З метою забезпечення повноцінного та безперебійного функціонування інформаційних систем, технічним адміністратором яких призначено ДП «ДІЯ», зокрема, Єдиного державного веб-порталу електронних послуг (Портал Дія) та його складових, визначених постановою Кабінету Міністрів України від 4 грудня 2019 р. № 1137 “Питання Єдиного державного веб-порталу електронних послуг та Єдиного державного порталу адміністративних послуг” (далі — Постанова), а також з урахуванням вимог постанови Кабінету Міністрів України від 2 вересня 2020 р. № 785 «Про реалізацію експериментального проекту щодо використання віддаленого кваліфікованого електронного підпису Смарт-Дія» виникла потреба у реалізації функції зберігання особистих ключів підписувачів у засобі кваліфікованого електронного підпису, що є апаратно-програмним пристроєм, розташованим в окремому, спеціально призначеному для цього приміщенні кваліфікованого надавача електронних довірчих послуг (абзац 4 пункту 1 постанови Кабінету Міністрів України від 2 вересня 2020 р. № 785).
Вирішення згаданого питання вбачається можливим за таких умов:
1. Наявність у апаратно-програмного пристрою експертного висновку за результатами державної експертизи у сферах криптографічного та технічного захисту інформації, у тому числі як засобу кваліфікованого електронного підпису;
2. Висока ємність модуля апаратно-програмного пристрою для зберігання особистих ключів підписувачів (не менше 1 млн.);
3. Висока швидкість формування електронного підпису (не менше 6.000/сек) та спільного секрету (не менше 750 формувань/сек);
4. Підтримка кластерної архітектури, у тому числі, у територіально розподілених мережах;
5. Технічна сумісність з програмно-технічним комплексом кваліфікованого надавача електронних довірчих послуг «Дія».
Згідно частини третьої статті 8 Закону України «Про захист інформації в інформаційно-телекомунікаційних системах» для створення комплексної системи захисту державних інформаційних ресурсів або інформації з обмеженим доступом, вимога щодо захисту якої встановлена законом, використовуються засоби захисту інформації, які мають сертифікат відповідності або позитивний експертний висновок за результатами державної експертизи у сфері технічного та/або криптографічного захисту інформації. Підтвердження відповідності та проведення державної експертизи цих засобів здійснюються в порядку, встановленому законодавством.
На етапі введення в експлуатацію програмно-технічного комплексу ІТС кваліфікованого надавача електронних довірчих послуг «Дія» (далі – Надавач) були отримані експертні висновки за результатами експертиз з галузях криптографічного захисту інформації (КЗІ) та технічного захисту інформації (ТЗІ), якими підтверджено коректність реалізації функцій КЗІ з урахуванням (направленого шифрування та електронного підпису) передбачених проектною документацією на системи визначеними засобам КЗІ.
Відповідно до вимог законодавства щодо здійснення криптографічного захисту інформації в державі, розробка засобів КЗІ здійснюється відповідно до вимог нормативно-правових актів і національних стандартів у сфері КЗІ, а також державних стандартів розроблення та поставлення продукції на виробництво.
При цьому кожний засіб КЗІ створюється з чітко визначеною метою (гриф обмеження доступу до інформації, яка захищається, реалізація тих чи інших криптографічних алгоритмів та криптографічних протоколів, функціональне призначення тощо). Як правило, засоби КЗІ різних виробників не призначені для спільного (зустрічного) застосування, за винятком засобів КЗІ, що створюються за єдиними вимогами для використання в національній інфраструктурі відкритих ключів.
На теперішній час до таких вимог належать:
1) Постанова Кабінету Міністрів України від 07.11.2018 № 992 "Про затвердження вимог у сфері електронних довірчих послуг та Порядку перевірки дотримання вимог законодавства у сфері електронних довірчих послуг";
2) Наказ Адміністрації Державної служби спеціального зв'язку та захисту інформації України від 20.07.2007 № 141 "Про затвердження Положення про порядок розроблення, виробництва та експлуатації засобів криптографічного захисту інформації";
3) Наказ Міністерства цифрової трансформації України та Адміністрації Державної служби спеціального зв’язку та захисту інформації України від 30.09.2020 № 140/614, зареєстрований в Міністерстві юстиції України 22 жовтня 2020 р. за № 1039/35322 «Про встановлення вимог до технічних засобів, процесів їх створення, використання та функціонування у складі інформаційно-телекомунікаційних систем під час надання кваліфікованих електронних довірчих послуг»;
4) Наказ Адміністрації Державної служби спеціального зв'язку та захисту інформації України від 18.12.2012 № 739 "Про затвердження Вимог до форматів криптографічних повідомлень". Зареєстровано в Міністерстві юстиції України 14 січня 2013 р. за № 108/22640.
Варто зазначити, що до єдиних вимог в контексті розробки апаратно-програмних модулів для забезпечення генерації та зберігання особистих ключів можна віднести лише Наказ Адміністрації Державної служби спеціального зв'язку та захисту інформації України від 20.07.2007 № 141 "Про затвердження Положення про порядок розроблення, виробництва та експлуатації засобів криптографічного захисту інформації", який визначає єдині засади стосовно такої розробки та не висуває вимог щодо сумісності таких засобів, обов’язкових алгоритмів, протоколів та форматів.
У зв’язку з цим, було проведено порівняльний аналіз інформації про апаратно-програмні засоби КЗІ, які мають експертні висновки за результатами державної експертизи у галузі КЗІ, які представлено на офіційному веб-ресурсі Адміністрації Держспецзв’язку.
В ході аналізу будо визначено, що окрім обладнання, яке натепер входить до складу ІТС Надавача виробництва ПрАТ «Інститут інформаційних технологій» (далі – АТ «ІІТ») типу «Гряда-301» (високопродуктивний пристрій), потенційними аналогами за цільовим та функціональним призначенням можуть розглядатись апаратно-програмні засоби КЗІ виробництва ТОВ «Автор» типу CryptoLine 3x8.
Проведено аналіз технічної документації та опису апаратно-програмних засобів КЗІ виробництва АТ «ІІТ» та ТОВ «Автор», найбільш близьких за призначенням та функціональними можливостями, наведених на офіційних сайтах виробників.
За результатами аналізу інформації, встановлено, що зазначені засоби КЗІ розроблені відповідно до різних технічних завдань та технічних умов:
- для Криптомодуля мережевого “Гряда-301”: технічне завдання ЄААД.469535.049 ТЗ, ТУ У 30.0-22723472-003:2008;
- для Модуля безпеки “CryptoLine 358”: технічне завдання АЧСА.467759.009, ТУ У 30.0-32248356-005:2006.
Функції генерації ключових даних та їх використання реалізовані за різними методиками, які проходять окреме погодження із Адміністрацією Держспецзв`язку під час розробки апаратно-програмних засобів КЗІ:
- для Криптомодуля мережевого “Гряда-301”: Методика генерації ключових даних, погоджена з Адміністрацією Держспецзв’язку (ЄААД.468244.020 Д1.05).
- для Модуля безпеки “CryptoLine 358”: Методика вироблення сеансового ключа, автентифікації, генерування випадкових послідовностей та контролю засобів криптографічного захисту інформації, погоджена з Адміністрацією Держспецзв’язку (АЧСА.460709.001).
У Таблиці 1 наведено дані щодо призначення та функціональних можливостей апаратно-програмних засобів КЗІ, які потенційно можуть використовуватись для модернізації програмно-технічного комплексу ІТС Надавача для забезпечення генерації та зберігання особистих ключів, забезпечення реалізації онлайн сервісів таких як обробка запитів користувачів на визначення статусу сертифіката (OCSP) та обробки запитів користувачів на формування позначки часу (TSP).
Таблиця 1
Гряда 301
(АТ «ІІТ») (високопродуктивний пристрій) CryptoLine 358
(ТОВ «Автор»)
шифрування за ДСТУ ГОСТ 28147:2009 (режим простої заміни, режим гамування та режим вироблення імітовставки) шифрування за ДСТУ ГОСТ 28147:2009 (в режимах простої заміни, гамування, гамування зі зворотнім зв’язком та вироблення імітовставки)
ЕЦП за ДСТУ 4145-2002 (для ступенів поля 163, 167, 173, 179, 191, 233, 257, 307, 367, 431 у поліноміальному базисі) ЕЦП за ДСТУ 4145-2002 (для ступенів поля 191, 257, 509 у поліноміальному базисі)
ЕЦП за RSA за PKCS#1 (IETF RFC 3447) дані відсутні в офіційних джерелах
ЕЦП за ECDSA за ДСТУ ISO/IEC 14888-3:2014 дані відсутні в офіційних джерелах
гешування за ГОСТ 34.311-95 гешування за ГОСТ 34.311-95
протоколи розподілу ключів за ДСТУ ISO/IEC 15946-3 (пп. 8.2, Діффі-Гелмана в гр.т. еліптичної кривої на основі ДСТУ 4145-2002) дані відсутні в офіційних джерелах
протоколи розподілу ключів за ДСТУ ISO/IEC 15946-3 (за ECDH)
дані відсутні в офіційних джерелах
Швидкість формування ЕЦП за ДСТУ 4145-2002, поле 257:
час формування ЕЦП - 0,14 мс,
кількість формувань ЕЦП - 6900 формувань/с Швидкість формування ЕЦП за ДСТУ 4145-2002, поле 257:
час формування ЕЦП - 2,6 мс,
кількість формувань ЕЦП - 385 формувань/с.
Швидкість формування ЕЦП за RSA, 2048 біт (SHA-256):
час формування ЕЦП – 4,5 мс,
кількість формувань ЕЦП - 225 формувань/с дані відсутні в офіційних джерелах
Швидкість формування ЕЦП за ECDSA, NIST P-256 (secp256r1), 256 біт:
час формування ЕЦП - 0,32 мс,
кількість формувань ЕЦП - 3100 формувань/с дані відсутні в офіційних джерелах
Швидкість формування спільного секрету за ДСТУ ISO/IEC 15946-3 (Діффі-Гелмана в гр.т. еліптичної кривої), поле 431:
час формування спільного секрету - 1,15 мс,
кількість формувань спільного секрету (державного): 875 формувань/с дані відсутні в офіційних джерелах
Швидкодія протоколу розподілу ключів за RSA:
час розшифрування даних – 4,5 мс,
кількість розшифрувань даних - 220 розшифрувань/с дані відсутні в офіційних джерелах
Швидкодія протоколу розподілу ключів за ECDH: час формування спільного секрету – 5,12 мс,
кількість формувань спільного секрету - 196 формувань/с дані відсутні в офіційних джерелах
Інтерфейси:
Ethernet 10/100/1000 – 2 шт. Інтерфейси:
USB 2.0 – 1 шт.
Можливість кластеризації обладнання:
Так Можливість кластеризації обладнання:
Ні
4 194 304 (зберігання наборів ключів ЕЦП та протоколів розподілу)
У Таблиці 2 наведено показники швидкодії роботи ПТК «ІІТ ЦСК-1» (АТ «ІІТ») та «CryptoKDC» (ТОВ «Автор»), які напряму залежать від швидкодії виконання операцій криптографічних перетворень апаратно-програмними засобами КЗІ, що входять до складу ПТК.
Таблиця 2
Показник Значення для ПТК
«ІІТ ЦСК-1» (АТ «ІІТ») Значення для ПТК
«CryptoKDC» (ТОВ «Автор»)
Час обробки запиту користувача на формування сертифіката не більше 1 с не більше 5 с
Час обробки запиту користувача на блокування сертифіката не більше 1 с не більше 5 с
Час обробки запиту користувача на відновлення сертифіката не більше 1 с не більше 5 с
Час обробки запиту користувача на відміну сертифіката не більше 1 с не більше 5 с
Час обробки запитів користувачів на визначення статусу сертифіката не більше 1 с не більше 5 с
Час обробки запитів користувачів на формування позначки часу не більше 1 с не більше 5 с
Таким чином, можна зробити висновок про відсутність на даний момент апаратної та програмної сумісності між апаратно-програмними засобами КЗІ виробництва АТ «ІІТ» (зокрема мережевий криптомодуль «Гряда-301 (високопродуктивний пристрій)» та апаратно-програмними засобами КЗІ виробництва ТОВ «Автор».
При цьому за функціональними можливостями та показниками швидкодії роботи, які напряму залежать від швидкодії виконання операцій криптографічних перетворень апаратно-програмними засобами КЗІ, що входять до складу ІТС Надавача, засоби КЗІ типу CryptoLine 358 (ТОВ «Автор») не дозволяють досягти мети модернізації ІТС Надавача в частині нарощування обчислювальної потужності та підвищення рівня захисту інформації.
Також слід зазначити, що експертний висновок за результатами державної експертизи у сфері КЗІ на засоби КЗІ типу CryptoLine 358 (ТОВ «Автор») на дату створення цього документа є нечинним (експертний висновок ДССЗЗІ України № 05/02/02-95 від 15.01.2015).
Станом на сьогодні в Україні не виявлено інших виробників та постачальників мережного криптомодулю «Гряда -301» (високопродуктивний пристрій).
Таким чином відповідно до абзацу четвертого пункту 2 частини другої статті 40 Закону України «Про публічні закупівлі», а саме: відсутність конкуренції з технічних причин, мають місце підстави для застосування переговорної процедури закупівлі мережного криптомодулю «Гряда -301» (високопродуктивний пристрій) у приватного акціонерного товариства «Інститут інформаційних технологій» (АТ «ІІТ»).