Волнует такой вопрос - реально ли создать электронно-торговую площадку только средствами PHP, отвечающую всем требованиям и ГОСТам РФ? В частности интересует вопрос работы с ЭЦП. Никто не сталкивался с этим? Если кто-то подрядится сделать такую ЭТП - в личку ;-)
я нубъ. аля вебмани ? или аля плати.ру ? если первое - о не , если второе - что в этом проблематичного ?
Для меня пока проблема в работе с ЭЦП. Есть конторы, которые делают ЭЦП, но под конкретные площадки. Мне не понятно, как тогда поступить со своей площадкой - заключать договор с создателями ЭЦП? В целом тут юридический геморрой и я нихера не разбираюсь.
Ensiferum ну если этот функционал реализован как-то в системе на уровне соответствующим госту, то кончено все просто. Но мне кажется что я смутно помню, что где-то в открытых источниках, может даже в педивикии встреачал какие-то алгоритмы реализованные на скриптовых языках, и делающие все те необходимые действия для шифрования на уровне ГОСТа. хз где и когда. вопрос только втом, а надо ли, ибо быстродействие может подкачать. Но мне кажется что для старта можно и на пхп, а когда народу набежит столько что пипец - можно либо докупить мощностей, либо докупить прогеров-системщиков.
я не знаю ГОСТов на ЭЦП. У меня есть только это положение: http://www.ul-goszak.ru/cms/chapter.do? ... 44&cache=1 Сложного там не много. Единственное, чего я не понимаю - это ЭЦП. Смысл ЭЦП, как я понимаю - это два ключа, для шифровки и расшифровки. Получается администратор ЭТП должен содержать ключи расшифровки всех участников, участвующих в ЭТП? Да и как вообще работает проверка документа на подлинность? Нигде примера нет, везде лишь сказано, что нужен открытый ключ для этого. Пошуршал по zakazrf.ru, там есть завершенные редукционы, и в них типа доки, подписанные ЭЦП. Но эти доки скачиваются и смотрятся без подписи. Типа сервер сам расшифровывает или где? В общем я запутался, как с этими ЭЦП работать
Есть 2 ключа. Открытый и закрытый. Открытый ключ лежит в некотором хранилище, ассоциирован с конкретным человеком и доступен всем заинтересованным лицам. Закрытый ключ храниться у самого человека и не должен быть доступен никому кроме него. Схема работы ЭЦП следующая: Человек с помощью закрытого ключа подписывает хэш(ибо он должен быть уникален для каждого документа) документа. Получается некое число(подпись). Это число вместе с документом отправляется получателю. Получатель высчитывает хэш документа, преобразует с помощью открытого ключа подпись и сравнивает получившиеся значения. Если они равны, то именно этот человек подписал именно этот документ.
Вообще я не знаю как технически работает подпись документов с помощью ЭЦП между организациями. Внутри одной организации может существовать некая система которая и регулирует данные вопросы. Теоретически я допускаю существование некой независимой программы, которая может проверять достоверность ГОСТ ЭЦП. Я ЭЦП только реализовывал и не разбирался как ей пользуются дальше рамок одного структурного подразделения.
там не программа, а алгоритм. ЭЦП хранятся в каком-то гос реестре. т.е. можно удостовериться. Там во всей этой системе "круговая порука" Самый главный выдает сертификат, подписанный толи самим собой толи как-то так, какой-то организации, что она имеет право выдавать сертификаты, и эти сертификаты настоящие, если они подписаны таким-то ключем. Соотв, эта фирма выдает всем желающим сертификаты, о том, что этот сертификат заверен этой фирмой, т.к. она имеет сертификат, дающей ей право это делать. А ваша фирма, обладая сертификатом, подписанным этой фирмой, может подписывать документы открытым ключом, и каждый может удостовериться в этом. могу ошибаться в деталях, но суть примерно такая. Поэтому самоподписные сертификаты не прокатывают в нормальных программах, т.к. любой идиот может перехватить переписку и подменять любые пакеты самоподписным сертификатом = самоподписной сертификат это нулевая степень защиты. из вики мы можем узнать, что: С 1 января 2012 года Федеральный закон от 10 января 2002 г. № 1-ФЗ утратит силу, на смену ему придет Федеральный закон от 6 апреля 2011 г. № 63-ФЗ "Об электронной подписи" соотв, надо глянуть в этот закон и там понять кто является достойным центром сертификации.
Подписывают закрытым ключом. А вот этого не понял. Что может перехватить "любой идиот"? Подписанное сообщение? Да может, может и подменить, но не имея закрытого ключа не сможет подписать сообщение и проверка валидности провалиться. В том и смысл ЭЦП. Или он может перехватить сертификат(т.е. закрытый ключ)? А нахрена закрытые ключи по сетке внутри организации пересылать так что их "любой идиот" может перехватить? Кстати, на данный момент организация вполне может использовать свои сертификаты(т.е. те которые создала сама, а не те что дала сертифицированная организация) внутри себя.
да. закрытым подписывают. Volt(220) А вот этого не понял. Что может перехватить "любой идиот"? Подписанное сообщение? Да может, может и подменить, но не имея закрытого ключа не сможет подписать сообщение и проверка валидности провалиться. самоподписным сертификатом тот кто перехватил своим же и подпишет.
igordata Смотри: Есть человек А он подписал сообщение Ас своим закрытым ключом Аз и отправил его человеку Б. Есть злоумышленник Х. Он перехватил сообщение Ас. Заменил его на свое Хс и подписал его своим закрытым ключом Хз. Человек Б получил сообщение Хс. Взял открытый ключ Ао. Проверил сообщение Хс и выяснил что подпись неверна. Таким образом злоумышленник не достиг своей цели. Есть конечно вариант, что злоумышленник перехватил не только сообщение, но и запрос на открытый ключ, и результат запроса подменил своим. Но также есть вариант, что база открытых ключей локальна и тогда злоумышленник не сможет подменить открытый ключ Ао на свой Хо.
Volt(220) если перехват осуществляется с самого начала, то Б не сможет понять, что его обманули, т.к. получит не тот ключ. Именно то, что подлинность сертификата удостоверяется уполномоченной вышестоящей организацией и является гарантом. в теории. на практике ситуация с центрами сертификации гораздо хуже. Однако самоподписной сертификат это 100% пшик.
igordata Какая разница куда идет запрос на открытый ключ (к нашей организации или к уполномоченной организации) если злоумышленник и так контролирует траффик Б? Какая разница какой ответ менять от нашей или от уполномоченной организации? И вообще как ты себе представляешь систему? Я вижу 3 варианта: 1)Сообщение и открытый ключ посылаются одним махом. 2)Человек получает сообщение и делает запрос на открытый ключ по ФИО подписавшего. Получает открытый ключ. 3)Человек получает сообщение и ищет открытый ключ в локальной базе по ФИО подписавшего.
Volt(220) подумай. я не учебник, а ты не в школе и не новичек. наморщи лоб. почитай. центры сертификации существуют с единственной целью - гарантировать участнику Б что он смотрит на ключ участника А, а не хер знает чей.