О мошенничестве с электронными подписями

28 28 ноябряноября 2013 2013 годагода AntiFraud Russia AntiFraud Russia –– 20132013 11

ОО

мошенничествемошенничестве

сс

электроннымиэлектронными подписямиподписями

ии

оо

томтом, , каккак

доказыватьдоказывать

неизменностьнеизменность

((неподдельностьнеподдельность) ) электронныхэлектронных

документовдокументов

вв

судесуде

Храмцовская

Наталья

Александровнак.и.н., ведущий

эксперт

по

управлению

документацией

компании

«Электронные

Офисные

Системы», эксперт

ИСО, член

Международного

совета

архивов


ТехнологииТехнологии

PKI PKI ии

ЭЦПЭЦП//УЭПУЭП

ТехнологииТехнологии

достаточнодостаточно

надёжныенадёжные, , ноно

……

ВсёВсё, , чточто

одинодин

человекчеловек

создалсоздал, , другойдругой

всегдавсегда

сумеетсумеет

сломатьсломать. . РанниеРанние

алгоритмыалгоритмы

ЭЦПЭЦП

ужеуже

взломанывзломаны

СамоеСамое

страшноестрашное

––

слепаяслепая

веравера

обществаобщества

ии

судасуда

вв

непогрешимостьнепогрешимость

какойкакой--либолибо

технологиитехнологии. . ВВ

результатерезультате людилюди, , пострадавшиепострадавшие

отот

новогонового

видавида

мошенничествамошенничества, ,

могутмогут

самисами

бытьбыть

заподозренызаподозрены

вв

мошенничествемошенничестве

ии наказанынаказаны

ЗаконодательствоЗаконодательство

РоссииРоссии

нене

учитываетучитывает

возможностьвозможность

такоготакого

мошенничествамошенничества

ии

плохоплохо

защищаетзащищает

отот

негонего


ДоказательствоДоказательство

компрометациикомпрометации хэшхэш--алгоритмаалгоритма

MD5, 2007MD5, 2007--2008 2008 гг..

ТеоретическаяТеоретическая

возможностьвозможность

коллизийколлизий

длядля

алгоритмаалгоритма

MD5 MD5 былабыла

доказанадоказана

вв

2004 2004 гг. (. (профпроф. . XiaoyunXiaoyun

WangWang

ии

дрдр.), .), ноно

многиемногие

считалисчитали

этуэту

угрозуугрозу

нене

имеющейимеющей

практическогопрактического значениязначения

ВВ

2007 2007 гг. . ГруппаГруппа

голландскихголландских

специалистовспециалистов

((MarcMarc

StevensStevens, , ArjenArjen

LenstraLenstra, , BenneBenne

dede

WegerWeger) ) пообещалапообещала

предсказатьпредсказать

итогиитоги

выбороввыборов

вв

СШАСША

2008 2008 гг. . ии

сообщиласообщила

хэшхэш--значениезначение

PDFPDF--файлафайла сс

предсказаниемпредсказанием

НаНа

деледеле

группагруппа

подготовилаподготовила

12 (!) 12 (!) документовдокументов

(10 (10 выложенывыложены

вв

сетисети), ), имевшихимевших

одинодин

ии

тоттот

жеже

MDMD55--хэшхэш

––

нана

всевсе

возможныевозможные

исходыисходы

выбороввыборовhttp://www.win.tue.nl/hashclash/Nostradamus/http://www.win.tue.nl/hashclash/Nostradamus/

http://www.win.tue.nl/hashclash/Nostradamus/


УУ

всехвсех


одинодин

ии

тоттот

жеже

MD5MD5--хэшхэш: :

3D515DEAD7AA16560ABA3E9DF05CBC803D515DEAD7AA16560ABA3E9DF05CBC80

НеобходимыеНеобходимые

вычислениявычисления былибыли

выполненывыполнены

нана

SonySony

PlayStationPlayStation

33


ЭЦПЭЦП

нередконередко

подобнаподобна

стальнойстальной дверидвери

вв

непрочнойнепрочной

стенестене……

……

поэтомупоэтому злоумышленникизлоумышленники

идутидут

попо

путипути наименьшегонаименьшего сопротивлениясопротивления


НекоторыеНекоторые

видывиды

мошенничествамошенничества, , нене требующиетребующие

взломавзлома

алгоритмовалгоритмов

ПодписатьПодписать

подписьюподписью

жертвыжертвы

подложныйподложный

документдокумент

илиили

транзакциютранзакцию. . НесанкционированноеНесанкционированное

списаниесписание

денегденег черезчерез

системысистемы

««клиентклиент--банкбанк»»

ии

интернетинтернет--банкингбанкинг

принялоприняло

массовыймассовый

характерхарактер––

НебрежноеНебрежное

отношениеотношение

кк

хранениюхранению

ии

уничтожениюуничтожению

закрытыхзакрытых

ключейключей––

ВирусыВирусы, , ««модифицированноемодифицированное»»

оборудованиеоборудование

––

ПодписаниеПодписание

жертвойжертвой

специальноспециально

подготовленныхподготовленных

документовдокументов, , визуальноевизуальное

отображениеотображение

которыхкоторых

можетможет

менятьсяменяться

СозданиеСоздание

подставныхподставных

удостоверяющихудостоверяющих

центровцентров, ,

имеющихимеющих

правоправо

выпускатьвыпускать

УКЭПУКЭП


ЭкспериментЭксперимент: : подписаниеподписание

PDFPDF--файлафайла, , содержащегосодержащего

активныйактивный

контентконтент

ИспользуетсяИспользуется JavaScriptJavaScript, ,

делающийделающий документдокумент

нечитаемымнечитаемым

попо истеченииистечении

10 10

минутминут

ИспользуетсяИспользуется функцияфункция

цифровойцифровой подписиподписи

вв

Adobe AcrobatAdobe Acrobat


ПрошлаПрошла

1 1 минутаминута

……

Подпись верна


ПрошлоПрошло

11 11 минутминут

……

Подпись

по- прежнему

верна, -

хотя Acrobat и

заметил, что что-то

не

совсем «чисто»


АвстрийскоеАвстрийское

законодательствозаконодательство

УказУказ

ФедеральногоФедерального

канцлераканцлера

обоб

электронныхэлектронных подписяхподписях

2000 2000 гг. (. (вв

редакцииредакции

2004 2004 гг.) .) –– детализируетдетализирует

положенияположения

австрийскогоавстрийского

ЗаконаЗакона

обоб электронныхэлектронных

подписяхподписях

(редакция

2004 г., параграф

4 п.1)

«Подписываться

электронной

подписью

могут

документы

только

в

тех форматах, что

рекомендованы

поставщиком

сертификационных

услуг.

Описания

таких

форматов

должны

быть

общедоступны. Структура

формата должна

гарантировать

неизменный

вид

документа

как

во

время

подписания, так

и

во

время

проверки

подписи. Если

формат

допускает

кодирование динамических

изменений, то

не

разрешается

использовать

его

элементы,

вызывающие

динамические

изменения.»


ДекретДекрет

СовминаСовмина

ИталииИталии

отот

13.01.2004 13.01.2004 ««ТехническиеТехнические

правилаправила

созданиясоздания, , передачипередачи, ,

храненияхранения, , воспроизведениявоспроизведения, , репродукциирепродукции

ии проверкипроверки

электронныхэлектронных

документовдокументов»»

««ЭлектронныеЭлектронные

документыдокументы, , подписанныеподписанные

цифровойцифровой


илиили

усиленнойусиленной

электроннойэлектронной


иногоиного

видавида, , основаннойоснованной

нана

квалифицированномквалифицированном

сертификатесертификате

ии

созданнойсозданной

припри

помощипомощи

защищённогозащищённого

устройстваустройства

длядля

созданиясоздания

подписиподписи, , нене

создаютсоздают

эффектаэффекта, , указанногоуказанного

вв

пп.3 .3 стст.10 .10 [[презумпцияпрезумпция

подлинностиподлинности]]

сводногосводного

текстатекста

[[КодексаКодекса

ЭПЭП]], , еслиесли

ониони

включаютвключают

макросымакросы

илиили

исполняемыйисполняемый

кодкод, , способныеспособные

изменитьизменить

представляемыепредставляемые

документамидокументами

актыакты, , фактыфакты

ии

данныеданные..»»


ДекретДекрет

СовминаСовмина

ИталииИталии

отот

3030.0.033.200.20099 ««ТехническиеТехнические


созданиясоздания, , наложенияналожения

ии

проверкипроверки


цифровойцифровой

подписиподписи»»

СтСт.3 .3 пп.3: .3: ««ЭлектронныеЭлектронные

документыдокументы, , подписанныеподписанные

цифровойцифровой подписьюподписью

илиили

квалифицированнойквалифицированной



иногоиного

видавида, , нене

создаютсоздают

эффектаэффекта, , предусмотренногопредусмотренного

пп.2 .2 стст.21 .21 КодексаКодекса

[[презумпцияпрезумпция

подлинностиподлинности]], , еслиесли

ониони

включаютвключают

макросымакросы

илиили

исполняемыйисполняемый

кодкод, , способныеспособные

изменитьизменить представляемыепредставляемые

документомдокументом

актыакты, , фактыфакты

ии

данныеданные..»»


СловакияСловакия: : СтандартСтандарт

СБСБ

устанавливаетустанавливает требованиятребования

кк

файловымфайловым

форматамформатам

««ТребованияТребования

кк

содержаниюсодержанию

ии

формальныеформальные спецификацииспецификации

форматовформатов

документовдокументов, ,

подписываемыхподписываемых


электроннойэлектронной подписьюподписью»», , версияверсия

1, 1, ГосударственнаяГосударственная

службаслужба

безопасностибезопасности

(NBU) (NBU) СловакииСловакии, 2007, 2007

««ПриПри

подписанииподписании

ии

проверкепроверке

подписанныхподписанных усиленнойусиленной



документовдокументов, , необходимонеобходимо, , помимопомимо

самогосамого подписанияподписания

ии


подписиподписи, ,

обеспечитьобеспечить

такжетакже

однозначнуюоднозначную визуализациювизуализацию

подписанныхподписанных

документовдокументов»»

ДокументДокумент

специфицируетспецифицирует

транспортныйтранспортный форматформат

длядля


документовдокументов, , рольроль

которогокоторого

заключаетсязаключается

вв

обеспеченииобеспечении четкойчеткой

идентификацииидентификации

типатипа



длядля

целейцелей

визуализациивизуализации


СловакияСловакия: : ТребованияТребования

СБСБ

кк

форматамформатам усиленнойусиленной


подписиподписи, 2009, 2009

ПроцедурыПроцедуры, , обеспечивающиеобеспечивающие возможностьвозможность

долгосрочнойдолгосрочной



подписейподписей

ВводитсяВводится

новаяновая

аккредитованнаяаккредитованная

услугауслуга ««долговременноедолговременное

сохранениесохранение


документовдокументов, , подписанныхподписанных усиленнойусиленной


подписьюподписью»»

СС

2008 2008 годагода

нене

разрешаетсяразрешается сертифицироватьсертифицировать

приложенияприложения

длядля

работыработы

сс


электроннойэлектронной подписьюподписью, , которыекоторые

нене

обеспечиваютобеспечивают

сохранениясохранения

вв

самойсамой

подписиподписи

сведенийсведений оо

файловомфайловом

форматеформате

подписанногоподписанного

документадокумента


""КакКак

спрятатьспрятать


нана

видномвидном

местеместе““ АндрейАндрей

ПодкинПодкин

, , 15 15 августаавгуста


http://http://www.directumwww.directum--journal.rujournal.ru/card.aspx?ContentID=1953831/card.aspx?ContentID=1953831

ФирмаФирма

NT Kernel Resources NT Kernel Resources бесплатнобесплатно

распространяетраспространяет

программупрограмму

Merge StreamsMerge Streams, , позволяющуюпозволяющую

слитьслить

вв

единоеединое

целоецелое


вв форматеформате

Word Word ии

ExcelExcel--

таблицутаблицу..

ВВ

зависимостизависимости

отот расширениярасширения

файлафайла, , виденвиден

илиили

WordWord--документдокумент, , илиили электроннаяэлектронная

таблицатаблица..

ЕслиЕсли

подписатьподписать

такойтакой

файлфайл ЭЦПЭЦП

––

подпод

чемчем

будетбудет

поставленапоставлена

подписьподпись??

http://www.directum-journal.ru/card.aspx?ContentID=1953831






2008 2008 годгод: : ИтальянскиеИтальянские

специалистыспециалисты описалиописали

аналогичнуюаналогичную

атакуатаку

нана

статическиестатические

форматыформаты

Атака

строится

на

1) создании

«полиморфных» файлов, которые

показываются

по-разному

в

зависимости

от

расширения, и

2) на

том, что используемые

ЭЦП

не

«покрывают»

имя

файла

Франческо

Буккафури

(Francesco

Buccafurri) в ряде публикаций

описал

атаку

на

форматы

BMP, TIFF,

PDF. Независимо

сходные

результаты

опубликовал чешский

специалист

Петер

Рыбар

(Peter

Rybar)

Итальянское

Национальное

агентство

по

вопросам электронного

правительства

(CNIPA) признало

уязвимость

очень

серьёзной, и

собирается предусмотреть

контрмеры

в

очередной

редакции

итальянских

правил

применения

ЭЦП

проф. Буккафури


ПроверкаПроверка

усиленныхусиленных квалифицированныйквалифицированный

подписейподписей

ВВ

««ПереченьПеречень

аккредитованныхаккредитованных

удостоверяющихудостоверяющих

центровцентров»», , размещенныйразмещенный

нана

сайтесайте

МинкомсвязиМинкомсвязи, , нана 22 22 ноябряноября


внесеновнесено

324 324 удостоверяющихудостоверяющих

центровцентров

––

большебольше, , чемчем

вово

всемвсем

остальномостальном

миремире

––

АА

хватитхватит

лили

намнам

350? 350? МожетМожет

бытьбыть, , ихих

нужнонужно

большебольше??

––

КакКак

правильноправильно

организоватьорганизовать

проверкупроверку

подписейподписей??

––

НужнаНужна

лили

централизованнаяцентрализованная

системасистема


сертификатовсертификатов??


ПредставлениеПредставление

доказательствдоказательств

вв

судысуды

НеобходимоНеобходимо

разработатьразработать


предоставленияпредоставления



вв

судысуды

ОбеспечениеОбеспечение

долговременнойдолговременной

сохранностисохранности



безбез

ущербаущерба

ихих юридическойюридической

значимостизначимости

ии

доказательнойдоказательной

силысилы

НеполнотаНеполнота

законодательнозаконодательно--нормативнойнормативной

базыбазы

нене

мешаетмешает

судамсудам

приниматьпринимать

электронныеэлектронные

документыдокументы. . ЗначениеЗначение

правоприменительнойправоприменительной

практикипрактики..


ВыводыВыводы

МыМы

идемидем

попо

целинецелине

ОченьОчень

важноважно

критическикритически

относитьсяотноситься

кк

технологиитехнологии

ии

пониматьпонимать, , чточто

любойлюбой

инструментинструмент

можетможет

бытьбыть использованиспользован

нене

попо

назначениюназначению

НужноНужно

совершенствоватьсовершенствовать

законодательствозаконодательство


ПриглашаюПриглашаю

ВасВас

нана

моймой

блогблог: : http://rusrim.blogspot.com/http://rusrim.blogspot.com/

аа

такжетакже

нана

моимои

каналыканалы

нана

SlideshareSlideshare

ии

YouTubeYouTube

http://rusrim.blogspot.com/

О мошенничестве с электронными подписями

Business