PKI

Что это значит

PKI, инфраструктура открытых ключей, - это система удостоверяющих центров, сертификатов и ключей, позволяющая проверить, кому принадлежит открытый ключ. У каждого пользователя есть пара ключей: закрытый он хранит сам, открытый входит в сертификат, где личность владельца подтверждает доверенный центр.

На PKI держатся HTTPS на сайтах, электронная подпись, шифрованная почта и сертификаты на eID-карте. Браузер или программа доверяет сертификату потому, что он подписан центром из списка доверенных, а тот своей подписью ручается за проверку владельца.

В ЕС правовые рамки PKI задаёт регламент eIDAS. Квалифицированные поставщики доверенных услуг выдают сертификаты, с которыми квалифицированная электронная подпись имеет ту же силу, что собственноручная, во всех государствах-членах.

Как это работает на практике

Предприниматель сталкивается с PKI, подписывая обращения в госорганы, договоры и учётные документы, входя в электронные сервисы и поддерживая сайт. Срок действия сертификатов ограничен, поэтому нужно следить за ним и вовремя продлевать, иначе перестанет работать подпись или сайт.

Для сайта достаточно обычного SSL-сертификата, часто бесплатного и продлеваемого автоматически. Для подписи договоров и обращений нужен квалифицированный сертификат на смарт-карте или в устройстве удалённой подписи. Разница - в уровне проверки личности и в юридической силе.

Крупные компании держат собственную внутреннюю PKI для проверки устройств в корпоративной сети, VPN или подписи внутренних документов. Управление закрытыми ключами удостоверяющего центра тогда критично; оно относится к режиму привилегированного доступа и регулярного аудита.

На что обратить внимание

Вся безопасность PKI держится на защите закрытого ключа. Если ключ попадёт в чужие руки, например с плохо защищённого компьютера, злоумышленник сможет подписывать от имени владельца. Скомпрометированный сертификат нужно немедленно отозвать у выпустившего центра.

При архивировании документов с электронной подписью нужно учитывать, что сертификаты со временем истекают, а алгоритмы устаревают. Для долгосрочной доказуемости используют метки времени и сервисы долговременного архивирования, чтобы подпись можно было проверить и через десять лет.