В соответствии с подпунктом 10) пункта 1 статьи 5 Закона Республики Казахстан от 7 января 2003 года «Об электронном документе и электронной цифровой подписи» ПРИКАЗЫВАЮ:
1. Утвердить прилагаемые Правила проверки подлинности электронной цифровой подписи.
2. Комитету связи, информатизации и информации Министерства по инвестициям и развитию Республики Казахстан (Қазанғап Т.Б.) обеспечить:
1) государственную регистрацию настоящего приказа в Министерстве юстиции Республики Казахстан;
2) в течение десяти календарных дней после государственной регистрации настоящего приказа в Министерстве юстиции Республики Казахстан направление его копии в печатном и электронном виде на официальное опубликование в периодические печатные издания и информационно-правовую систему «Әділет», а также в Республиканский центр правовой информации для внесения в эталонный контрольный банк нормативных правовых актов Республики Казахстан;
3) размещение настоящего приказа на интернет-ресурсе Министерства по инвестициям и развитию Республики Казахстан и на интранет-портале государственных органов;
4) в течение десяти рабочих дней после государственной регистрации настоящего приказа в Министерстве юстиции Республики Казахстан представление в Юридический департамент Министерства по инвестициям и развитию Республики Казахстан сведений об исполнении мероприятий, предусмотренных подпунктами 1), 2) и 3) пункта 2 настоящего приказа.
3. Контроль за исполнением настоящего приказа возложить на курирующего вице-министра по инвестициям и развитию Республики Казахстан.
4. Настоящий приказ вводится в действие со дня его первого официального опубликования и распространяется на правоотношения, возникшие с 1 января 2016 года.
Министр
по инвестициям и развитию
Республики Казахстан А. Исекешев
Утверждены
приказом Министра
по инвестициям и развитию
Республики Казахстан
от 9 декабря 2015 года № 1187
Правила
проверки подлинности электронной цифровой подписи
1. Общие положения
1. Настоящие Правила проверки подлинности электронной цифровой подписи (далее – Правила) разработаны в соответствии с подпунктом 10) статьи 5 Закона Республики Казахстан от 7 января 2003 года «Об электронном документе и электронной цифровой подписи» (далее – Закон) и определяют порядок проверки подлинности электронной цифровой подписи.
2. В настоящих Правилах применяются следующие понятия:
1) средство криптографической защиты информации (далее – СКЗИ) – средство, реализующее алгоритмы криптографических преобразований, генерацию, формирование, распределение или управление ключами;
2) список отозванных регистрационных свидетельств (далее – СОРС) – часть регистра регистрационных свидетельств, содержащая сведения о регистрационных свидетельствах, действие которых прекращено, их серийные номера, дату и причину отзыва (аннулирования);
3) удостоверяющий центр – юридическое лицо, удостоверяющее соответствие открытого ключа электронной цифровой подписи закрытому ключу электронной цифровой подписи, а также подтверждающее достоверность регистрационного свидетельства;
4) регистрационное свидетельство – документ на бумажном носителе или электронный документ, выдаваемый удостоверяющим центром для подтверждения соответствия электронной цифровой подписи требованиям, установленным Законом;
5) электронный документ – документ, в котором информация представлена в электронно-цифровой форме и удостоверена посредством электронной цифровой подписи;
6) система электронного документооборота (далее – СЭД) – система обмена электронными документами, отношения между участниками которой регулируются настоящим Законом и иными нормативными правовыми актами Республики Казахстан;
7) участник системы электронного документооборота (далее – участник СЭД) – физическое или юридическое лицо, государственный орган или должностное лицо, участвующие в процессах сбора, обработки, хранения, передачи, поиска и распространения электронных документов;
8) электронная цифровая подпись (далее – ЭЦП) – набор электронных цифровых символов, созданный средствами электронной цифровой подписи и подтверждающий достоверность электронного документа, его принадлежность и неизменность содержания;
9) средства электронной цифровой подписи (далее – средства ЭЦП) – совокупность программных и технических средств, используемых для создания и проверки подлинности электронной цифровой подписи.
2. Порядок проверки подлинности электронной цифровой подписи
3. Участник СЭД при получении электронного документа, содержащего регистрационное свидетельство подписывающей стороны, посредством информационной системы участника СЭД (далее – информационная система) осуществляет проверку подлинности ЭЦП путем:
1) проверки регистрационного свидетельства подписывающей стороны;
2) проверки ЭЦП в электронном документе.
4. Информационная система проверяет регистрационные свидетельства подписывающей стороны путем выполнения следующих проверок с использованием СКЗИ и средств ЭЦП удостоверяющего центра:
1) проверка срока действия регистрационного свидетельства. Проверка сроков действия от проверяемого регистрационного свидетельства до доверенного корневого регистрационного свидетельства удостоверяющего центра, с учетом промежуточных регистрационных свидетельств удостоверяющих центров;
2) проверка регистрационного свидетельства на отозванность (аннулирование). Проверка регистрационного свидетельства на отозванность (аннулирование) осуществляется одним из следующих методов:
на основе СОРС удостоверяющего центра. Данный метод проверки подтверждает, аннулировано ли проверяемое регистрационное свидетельство на момент начала срока действия СОРС удостоверяющего центра;
онлайн проверка регистрационного свидетельства на аннулирование, основанная на протоколе On-line Certificate Status Protocol (далее – OCSP). Данный метод проверки подтверждает аннулировано ли проверяемое регистрационное свидетельство на момент формирования квитанции OCSP;
на основе дополнительного СОРС. Данный сервис используется совместно с сервисом СОРС. Данный метод проверки подтверждает, аннулировано ли проверяемое регистрационное свидетельство на момент начала срока действия дополнительного СОРС удостоверяющего центра;
3) проверка области использования ЭЦП регистрационного свидетельства. Проверка заключается в проверке значения поля регистрационного свидетельства «использование ключа» (KeyUsage). Если поле «использование ключа» содержит значения «Цифровая подпись» и «Неотрекаемость», то это регистрационное свидетельство используется для ЭЦП. А если поле «использование ключа» содержит значения «Цифровая подпись» и «Шифрование ключей», то это регистрационное свидетельство используется для аутентификации;
4) проверка номера политики регистрационного свидетельства и разрешенных способах его использования. Если политика проверяемого регистрационного свидетельства предусматривает ограничение его использования (только в одной системе), то данное регистрационное свидетельство и соответствующий закрытый ключ автоматический не используется в других системах;
5) проверка метки времени. Данная проверка квитанции метки времени, полученной в удостоверяющем центре, производится для электронных документов долговременного хранения и формируется в момент подписания документа и является доказательством подписания документа в указанный момент времени.
Метка времени является доказательством наличия ЭЦП в указанный в квитанции момент времени;
6) проверка полномочий лица подписавшего документ. Механизмы проверки полномочий возлагаются на информационную систему. Проверку полномочий так же можно проверить, в случае наличии информации об этом в регистрационном свидетельстве;
7) проверка построения корректной цепочки от проверяемого регистрационного свидетельства до доверенного корневого регистрационного свидетельства удостоверяющего центра, с учетом промежуточных регистрационных свидетельств удостоверяющих центров.
Если выясняется, что ЭЦП или регистрационное свидетельство не соответствует требованиям хотя бы одного из критериев проверок пункта 4 настоящих Правил, за исключением проверки метки времени, то ЭЦП или регистрационное свидетельство считается недействительным.
5. Информационная система проверяет ЭЦП на электронном документе, путем использования открытого ключа ЭЦП, который содержится в регистрационном свидетельстве подписывающей стороны. Электронный документ должен содержать регистрационное свидетельство подписывающей стороны.
6. Проверка ЭЦП осуществляется в обратном порядке, по которому производилось подпись документа, по следующей схеме:
1) с помощью открытого ключа ЭЦП отправителя дешифруется хэш сообщения (подпись отправителя);
2) с помощью хэш-функции вычисляется контрольная сумма оригинального сообщения.
Производится сверка двух контрольных сумм, если они равны, то ЭЦП считается верной, если не равны, то ЭЦП считается не действительной.
7. Техническая реализация проверки подлинности ЭЦП и регистрационного свидетельства возлагается на информационную систему.
8. При получении подтверждения (установления) подлинности ЭЦП с использованием СКЗИ УЦ после проведения процедуры проверки ЭЦП, документ полученный посредством информационной системы признается электронным документом.
9. В случае выявления несоответствия ЭЦП после проведения процедуры проверки подлинности ЭЦП с использованием СКЗИ, документ полученный посредством информационной системы не признается электронным документом.