Post #1271
917
I hate overtime #как_это_работает (продолжение) и так, электронные подписи. Как мы с вами выяснили, их бывает 3: простая(ПЭП), усиленная неквалифицированная(УНЭП) и усиленная квалифицированная(УКЭП). Собственно что это такое и почему их 3? Давайте начнем с простого, т.е.…
#как_это_работает
(продолжение)
Итак, мы с вам научились гонять документики по процессам и даже подписывать, давайте теперь подумаем как их хранить. Казалось, можно было бы просто скинуть это в S3 и успокоиться, но тут нас ждет неприятный сюрприз: некоторые документы надо хранить аж десятилетиями (например трудовой договор, внезапно, надо хранить аж 75 лет), а вот подписи, к сожалению, протухают. Дело в том, что подписи, как мы помним, строятся на основе сертификатов, а у сертификатов есть срок действия, поэтому когда протухнет сертификат, то подпись автоматом станет невалидной. Что бы как-то победить это безобразие, нашу подпись надо усилить до специально-обученного формата CAdES-A. Давайте разберемся, что это такое и как это нам поможет. Обычная ЭП(формата CAdES) содержит в себе хеш документа, шифрованный закрытым ключем, архивная чуть сложнее, т.к. в нее добавляется инфа о сертификатах, подписаная меткой доверенного времени. Идея в том, что мы отправляем хеш нашего документа с подписью в некие «часы»(Timestamp Authority aka TSA, например какой-нибудь Jinn Server), которые ставят на подпись отметку доверенного времени. Метка доверенного времени — это, внезапно, тоже подписанный документ и подписываться будет, в простейшем случае, хеш самой подписи + текущее время, а подписывать будут те самые «часы» своим сертификатом. Вот примерно так работает формат CAdES-T. Весь фокус в том, что серт «часов» живет очень долго… но тоже может быть отозван (например в случае компрометации). В этот момент мы делаем ход вальтом и начинаем лепить таймстампы не просто из подписи, а еще и из сертификатов, в том числе и отозванных(CRL), что позволяет нам, на самом деле, просто обоновлять таймстампы в случае протухания любого ключа (в том числе и ключа «часов»). Примерно так и работает CAdES-A.
Ну вот как-то так и победим основной челендж архивного хранения. Останется совсем чуть-чуть: реализовать все хотелки 69 приказа Росархива (сделать карточку документа со всеми метаданными, положить ее в zip рядом с документом, занести в каталог и вот это все), но это уже не проблема, а расходы 🙂
(продолжение)
Итак, мы с вам научились гонять документики по процессам и даже подписывать, давайте теперь подумаем как их хранить. Казалось, можно было бы просто скинуть это в S3 и успокоиться, но тут нас ждет неприятный сюрприз: некоторые документы надо хранить аж десятилетиями (например трудовой договор, внезапно, надо хранить аж 75 лет), а вот подписи, к сожалению, протухают. Дело в том, что подписи, как мы помним, строятся на основе сертификатов, а у сертификатов есть срок действия, поэтому когда протухнет сертификат, то подпись автоматом станет невалидной. Что бы как-то победить это безобразие, нашу подпись надо усилить до специально-обученного формата CAdES-A. Давайте разберемся, что это такое и как это нам поможет. Обычная ЭП(формата CAdES) содержит в себе хеш документа, шифрованный закрытым ключем, архивная чуть сложнее, т.к. в нее добавляется инфа о сертификатах, подписаная меткой доверенного времени. Идея в том, что мы отправляем хеш нашего документа с подписью в некие «часы»(Timestamp Authority aka TSA, например какой-нибудь Jinn Server), которые ставят на подпись отметку доверенного времени. Метка доверенного времени — это, внезапно, тоже подписанный документ и подписываться будет, в простейшем случае, хеш самой подписи + текущее время, а подписывать будут те самые «часы» своим сертификатом. Вот примерно так работает формат CAdES-T. Весь фокус в том, что серт «часов» живет очень долго… но тоже может быть отозван (например в случае компрометации). В этот момент мы делаем ход вальтом и начинаем лепить таймстампы не просто из подписи, а еще и из сертификатов, в том числе и отозванных(CRL), что позволяет нам, на самом деле, просто обоновлять таймстампы в случае протухания любого ключа (в том числе и ключа «часов»). Примерно так и работает CAdES-A.
Ну вот как-то так и победим основной челендж архивного хранения. Останется совсем чуть-чуть: реализовать все хотелки 69 приказа Росархива (сделать карточку документа со всеми метаданными, положить ее в zip рядом с документом, занести в каталог и вот это все), но это уже не проблема, а расходы 🙂
