Электронные подписи и инфраструктуры (esi); усовершенствованные электронные подписи cms (CAdES)


CAdES-C in the present document.В настоящем документе такой метод называется форматом CAdES-C



жүктеу/скачать 2.44 Mb.
бет13/17
Дата29.02.2016
өлшемі2.44 Mb.
#34652
1   ...   9   10   11   12   13   14   15   16   17
CAdES-C in the present document.<}0{>В настоящем документе такой метод называется форматом CAdES-C.<0}

{0>Should both the signer and verifier be required to time-stamp the signature value to meet the requirements of the signature policy, the signature policy may specify a permitted time delay between the two time-stamps.<}0{>Если и подписывающая, и проверяющая сторона должны применить штамп времени к подписи для выполнения требований регламента подписи, то в регламенте может быть указана допустимая задержка между двумя штампами времени.<0}

{0>C.4.4<}0{>В.4.4<0} {0>Time-Stamping for Long Life of Signature before CA Key Compromises<}100{>Штампы времени для долгосрочного использования подписей до компрометации ключа центра сертификации<0}

{0>Time-stamped, extended electronic signatures are needed when there is a requirement to safeguard against the possibility of a CA key in the certificate chain ever being compromised.<}0{>Расширенные электронные подписи со штампами времени необходимы при наличии требования защиты от возможности компрометации ключа центра сертификации в цепочке сертификатов.<0} {0>A verifier may be required to provide, on request, proof that the certification path and the revocation information used at the time of the signature were valid, even in the case where one of the issuing keys or OCSP responder keys is later compromised.<}0{>У проверяющей стороны могут потребовать предоставить по запросу доказательство того, что путь сертификации и данные об отозванных сертификатах были действительны на момент создания подписи, даже если один из выданных ключей или ключей службы OCSP был скомпрометирован в дальнейшем.<0}

{0>The present document defines two ways of using time-stamps to protect against this compromise:<}0{>В настоящем документе определены два способа использования штампов времени для защиты от компрометации ключей:<0}

  • {0>Time-stamp the ES with Complete validation data, when an OCSP response is used to get the status of the certificate from the signer (CAdES-X Type 1).<}0{>применение штампа времени к электронной подписи с полными проверочными данными при использовании ответа OCSP для получения статуса сертификата от подписывающей стороны (CAdES-X Type 1).<0} {0>This format is suitable to be used with an OCSP response, and it offers the additional advantage of providing an integrity protection over the whole data.<}100{>Этот формат приемлем для использования с ответами OCSP и обеспечивает дополнительные преимущества – защиту целостности всех данных.<0}

  • {0>Time-stamp only the certification path and revocation information references when a CRL is used to get the status of the certificate from the signer (CAdES-X Type2).<}67{>применение штампа времени только к пути сертификации и ссылкам на сведения об отозванных сертификатах при использовании списков отзыва сертификатов для получения статуса сертификата от подписывающей стороны (CAdES-X Type 2).<0} {0>This format is suitable to be used with CRLs, since the time-stamped information may be used for more than one signature (when signers have their certificates issued by the same CA and when signatures can be checked using the same CRLs).<}100{>Такой формат подходит при использовании списков отзыва сертификатов, так как информацию со штампом времени можно использовать для нескольких подписей (если у подписывающих сторон есть свои сертификаты, выданные одним центром сертификации и если подписи можно проверить с помощью одинаковых списков отзыва сертификатов).<0}

{0>NOTE:<}100{>ПРИМЕЧАНИЕ.<0} {0>The signer, verifier, or both may obtain the time-stamp.<}0{>Подписывающая сторона, проверяющая сторона или обе этих стороны могут получить штамп времени.<0}

{0>C.4.4.1<}0{>В.4.4.1<0} {0>Time-Stamping the ES with Complete Validation Data (CAdES-X Type 1)<}100{>Добавление штампов времени в электронную подпись с полными проверочными данными (CAdES-X Type 1)<0}

{0>When an OCSP response is used, it is necessary to time stamp in particular that response in the case the key from the responder would be compromised.<}0{>При использовании ответа OCSP необходимо применить штамп времени к этому ответу в случае, если ключ от службы OCSP скомпрометирован.<0} {0>Since the information contained in the OCSP response is user specific and time specific, an individual time stamp is needed for every signature received.<}100{>Так как информация в ответе OCSP относится к определенному пользователю и моменту времени, для каждой полученной подписи требуется отдельный штамп времени.<0} {0>Instead of placing the time-stamp only over the certification path references and revocation information references, which include the OCSP response, the time-stamp is placed on the CAdES-C. Since the certification path and revocation information references are included in the ES with Complete validation data they are also protected.<}0{>Вместо применения штампа времени только к ссылкам на путь сертификации и данным об отозванных сертификатах, которые включают ответ OCSP, штамп времени применяется к подписи CAdES-C. Так как путь сертификации и ссылки на данные об отозванных сертификатах включены в подпись с полными проверочными данными, они также защищены.<0} {0>For the same cryptographic price, this provides an integrity mechanism over the ES with Complete validation data.<}0{>Это обеспечивает механизм обеспечения целостности электронной подписи с полными проверочными данными с теми же криптографическими затратами.<0} {0>Any modification can be immediately detected.<}0{>Любое изменение может быть обнаружено незамедлительно.<0} {0>It should be noticed that other means of protecting/detecting the integrity of the ES with Complete Validation Data exist and could be used.<}0{>Следует отметить, что существуют и другие средства защиты целостности и обнаружения нарушения целостности электронной подписи с полными проверочными данными, которые также можно использовать.<0} {0>Although the technique requires a time stamp for every signature, it is well suited for individual users wishing to have an integrity protected copy of all the validated signatures they have received.<}0{>Хотя для этого метода требуется штамп времени для каждой подписи, он хорошо подходит для отдельных пользователей, желающих получить копию всех полученных проверенных подписей с защищенной целостностью данных.<0}

{0>By time-stamping the complete electronic signature, including the digital signature as well as the references to the certificates and revocation status information used to support validation of that signature, the time-stamp ensures that there is no ambiguity in the means of validating that signature.<}0{>За счет применения штампа времени к полной электронной подписи, в том числе цифровой подписи и всем ссылкам на сертификаты и данные об отозванных сертификатах, используемые для проверки подписи, можно гарантировать, что результат проверки будет однозначным.<0}

{0>This technique is referred to as CAdES-X Type 1 in the present document.<}81{>В данном документе такой метод называется форматом CAdES-X Type 1.<0}

{0>NOTE:<}100{>ПРИМЕЧАНИЕ.<0} {0>Trust is achieved in the references by including a hash of the data being referenced.<}0{>Отношение доверия достигается за счет включения хэш-значения данных, на которые указывается ссылка.<0}

{0>If it is desired for any reason to keep a copy of the additional data being referenced, the additional data may be attached to the electronic signature, in which case the electronic signature becomes a CAdES-X Long Type 1 as defined by the present document.<}0{>Если по какой-либо причине требуется сохранить копию дополнительных данных, на которые указана ссылка, можно прикрепить к электронной подписи дополнительные данные. В этом случае подпись становится подписью CAdES-X Type 1, как определено в настоящем документе.<0}

{0>A CAdES-X Long Type 1 is simply the concatenation of a CAdES-X Type 1, with a copy of the additional data being referenced.<}0{>CAdES-X Long Type 1 – это просто объединение подписи CAdES-X Type 1 и копии дополнительных данных, на которые указывают ссылки.<0}

{0>C.4.4.2<}0{>В.4.4.2<0} {0>Time-Stamping Certificates and Revocation Information References (CAdES-X Type 2)<}100{>Добавление штампов времени в сертификаты и ссылки на сведения об отзыве (CAdES-X Type 2)<0}

{0>Time-stamping each ES with Complete validation data, as defined above, may not be efficient, particularly when the same set of CA certificates and CRL information is used to validate many signatures.<}0{>Применение штампа времени к каждой электронной подписи с полными проверочными данными, как описано выше, может быть неэффективно, особенно когда один набор сертификатов центров сертификации и сведения о списке отзыва сертификатов используются для проверки множества подписей.<0}

{0>Time-stamping CA certificates will stop any attacker from issuing bogus CA certificates that could be claimed to exist before the CA key was compromised.<}0{>Применение штампов времени к сертификатам центра сертификации не позволит злоумышленникам выдать фальшивые сертификаты центра сертификации, которые по заявленной информации существовали до компрометации ключа центра сертификации.<0} {0>Any bogus time-stamped CA certificates will show that the certificate was created after the legitimate CA key was compromised.<}0{>Любые поддельные сертификаты центра сертификации со штампом времени покажут, что сертификат был создан после компрометации действительного ключа центра сертификации.<0} {0>In the same way, time-stamping CA CRLs will stop any attacker from issuing bogus CA CRLs that could be claimed to exist before the CA key was compromised.<}78{>Таким же образом, применение штампов времени к спискам отзыва сертификатов центра сертификации не позволит злоумышленникам выдать фальшивые списки отзыва сертификатов, которые якобы существовали до компрометации ключа центра сертификации.<0}

{0>Time-stamping of commonly used certificates and CRLs can be done centrally, e.g. inside a company or by a service provider.<}0{>Применить штампы времени к часто используемым сертификатам и спискам отзыва сертификатов можно централизованно, т.е. в компании или с помощью поставщика услуг.<0} {0>This method reduces the amount of data the verifier has to time-stamp; for example, it could be reduced to just one time-stamp per day (i.e. in the case where all the signers use the same CA, and the CRL applies for the whole day).<}0{>Этот метод сокращает объем данных, к которым проверяющая сторона должна применить штампы времени. Например, число штампов можно сократить до одного в день (если все подписывающие стороны используют один центр сертификации, а список отзыва сертификата действителен в течение всего дня).<0} {0>The information that needs to be time-stamped is not the actual certificates and CRLs, but the unambiguous references to those certificates and CRLs.<}0{>Информация, к которой нужно применить штамп времени – это не сами сертификаты и списки отзыва, а однозначные ссылки на них.<0}

{0>This technique is referred to as CAdES-X Type 2 in the present document and requires the following:<}77{>В данном документе такой метод называется форматом CAdES-X Type 2 и для его применения необходимо соблюдать следующее условие:<0}

• {0>all the CA certificates references and revocation information references (i.e. CRLs) used in validating the CAdES-C are covered by one or more time-stamps.<}0{>все ссылки на сертификаты центра сертификации и данные об отозванных сертификатах (т.е. списки отзыва сертификатов), используемые при проверке CAdES-C, покрываются одним или несколькими штампами времени.<0}



{0>Thus, a CAdES-C with a time-stamp signature value at time T1 can be proved valid if all the CA and CRL references are time-stamped at time T1+.<}0{>Таким образом, подпись CAdES-C со штампом времени на значении подписи на момент времени T1 может считаться действительной, если штамп времени был применен ко всем ссылкам на сертификаты и списки отзыва сертификатов после T1.<0}

{0>C.4.5<}0{>В.4.5<0} {0>Time-Stamping for Archive of Signature<}100{>Штампы времени для архива подписи<0}

{0>Advances in computing increase the probability of being able to break algorithms and compromise keys.<}0{>Развитие компьютерной отрасли повысило вероятность взлома алгоритмов и компрометации ключей.<0} {0>There is therefore a requirement to be able to protect electronic signatures against this possibility.<}0{>Поэтому существует требование защиты электронных подписей от такой возможности.<0}

{0>Over a period of time, weaknesses may occur in the cryptographic algorithms used to create an electronic signature (e.g. due to the time available for cryptoanalysis, or improvements in cryptoanalytical techniques).<}0{>С течением времени криптографические алгоритмы, использованные для создания электронной подписи, могут потерять стойкость (например, из-за времени, доступного для криптоанализа, или улучшения методов криптоанализа).<0} {0>Before such weaknesses become likely, a verifier should take extra measures to maintain the validity of the electronic signature.<}0{>Перед тем, как вероятность потери стойкости алгоритмов станет высокой, проверяющая сторона должна принять дополнительные меры для обеспечения действительности электронной подписи.<0} {0>Several techniques could be used to achieve this goal, depending on the nature of the weakened cryptography.<}0{>Для достижения этой цели можно использовать разные методы в зависимости от природы ослабления криптографического алгоритма.<0} {0>In order to simplify matters, a single technique called Archive validation data, covering all the cases, is being used in the present document.<}0{>Для простоты в настоящем документе используется один метод – архивные проверочные данные.<0}

{0>Archive validation data consists of the validation data and the complete certificate and revocation data, time-stamped together with the electronic signature.<}0{>Архивные проверочные данные состоят из проверочных данных и полных данных о сертификатах и отозванных сертификатах, которые включены в электронную подпись и которым применен штамп времени.<0} {0>The Archive validation data is necessary if the hash function and the crypto algorithms that were used to create the signature are no longer secure.<}0{>Архивные проверочные данные необходимы, если хэш-функция и криптографические алгоритмы, использованные для создания подписи, более не являются безопасными.<0} {0>Also, if it cannot be assumed that the hash function used by the Time-Stamping Authority is secure, then nested time-stamps of the Archived Electronic Signature are required.<}0{>Кроме того, если хэш-функция, используемая службой штампов времени, не может считаться безопасной, требуются вложенные штампы времени архивной электронной подписи.<0}

{0>The potential for a Trusted Service Provider (TSP) key compromise should be significantly lower than user keys because TSP(s) are expected to use stronger cryptography and better key protection.<}0{>Вероятность компрометации поставщика доверенных услуг должна быть значительно меньше, чем вероятность компрометации ключей пользователя, так как поставщики доверенных услуг, как ожидается, используют более стойкие криптографические алгоритмы и ключи.<0} {0>It can be expected that new algorithms (or old ones with greater key lengths) will be used.<}0{>Можно ожидать, что будут использоваться новые алгоритмы (или старые алгоритмы с более длинными ключами).<0} {0>In such a case, a sequence of time-stamps will protect against forgery.<}0{>В этом случае последовательность штампов времени обеспечит защиту от подделки подписи.<0} {0>Each time-stamp needs to be affixed before either the compromise of the signing key or the cracking of the algorithms used by the TSA.<}0{>Каждый штамп времени должен быть применен до компрометации ключа подписи или взлома алгоритмов, используемых службой штампов времени.<0} {0>TSAs (Time-Stamping Authorities) should have long keys (e.g. which at the time of drafting the present document was at least 2 048 bits for the signing RSA algorithm) and/or a "good" or different algorithm.<}0{>Службы штампов времени должны использовать длинные ключи (так, на момент создания проекта данного документа длина ключа для алгоритма подписи RSA составляла, как минимум, 2048 бит) и более стойкий или другой криптографический алгоритм.<0}

{0>Nested time-stamps will also protect the verifier against key compromise or cracking the algorithm on the old electronic signatures.<}0{>Вложенные штампы времени также защищают проверяющую сторону от компрометации ключа или взлома алгоритма старых электронных подписей.<0}

{0>The process will need to be performed and iterated before the cryptographic algorithms used for generating the previous time-stamp are no longer secure.<}0{>Данный процесс защиты следует реализовать и повторить до того, как криптографические алгоритмы, использованные для создания предыдущего штампа времени, перестанут быть безопасными.<0} {0>Archive validation data may thus bear multiple embedded time-stamps.<}75{>Таким образом, архивные проверочные данные могут содержать множество встроенных штампов времени.<0}

{0>This technique is referred to as CAdES-A in the present document.<}93{>В данном документе такой подход называется форматом CAdES-A.<0}

{0>C.4.6<}0{>В.4.6<0} {0>Reference to Additional Data<}100{>Ссылки на дополнительные данные<0}

{0>Using CAdES-X Type 1 or CAdES-X Type 2 extended validation data, verifiers still need to keep track of all the components that were used to validate the signature, in order to be able to retrieve them again later on.<}0{>Даже при использовании расширенных проверочных данных CAdES-X Type 1 или CAdES-X Type 2 проверяющие стороны все равно должны отслеживать все компоненты, использованные для проверки подписи, чтобы в дальнейшем иметь возможность их извлечения.<0} {0>These components may be archived by an external source, like a Trusted Service Provider; in which case, referenced information that is provided as part of the ES with Complete validation data (CAdES-C) is adequate.<}0{>Эти компоненты могут быть заархивированы внешним источником, например, поставщиком доверенных услуг. В этом случае информация, предоставленная как часть электронной подписи с полными проверочными данными (CAdES-C), является адекватной.<0} {0>The actual certificates and CRL information reference in the CAdES-C can be gathered when needed for arbitration.<}0{>Фактические ссылки на сертификаты и сведения о списке отзыва сертификатов в подписи CAdES-C можно получить, когда они необходимы для арбитража.<0}

{0>If references to additional data are not adequate, then the actual values of all the certificates and revocation information required may be part of the electronic signature.<}0{>Если ссылки на дополнительные данные не являются адекватными, может потребоваться включить фактические значения всех данных о сертификатах и списках отзыва в электронную подпись.<0} {0>This technique is referred to as CAdES-X Long Type 1 or CAdES-X Long Type 2 in the present document.<}65{>В данном документе такой подход называется форматом CAdES-X Long Type 1 и CAdES-X Long Type 2.<0}

{0>C.4.7<}0{>В.4.7<0} {0>Time-Stamping for Mutual Recognition<}100{>Штампы времени для взаимного распознавания<0}

{0>In some business scenarios, both the signer and the verifier need to time-stamp their own copy of the signature value.<}0{>В некоторых бизнес-сценариях и подписывающая, и проверяющая стороны должны применить штамп времени к собственной копии значения подписи.<0} {0>Ideally, the two time-stamps should be as close as possible to each other.<}0{>В идеальной ситуации два штампа времени должны быть максимально близки друг к другу по времени.<0}

{0>EXAMPLE:<}0{>ПРИМЕР.<0} {0>A contract is signed by two parties, A and B, representing their respective organizations; to time-stamp the signer and verifier data, two approaches are possible:<}0{>Контракт подписывается двумя сторонами, А и Б, представляющими соответствующие организации. Доступны два метода применения штампа времени к данным подписывающей и проверяющей сторон:<0}

  • {0>under the terms of the contract, a predefined common "trusted" TSA may be used;<}0{>по условиям данного контракта можно использовать одного заранее известного «надежного» поставщика доверенных услуг;<0}

  • {0>if both organizations run their own time-stamping services, A and B can have the transaction time-stamped by these two time-stamping services.<}0{>если обе организации используют собственные службы штампов времени, А и Б могут применить штамп времени к транзакции с помощью этих служб штампов времени.<0}

{0>In the latter case, the electronic signature will only be considered valid if both time-stamps were obtained in due time (i.e. there should not be a long delay between obtaining the two time-stamps).<}0{>Во втором случае электронная подпись будет считаться действительной, только если оба штампа времени были получены в приемлемое время (т. е. между получением штампов времени не должно быть длительной задержки).<0} {0>Thus, neither A nor B can repudiate the signing time indicated by their own time-stamping service.<}0{>Таким образом, ни А, ни Б не смогут отказаться от времени подписи, указанного собственной службой штампов времени.<0} {0>Therefore, A and B do not need to agree on a common "trusted" TSA to get a valid transaction.<}0{>Поэтому А и Б не нужно договариваться о «надежном» поставщике доверенных услуг для осуществления действительной транзакции.<0}

{0>It is important to note that signatures may be generated "off-line" and time-stamped at a later time by anyone, e.g. by the signer or any recipient interested in validating the signature.<}86{>Следует отметить, что подписи могут быть созданы в автономном режиме, а штампы времени могут быть применены кем угодно в дальнейшем, например подписывающей стороной или получателем, заинтересованным в действительности подписи.<0} {0>The time-stamp over the signature from the signer can thus be provided by the signer, together with the signed document, and/or be obtained by the verifier following receipt of the signed document.<}70{>Таким образом, можно предоставить штамп времени подписывающей стороне вместе с подписанным документом, или же он будет принят получателем после приема подписанного документа.<0}

{0>The business scenarios may thus dictate that one or more of the long-term signature time-stamping methods described above be used.<}0{>Бизнес-сценарии могут потребовать использования одного или нескольких , описанных выше методов применения штампа времени к долгосрочной подписи.<0} {0>This may be part of a mutually agreed Signature Validation Policy that is part of an agreed signature policy under which digital signatures may be used to support the business relationship between the two parties.<}0{>Эта информация может быть включена в согласованный регламент проверки подписи, входящий в общий регламент подписи, согласно которому цифровые подписи можно использовать для поддержки деловых отношений между двумя сторонами.<0}

{0>C.4.8<}0{>В.4.8<0} {0>TSA Key Compromise<}100{>Компрометация ключа службы штампов времени<0}

{0>TSA servers should be built in such a way that once the private signature key is installed, there is minimal likelihood of compromise over as long as a possible period.<}0{>Серверы службы штампов времени должны быть реализованы так, чтобы после установки закрытого ключа подписи вероятность его компрометации была минимальной в течение максимально долгого периода времени.<0} {0>Thus, the validity period for the TSA's keys should be as long as possible.<}0{>Таким образом, период действия ключей службы штампов времени должен быть как можно более длительным.<0}

{0>Both the CAdES-T and the CAdES-C contain at least one time-stamp over the signer's signature.<}0{>И CAdES-T, и CAdES-C содержат по крайней мере один штамп времени для подписи подписывающей стороны.<0} {0>In order to protect against the compromise of the private signature key used to produce that time-stamp, the Archive validation data can be used when a different Time-Stamping Authority key is involved to produce the additional time-stamp.<}0{>Для обеспечения защиты от компрометации закрытого ключа подписи, использованного для создания штампа времени, можно применять архивные проверочные данные, если другая служба штампов времени вовлечена в процесс создания дополнительного штампа времени.<0} {0>If it is believed that the TSA key used in providing an earlier time-stamp may ever be compromised (e.g. outside its validity period), then the CAdES-A should be used.<}0{>Если считается, что ключ службы штампов времени, использованный для формирования предыдущего штампа времени, может быть скомпрометирован (например, после истечения срока действия), то следует использовать подпись CAdES-A.<0} {0>For extremely long periods, this may be applied repeatedly using new TSA keys.<}0{>Для очень долгих периодов времени этот процесс можно повторять с использованием новых ключей служб штампов времени.<0}

{0>This technique is referred to as a nested
жүктеу/скачать 2.44 Mb.

Достарыңызбен бөлісу:
1   ...   9   10   11   12   13   14   15   16   17



©dereksiz.org 2024
әкімшілігінің қараңыз
    Басты бет