Планирование параметров цифровых подписей в Office 2010

Какие функции выполняют цифровые подписи

Цифровые подписи помогают установить следующие меры проверки подлинности.

• Подлинность   Цифровая подпись и цифровой сертификат позволяют гарантировать подлинность личности подписавшего, чтобы другое лицо не могло выдать себя за создателя документа (что соответствовал бы подделыванию печатного документа).

• Целостность   С помощью цифровой подписи можно удостоверить неизменность содержимого документа с момента его подписания. Таким образом, документ не может быть перехвачен и изменен без ведома его создателя.

• Неотрекаемость   Цифровая подпись помогает доказать любой из сторон подлинность создателя подписанного контента. "Отречение" означает, что владелец подписи отрицает свою связь с подписанным контентом. Можно доказать, что создатель документа является истинным создателем вне зависимости от утверждений лица, подписавшего документ. Подписавший не может отречься от подписи на документе без отречения от своего цифрового ключа и, следовательно, от других документов, подписанных с помощью этого ключа.

Требования к цифровым подписям

Для выполнения условий создатель документа должен заверить его содержимое цифровой подписью, которая должна удовлетворять следующим требованиям.

• Цифровая подпись должна быть действительной. Центр сертификации, которому доверяет ОС, должен подписать цифровой сертификат, на котором основана цифровая подпись.

• Срок действия сертификата, связанного с цифровой подписью, не истек или содержит временной штамп, который указывает, что сертификат был действителен во время подписи.

• Сертификат, связанный с цифровой подписью, не был отозван.

• Лицо или организация, поставившие цифровую подпись (называемые издателем), должны вызывать доверие у получателя.

Word 2010, Excel 2010 и PowerPoint 2010 обнаруживают эти критерии и предупреждают пользователя, если есть какая-либо проблема с цифровой подписью. Сведения о проблемах с сертификатами можно легко получить с помощью панели задач сертификата в приложении Office 2010. Приложения Office 2010 позволяют добавлять несколько цифровых подписей к одному и тому же документу.

Цифровые подписи в бизнес-среде

Далее показано, как можно использовать цифровые подписи документов в бизнес-среде.

1. Сотрудник использует Excel 2010 для создания отчетов о расходах; он создает три строки подписи: для себя, для руководителя и для бухгалтерии. Эти строки позволяют определить создателя документа и гарантировать, что после передачи документа руководителю и в бухгалтерию никаких изменений внесено не будет. Также это позволит подтвердить получение документа руководителей и бухгалтерией.

2. Руководитель получает документ и удостоверяет его цифровой подписью, подтверждая получение и одобрение документа. Затем документ пересылается в бухгалтерию для оплаты.

3. Сотрудник бухгалтерии получает и подписывает документ, тем самым подтверждая его получение.

В этом примере показано использование нескольких подписей в одном документе Office 2010. Кроме подписи создатель документа может добавить рисунок с подписью или использовать планшетный ПК, чтобы внести подпись вручную. Также поддерживается функция “резиновой печати”, которая служит для подтверждения получения документа определенным сотрудником.

Проблемы совместимости

Office 2010, как и Выпуск 2007 системы Office, использует формат цифровых подписей XML-DSig. Кроме того, в Office 2010 добавлена поддержка XAdES (XML Advanced Electronic Signatures). XAdES — это набор уровневых расширений XML-DSig, уровни которых основаны на предыдущих для обеспечения более высокой надежности цифровых подписей. Дополнительные сведения об уровнях XAdES, которые поддерживаются в Office 2010, см. в разделе Использование цифровых подписей далее в этой статье. Дополнительные сведения о стандарте XAdES см. в спецификации XML Advanced Electronic Signatures (XAdES) (Возможно, на английском языке) (https://go.microsoft.com/fwlink/?linkid=186631\&clcid=0x419) (Возможно, на английском языке).

Важно помнить, что цифровые подписи, созданные в Office 2010, несовместимы с версиями Microsoft Office более ранними, чем Выпуск 2007 системы Office. Например, если документ подписан приложением в Office 2010 или Выпуск 2007 системы Office и открывается с помощью приложения в Microsoft Office 2003, в котором установлен пакет обеспечения совместимости Office, пользователь будет проинформирован, что документ подписан в более новой версии Microsoft Office, и цифровая подпись будет утеряна.

На рисунке далее представлено предупреждение об удалении цифровой подписи при открытии документа в более ранней версии Office.

Кроме того, если XAdES используется для цифровой подписи в Office 2010, цифровая подпись не будет совместима с Выпуск 2007 системы Office, если не задать для параметра групповой политики Не включать объект ссылки XAdES в манифест значение Отключено. Дополнительные сведения о параметрах цифровой подписи в групповой политике см. в разделе Настройка цифровых подписей далее в этой статье.

Если требуется, чтобы цифровые подписи, созданные в Office 2010, были совместимы с Office 2003 и более ранними версиями, можно задать для параметра групповой политики Подписи в формате предыдущей версии значение Включено. Этот параметр групповой политики размещен в разделе Конфигурация пользователя\Административные шаблоны\(ADM\ADMX)\Microsoft Office 2010\Подписи. После задания значения Включено приложения Office 2010 используют двоичный формат Office 2003 для применения цифровых подписей к двоичным документам Office 97–2003, созданным в Office 2010.

Сертификаты, создаваемые с помощью корпоративной инфраструктуры PKI

Организации могут создать собственную инфраструктуру PKI. В этом случае компания должна настроить один или несколько центров сертификации (ЦС), которые могут создавать цифровые сертификаты для компьютеров и пользователей компании. В сочетании со службой каталогов Active Directory возможно создание сложного решения PKI, при котором цепочка корпоративных центров сертификации устанавливается на всех компьютерах, управляемых компанией, а пользователям и компьютерам автоматически назначаются цифровые сертификаты для удостоверения и шифрования документов. Это позволяет всем сотрудникам организации автоматически доверять цифровым сертификатам от других сотрудников той же организации.

Дополнительные сведения см. в разделе Службы сертификатов Active Directory (https://go.microsoft.com/fwlink/?linkid=119113\&clcid=0x419) (Возможно, на английском языке).

Коммерческие сертификаты

Коммерческие сертификаты приобретаются у специализированной компании по продаже цифровых сертификатов. Основное преимущество таких сертификатов в том, что коммерческий сертификат центра сертификации автоматически устанавливается в операционных системах Windows, что позволяет компьютерам автоматически считать корневой сертификат этого поставщика надежным. В отличие от корпоративного решения PKI коммерческие сертификаты позволяют совместно использовать подписанные документы с пользователями, не относящимися к данной организации.

Существует три вида коммерческих сертификатов.

• Класс 1   Сертификаты данного класса выдаются частным лицам с допустимыми адресами электронной почты. Сертификаты класса 1 подходят для цифровых подписей, шифрования и управления электронным доступом к некоммерческим операциям, для которых не требуется подтверждение личности.

• Класс 2   Сертификаты класса 2 выдаются частным лицам и устройствам. Сертификаты для частных лиц позволяют ставить цифровые подписи, выполнять шифрование и осуществлять электронный доступ к операциям, в которых достаточно подтверждения подлинности личности на основе сведений в проверяющей базе данных. Сертификаты класса 2 для устройств позволяют проверять подлинность устройств, целостность сообщений, ПО и контента и выполнять шифрование конфиденциальных сведений.

• Класс 3   Сертификаты класса 3 выдаются частным лицам, организациям, серверам, устройствам и администраторам для центров сертификации и служб выдачи корневых сертификатов (RA). Индивидуальные сертификаты данного вида позволяют ставить цифровые подписи, выполнять шифрование и получать доступ к элементам управления операций, в которых необходимо подтверждение подлинности личности. Сертификаты для серверов позволяют выполнять проверку подлинности серверов, целостности сообщений, ПО и контента, а также выполнять шифрование конфиденциальных сведений.

Дополнительные сведения о коммерческих сертификатах см. в разделе Цифровое удостоверение: Office Marketplace (https://go.microsoft.com/fwlink/?linkid=119114\&clcid=0x419).

Цифровые подписи с отметками времени

Возможность Office 2010 добавлять отметку времени в цифровую подпись позволяет расширить ее жизненный цикл. Например, если аннулированный сертификат ранее использовался для создания цифровой подписи, которая содержит отметку времени от надежного сервера временных штампов, цифровая подпись будет считаться действительной, если она была создана перед аннулированием сертификата. Для использования отметок времени с цифровыми подписями требуется выполнить следующие действия.

• Настройте сервер отметок времени, соответствующий стандарту RFC 3161.

• Используйте параметр групповой политики Указать имя сервера для ввода расположения сервера отметок времени в сети.

Кроме того, можно настроить дополнительные параметры отметок времени с помощью следующих параметров групповой политики:

• Настроить алгоритм хэширования отметок времени

• Задать время ожидания для сервера отметок времени

Если не настроить и не включить параметр Настроить алгоритм хэширования отметок времени, будет использоваться значение по умолчанию SHA1. Если не настроить и не включить параметр Задать время ожидания для сервера отметок времени, то Office 2010 будет ожидать ответа от сервера отметок времени в течение 5 секунд.

Настройка цифровых подписей

Помимо параметров групповой политики для настройки параметров, связанных с отметками времени, есть другие параметры групповой политики, с помощью которых можно задать способы настройки цифровых подписей и управлениями ими в организации. Имена и описание параметров указаны в следующей таблице.

Далее перечислены дополнительные параметры групповой политики, связанные с цифровыми подписями:

• Фильтрация использования ключа

• Задать каталог для изображений по умолчанию

• Фильтрация расширенного использования ключа

• Подписи в формате предыдущей версии

• Не отображать поставщики подписи Office

• Не отображать пункт меню "Добавить службы подписи"

Дополнительные сведения о каждом параметре групповой политики см. в файлах справки, которые содержатся в файлах шаблонов администрирования Office 2010. Дополнительные сведения о файлах шаблонов администрирования см. в статье Обзор групповой политики для Office 2010.