификат;

доверенность на право получения сертификата, выданную организацией - оператором ДТС на имя заявителя;

копию приказа или выписку из приказа по организации о назначении ответственного за эксплуатацию программно-аппаратного комплекса (далее - ПАК) ДТС, заверенную руководителем организации.

Если паспорт, удостоверяющий личность заявителя, является подлинным и фотография в документе является фотографией предъявителя, а заявитель входит в список уполномоченных лиц ДТС (представленный ранее оператором ДТС по электронной почте), то заявитель считается аутентифицированным.

Полномочия заявителя считаются подтвержденными, если подписи и печати организации на доверенности и копии приказа (выписке) являются подлинными (либо доверенность заверена нотариально в соответствии с национальным законодательством), а организация, выдавшая доверенность, входит в перечень организаций - операторов ДТС.

Проверка подлинности документов производится в соответствии с приложением N 2 к настоящему Регламенту.

23.2.2. Порядок идентификации и аутентификации при запросе сертификата сервиса проверки статуса сертификата

При подаче заявления на выпуск сертификата идентификация заявителя осуществляется только при личном обращении в УЦ службы ДТС. Заявитель обязан предоставить следующие документы:

заявление на выпуск сертификата на бумажном носителе;

паспорт физического лица, предоставляющего заявку на сертификат;

доверенность на право получения сертификата СПСС, выданную организацией - оператором УЦ службы ДТС на имя заявителя;

копию приказа или выписку из приказа по организации о назначении ответственного за эксплуатацию СПСС, заверенную руководителем организации.

Если паспорт, удостоверяющий личность заявителя, является подлинным и фотография в документе является фотографией предъявителя, то заявитель считается аутентифицированным.

Полномочия заявителя считаются подтвержденными, если подписи и печати организации на копии приказа (выписке) являются подлинными (либо доверенность заверена нотариально в соответствии с национальным законодательством), а организация, выдавшая доверенность, входит в перечень организаций - операторов ДТС.

Проверка подлинности документов производится в соответствии с приложением N 2 к настоящему Регламенту.

23.2.3. Порядок идентификации и аутентификации при запросе сертификата сервиса штампов времени

При подаче заявления на сертификат СШВ идентификация заявителя осуществляется только при личном обращении в УЦ службы ДТС. Заявитель обязан представить следующие документы:

заявление на выпуск сертификата на бумажном носителе;

паспорт физического лица, предоставляющего заявку на сертификат;

доверенность на право получения сертификата СШВ, выданную оператором ДТС на имя заявителя;

копию приказа или выписку из приказа по организации о назначении ответственного за эксплуатацию СШВ (или ПАК ДТС), заверенную руководителем организации.

Если паспорт, удостоверяющий личность заявителя, является подлинным и фотография в документе является фотографией предъявителя, то заявитель считается аутентифицированным.

Полномочия заявителя считаются подтвержденными, если подписи и печати организации на доверенности копии (выписке) приказа являются подлинными (либо доверенность заверена нотариально в соответствии с национальным законодательством), заявитель назначен ответственным за эксплуатацию СШВ (ПАК ДТС), а организация является оператором СШВ (ПАК ДТС).

Проверка подлинности документов производится в соответствии с приложением N 2 к настоящему Регламенту.

23.2.4. Идентификация и аутентификация при обновлении ключей

Идентификация и аутентификация при подаче заявления на выпуск сертификата при плановой смене ключей производится в порядке, аналогичном порядку первоначальной идентификации, описанному в данном пункте настоящего Регламента, в зависимости от политики сертификата.

23.2.5. Идентификация и аутентификация при подаче запроса после отзыва сертификата

Идентификация и аутентификация при подаче запроса после отзыва сертификата производится в порядке, аналогичном порядку первоначальной идентификации, описанном в данном пункте настоящего Регламента, в зависимости от политики сертификата.

23.2.6. Идентификация и аутентификация при отзыве сертификата

Аутентификация при подаче запроса на отзыв осуществляется по парольной фразе, выдаваемой в процессе первоначальной регистрации. Для оперативной обработки запроса на отзыв владелец сертификата при обращении в УЦ службы ДТС должен назвать свои имя, фамилию, должность и парольную фразу.

Если идентификационные данные владельца сертификата, содержащиеся в базе данных УЦ службы ДТС, и выданная парольная фраза совпадают с указанными при обращении, то владелец сертификата считается аутентифицированным и запрос на отзыв передается на обработку.

При подаче запроса на отзыв с использованием съемного носителя аутентификация пользователя осуществляется путем проверки ЭЦП запроса.

Если идентификационные данные владельца сертификата содержатся в базе данных УЦ службы ДТС и ЭЦП в сообщении верна, то пользователь считается аутентифицированным и запрос обрабатывается.

24. Физические, организационные и эксплуатационные меры обеспечения безопасности

В данном разделе описаны основные мероприятия в области контроля средств физической, организационной защиты и действий персонала, проводимые в УЦ службы ДТС.

24.1. Физические меры обеспечения безопасности

УЦ службы ДТС размещается в контролируемой зоне - пространстве, в пределах которого осуществляется контроль за пребыванием и действиями лиц и (или) транспортных средств.

Физической границей контролируемой зоны УЦ службы ДТС являются ограждающие конструкции, периметры помещений, в которых размещены технические средства, используемые для получения сертификатов пользователей УЦ службы ДТС, расположенные в Комиссии по адресу размещения УЦ службы ДТС.

24.2. Физический доступ

Помещения УЦ службы ДТС расположены в Комиссии и оборудованы системой контроля и управления доступом. Доступ в помещения УЦ службы ДТС разрешен только авторизованному персоналу и иным лицам в сопровождении ответственного сотрудника УЦ службы ДТС.

24.3. Электроснабжение и кондиционирование воздуха

В случае пропадания основного питания система автоматически переходит на резервное питание от источников бесперебойного питания.

Серверное помещение УЦ службы ДТС оснащено системой кондиционирования воздуха и вентиляции, поддерживающей следующие параметры микроклимата:

температура воздуха в пределах от 18 до 24 °C (предельная скорость ее изменения - 3 °C в час);

влажность воздуха от 30 до 75 процентов без конденсации влаги (предельная скорость ее изменения - 6 процентов в час);

предельное содержание пыли - не более 10 - 6 г/м3.

24.4. Подверженность воздействию влаги

Местоположение УЦ службы ДТС не подвержено природным рискам наводнения.

24.5. Противопожарные меры безопасности и защита

Серверное помещение УЦ службы ДТС оборудовано системой автоматического пожаротушения в соответствии с ГОСТ Р 53246-2008 и Правилами противопожарного режима в РФ, утвержденными Постановлением Правительства Российской Федерации от 2 апреля 2012 года N 390.

24.6. Хранение носителей информации

Для резервного копирования в УЦ службы ДТС используются USB носители. Носители, на которых хранятся архивы, а также текущие копии данных хранятся в огнестойких сейфах, расположенных в административных помещениях.

24.7. Утилизация носителей информации

Ключевые носители форматируются в соответствии с эксплуатационной документацией и вновь используются для хранения ключей.

Аппаратные криптографические модули (HSM) по окончании использования обнуляются в соответствии с эксплуатационной документацией производителя. Обнуление HSM производится также при передаче в сервисный центр в случае их выхода из строя.

25.1. Квалификация персонала

Обслуживающий персонал должен уметь выполнять все необходимые процедуры, определяемые эксплуатационной документацией, разрабатываемой на стадии ввода в действие, и знать:

базовые понятия технологии открытых ключей;

нормативно-правовые основы деятельности удостоверяющих центров и юридически значимого электронного документооборота;

назначение, основные характеристики и реализуемые алгоритмы программного комплекса УЦ службы ДТС;

порядок организации работы с документами при обеспечении деятельности сервисов УЦ службы ДТС;

порядок обработки персональных данных.

25.2. Документация, предоставляемая персоналу

Руководство УЦ службы ДТС предоставляет персоналу УЦ доступ к документам, необходимым для выполнения должностных обязанностей.

26.1. Типы регистрируемых событий

ПАК УЦ службы ДТС регистрирует следующие виды событий:

системные события общесистемного программного обеспечения;

помещение запроса на сертификат проверки ЭЦП;

принятие запроса на сертификат проверки ЭЦП;

выпуск сертификата ключа проверки ЭЦП;

отклонение запроса на сертификат проверки ЭЦП;

выпуск списка отозванных сертификатов проверки ЭЦП;

невыполнение внутренней операции программной компоненты.

Структуры записей событий соответствуют эксплуатационной документации программного обеспечения реализации целевых функций удостоверяющего центра и общесистемного программного обеспечения.

26.2. Частота обработки записей регистрируемых событий

Анализ записей регистрируемых событий ежедневно проводится администратором аудита. В случае возникновения инцидентов безопасности анализ записей регистрируемых событий проводится в рамках расследования данных инцидентов.

26.3. Срок хранения записей регистрируемых событий

Записи регистрируемых событий хранятся в файлах на системном диске до момента превышения заданных для них максимальных значений объема. В этот период времени они доступны в оперативном режиме по запросу уполномоченного лица или уполномоченного процесса. По истечении данного срока создается резервная копия журналов событий на отчуждаемых носителях.

Резервные копии журналов событий хранятся в течение установленного срока, не менее 7 лет.

26.4. Защита записей регистрируемых событий

Журналы событий защищены от просмотра, модификации и удаления средствами прикладного и общесистемного программного обеспечения.

26.5. Условия сбора записей аудита

Регистрируемые события автоматически записываются в журналы средствами прикладного и общесистемного программного обеспечения.

26.6. Уведомление субъекта события, вносимого в журнал регистрации

При записи события в журнал регистрации уведомление субъекта этого события не производится.

27. Анализ уязвимостей

Администратор аудита при периодическом просмотре журналов событий в соответствии с эксплуатационной документацией анализирует содержимое журналов на предмет отсутствия записей о попытках несанкционированного доступа (далее - НСД) к программно-техническим средствам УЦ. При наличии записей о попытках НСД о данном факте сообщается администратору информационной безопасности.

28.1. Типы архивных записей

В УЦ службы ДТС архивации подлежат следующие типы данных:

получаемые заявки, выдаваемые сертификаты и СОС, имеющие электронную форму, которые поступили от конечного пользователя или были ему переданы в форме файла или электронного сообщения;

регистрационные данные пользователей;

реестр выданных сертификатов;

журналы аудита;

внутренняя и внешняя корреспонденция (в бумажной и электронной форме) УЦ службы ДТС с пользователями, а также доверяющими сторонами;

документы и данные, использованные в процессе удостоверения личности.

28.2. Срок хранения архива

УЦ службы ДТС хранит архив на протяжении всего срока эксплуатации УЦ, от момента запуска УЦ службы ДТС в промышленную эксплуатацию до момента прекращения его деятельности.

28.3. Защита архива

Архив УЦ службы ДТС размещается на контролируемой территории. Доступ к архиву имеют только уполномоченные лица, выполняющие доверенные роли в УЦ службы ДТС.

28.4. Резервное копирование архива

Вся архивируемая информация в электронном виде копируется на внешние автономные носители.

28.5. Восстановление данных из резервной копии архива

Восстановление данных из резервной копии выполняется оператором в соответствии с эксплуатационной документацией. Проверка целостности данных резервной копии выполняется автоматически штатными средствами программного обеспечения УЦ службы ДТС непосредственно перед восстановлением данных. При нарушении целостности восстановление данных из резервной копии не выполняется.

29. Замена ключей и сертификата уполномоченного лица УЦ службы ДТС

Ключ ЭЦП уполномоченного лица УЦ службы ДТС заменяется не реже 1 раза в 3 года. Замена ключа сопровождается заменой сертификата ключа проверки ЭЦП уполномоченного лица.

Все владельцы сертификатов ключей проверки ЭЦП обязаны получить новый сертификат уполномоченного лица УЦ службы ДТС из репозитория УЦ службы ДТС и установить его на СДТС без удаления предыдущего сертификата.

30.1. Процедура восстановления в случае компрометации

При компрометации ключа ЭЦП уполномоченного лица УЦ службы ДТС УЦ службы ДТС изготавливает внеочередной список отзыва сертификатов, после чего производится смена ключей и сертификата уполномоченного лица УЦ службы ДТС.

УЦ службы ДТС обязан принять все возможные меры по информированию владельцев сертификатов и доверяющих сторон о факте компрометации и в кратчайшие сроки произвести замену всех выданных сертификатов, используя новый сертификат уполномоченного лица.

30.2. Случаи повреждения оборудования, программных и (или) аппаратных сбоев

В случае повреждения оборудования, программных и (или) аппаратных сбоев, сведения о происшествии сообщаются обнаружившим данный факт сотрудником Комиссии руководителю и администратору информационной безопасности УЦ службы ДТС, которая доводит эти сведения до руководства, расследует происшествие и принимает необходимые меры по устранению последствий с использованием резервных копий и запасного оборудования.

30.3. Компрометация ключа ЭЦП УЦ службы ДТС

К событиям, связанным с компрометацией, относятся следующие события:

потеря ключевых носителей, в том числе с их последующим обнаружением;

увольнение по любой причине сотрудников, имеющих доступ к ключевым носителям или к ключевой информации на данных носителях (возможность такого доступа определяется в зависимости от конкретной реализации системы со средствами ЭЦП и от технологии обработки информации данной системой);

возникновение подозрений об утечке информации или ее искажении в системе;

нарушение целостности печати на сейфе с ключевыми носителями или утрата контроля за ключом от такого сейфа;

утрата пользователем контроля за ограничением доступа к ключевому носителю в процессе эксплуатации им системы;

случаи, когда невозможно достоверно установить, что произошло с ключевым носителем (например, его разрушение и невозможность опровергнуть подозрение на то, что разрушение носителя произошло не в результате попытки доступа к нему злоумышленника);

другие виды разглашения ключевой информации, в результате которых ключи ЭЦП могут стать доступными несанкционированным лицам и (или) процессам.

При наступлении перечисленных событий владелец ключа ЭЦП, исполняющий доверенную роль в УЦ службы ДТС, в кратчайший срок уведомляет администратора УЦ службы ДТС и запрашивает отзыв сертификата. Получение нового сертификата осуществляется в порядке, описанном в настоящем Регламенте.

31. Восстановление работоспособности после аварии

Персонал УЦ службы ДТС принимает все возможные меры по восстановлению работоспособности УЦ после аварии в течение не более чем 8 часов с использованием резервных копий данных и запасного оборудования.

32.1.1. Генерация ключевой пары

Ключевая пара УЦ службы ДТС генерируются на автоматизированном рабочем месте (АРМ) администратора в соответствии с эксплуатационной документацией. Генерация ключей УЦ осуществляется администратором сертификации совместно с администратором информационной безопасности УЦ службы ДТС.

Ключевые пары СПСС и СШВ УЦ службы ДТС генерируются на сервере УЦ в соответствии с эксплуатационной документацией. Генерация ключей УЦ осуществляется администратором сертификации УЦ службы ДТС.

Ключевые пары СПП и СШВ ДТС национальных сегментов и интеграционного сегмента интегрированной системы генерируются непосредственно на сервере ДТС уполномоченным сотрудником оператора ДТС в соответствии с эксплуатационной документацией на подсистему ДТС.

Для генерации ключей в УЦ и ДТС Комиссии используется доверенное вычислительное устройство средств ЭЦП (ДВУ ЭЦП). Для защиты сохраняемой ключевой информации дополнительно используются специально подготовленные USB-flash носители.

Для инициализации ключа ЭЦП в ДВУ кроме наличия информации, хранимой в ДВУ, дополнительно требуется ввод пароля доступа и данных, хранимых на USB-flash носителе.

32.1.1.1. Предоставление личного ключа ЭЦП пользователю

УЦ службы ДТС не имеет доступ к ключам ЭЦП пользователей, так как в соответствии с настоящим Регламентом каждый пользователь самостоятельно осуществляет генерацию ключевой пары.

32.1.1.2. Передача ключа проверки ЭЦП в УЦ службы ДТС

Пользователь осуществляет самостоятельную генерацию ключей и передает в УЦ службы ДТС ключ проверки ЭЦП в составе файла запроса на сертификат в электронном виде с использованием электронных носителей.

32.1.1.3. Предоставление ключа проверки ЭЦП доверяющим сторонам

Предоставление ключа проверки ЭЦП УЦ службы ДТС доверяющим сторонам осуществляется путем публикации сертификата ключа проверки ЭЦП, содержащего ключ проверки ЭЦП, в репозитории УЦ службы ДТС.

Все сертификаты, выданные УЦ службы ДТС включают расширение AuthorityInformationAccess, содержащее ссылку на файл корневого сертификата УЦ службы ДТС, опубликованного в репозитории УЦ службы ДТС.

32.1.2. Размеры ключей

В соответствии с эксплуатационной документацией на используемые средства ЭЦП размеры ключей составляют:

длины ключей электронной цифровой подписи:

ключ электронной цифровой подписи - 512 бит;

ключ проверки электронной цифровой подписи - 1024 бит.

длины ключей, используемых при шифровании:

симметричный ключ - 256 бит.

32.1.3. Параметры генерации ключа проверки ЭЦП и проверка качества ключей

Для генерации ключей пользователи УЦ службы ДТС используют ДВУ. Ключевым носителем при этом является SSD-диск из состава ДВУ. В качестве ключевых носителей также используются индивидуальные ключевые USB-носители.

Параметры генерации ключа проверки ЭЦП задаются используемым средством ЭЦП автоматически.

Алгоритм генерации ключей соответствует ГОСТ Р 34.10-2012 согласно Решению Коллегии ЕЭК от 02.06.2016 N 49ДСП.

При получении запроса на сертификат УЦ службы ДТС проверяет полученный в запросе ключ на совместимость с используемым средством ЭЦП, его разрядность, а также его уникальность. При совпадении полученного ключа с уже имеющимся в базе данных УЦ службы ДТС отклоняет запрос и уведомляет пользователя, подавшего запрос с повторным ключом, о необходимости генерации новой ключевой пары и запроса на сертификат.

32.1.4. Цели использования ключей

Способ применения ключа определен в поле KeyUsage стандартных расширений сертификата, соответствующего X.509 v3.

Ключ ЭЦП уполномоченного лица УЦ службы ДТС может использоваться только для формирования ЭЦП в выпускаемых сертификатах (бит 5 keyCertSign) и СОС (бит 6 cRLSign).

Ключи конечных пользователей используются для формирования ЭЦП. Использование каждого бита в поле KeyUsage соответствует правилам, изложенным в RFC 5280.

32.1.5. Защита ключа ЭЦП уполномоченного лица УЦ службы ДТС

Ключ ЭЦП уполномоченного лица (администратора сертификации) УЦ службы ДТС хранится в защищенном (зашифрованном) виде в ДВУ ЭЦП АРМ администратора УЦ службы ДТС.

Для инициализации в ДВУ ЭЦП ключа уполномоченного лица требуется последовательный ввод ключевых носителей администраторов УЦ (с вводом паролей доступа) и наличие служебных данных, хранимых на SSD-диске из состава ДВУ.

Ключ ЭЦП уполномоченного лица в период эксплуатации (от момента его создания до момента уничтожения) находится в ДВУ ЭЦП и не может быть отчужден на какие-либо внешние носители (функция депонирования ключей ДВУ ЭЦП не поддерживается).

32.1.6. Стандарты криптографического модуля

Форматы ключей и криптографические операции, выполняемые аппаратным криптографическим модулем, соответствуют стандартам ГОСТ Р 34.10-2012 и ГОСТ Р 34.11-2012.

32.1.7. Депонирование ключей ЭЦП

УЦ службы ДТС не осуществляет депонирование ключей ЭЦП.

32.1.8. Резервная копия ключа ЭЦП

УЦ службы ДТС не осуществляет резервирование ключей ЭЦП.

32.1.9. Хранение ключа ЭЦП по окончании срока действия

Ключ ЭЦП по окончании срока действия подлежит удалению с использованием штатных функций средств ЭЦП и средств УЦ службы ДТС.

32.1.10. Создание и уничтожение ключа ЭЦП УЦ службы ДТС

Ключ ЭЦП уполномоченного лица УЦ службы ДТС постоянно находится в ДВУ с момента его создания и до его удаления при выводе из эксплуатации.

32.1.11. Хранение ключа ЭЦП в криптографическом модуле

Ключ ЭЦП уполномоченного лица УЦ службы ДТС хранится в аппаратном криптографическом модуле в зашифрованном виде.

32.1.12. Способ активации ключа ЭЦП

Ключ ЭЦП уполномоченного лица УЦ службы ДТС инициализируется при последовательном предъявлении съемных ключевых носителей администраторов УЦ (с вводом паролей доступа) и наличии служебных данных, хранимых на SSD-диске из состава ДВУ.

32.1.13. Резервное копирование репозитория

Репозиторий УЦ службы ДТС подвергается периодическому резервному копированию в соответствии с порядком резервного копирования, установленным в УЦ службы ДТС.

32.1.14. Сроки действия сертификатов и ключей

Сроки действия ключей ЭЦП и сертификатов ключей проверки ЭЦП определяются эксплуатационной документацией используемого средства ЭЦП.

Сроки действия ключей и сертификатов УЦ службы ДТС:

максимальный срок действия ключей ЭЦП - до 3 лет;

максимальный срок действия ключей проверки ЭЦП - до 7 лет.

Сроки действия ключей и сертификатов пользователей:

максимальный срок действия ключа ЭЦП - до 3 лет;

максимальный срок действия ключа проверки ЭЦП - до 7 лет.

32.1.15. Данные активации

Для ключей ЭЦП УЦ службы ДТС в качестве данных активации выступают:

данные, считываемые ДВУ с USB-flash носителя;

пароли доступа к USB-flash носителю;

служебные данные, хранимые на SSD-диске ДВУ.

33. Безопасность программно-аппаратного обеспечения

Мероприятия по обеспечению безопасности программно-аппаратного комплекса УЦ службы ДТС осуществляются администратором информационной безопасности УЦ службы ДТС.

Первоначальная установка и настройка программного обеспечения на АРМ и серверах УЦ осуществляется системным администратором УЦ службы ДТС с эталонного диска.

Корпуса серверов, АРМ администратора и ДВУ опечатываются личной печатью администратора информационной безопасности УЦ службы ДТС в соответствии с эксплуатационной документацией. Перед началом работы производится визуальный контроль целостности корпуса и печатей (пломб). При обнаружении вскрытия корпуса и/или повреждении печатей (пломб) дальнейшая работа запрещается, о данном факте докладывается руководителю УЦ.

В процессе эксплуатации технических средств УЦ запрещается вносить изменения в состав, конструкцию, электрическую и монтажную схемы УЦ службы ДТС.

Ремонт технических средств осуществляется на предприятии-изготовителе указанных средств. После проведения ремонта проводится процедура специальной проверки и специальных исследований технических средств.

Ввод в состав УЦ дополнительных аппаратных средств без проведения тематических исследований, специальных проверок и специальных исследований данных средств не допускается.

34. Средства контроля целостности среды функционирования

Средства динамического контроля целостности программного обеспечения средств УЦ и среды функционирования входят в состав базовой операционной системы QP OC.

Стартовый и периодический контроль целостности выполняется средствами АПМДЗ из состава ТС УЦ службы ДТС.

35. Сетевая безопасность

Сетевая безопасность обеспечивается при помощи межсетевых экранов с фильтрацией трафика, а также сегментированием сети. На межсетевых экранах разрешены подключения по портам и протоколам, необходимым для бесперебойного функционирования системы. Все остальные порты и протоколы недоступны. Отдельный сегмент сети выделен для публикации общедоступных данных.

На внешнем сегменте используется средство обнаружения вторжений.