Что такое Федеральный стандарт цифровой подписи США?

Что такое федеральный стандарт цифровой подписи США?

Во все более цифровом мире обеспечение подлинности, целостности и неоспоримости электронных транзакций имеет решающее значение. Цифровые подписи, как безопасный цифровой эквивалент рукописных подписей, широко используются в различных отраслях, таких как финансы, правительство, юридические услуги и здравоохранение. В Соединенных Штатах федеральное правительство разработало строгие стандарты и рамки для цифровых подписей, чтобы обеспечить их юридическую силу и способствовать безопасной электронной связи. В этой статье рассматривается содержание федерального стандарта цифровой подписи США со ссылками на местные нормативные термины и рамки.

Понимание цифровых подписей

Цифровая подпись — это криптографический метод, используемый для проверки подлинности и целостности цифрового сообщения или документа. В отличие от обычных электронных подписей (таких как напечатанное имя или отсканированное изображение), цифровая подпись основана на алгоритмах и криптографических методах, используемых инфраструктурой открытых ключей (PKI). Это гарантирует, что документ действительно подписан владельцем закрытого ключа и не был изменен после подписания.

Цифровые подписи лежат в основе многих служб безопасности, таких как шифрование электронной почты, технология блокчейн, распространение программного обеспечения и представление отчетов о соответствии требованиям.

Федеральные законы, регулирующие цифровые подписи

В Соединенных Штатах основные правовые рамки, регулирующие электронные и цифровые подписи, включают:

1. Закон об электронных подписях в глобальной и национальной торговле (Закон ESIGN) – 2000 г.
2. Единый закон об электронных сделках (UETA) – 1999 г.

Закон ESIGN

Закон ESIGN был принят Конгрессом в 2000 году и наделяет юридической силой электронные подписи и электронные записи, используемые в межштатной или международной торговле. Согласно этому закону:

«Подпись, контракт или другая запись, относящиеся к такой транзакции, не могут быть лишены юридической силы, действительности или исковой силы исключительно на том основании, что они находятся в электронной форме».

Хотя ESIGN не определяет техническую реализацию цифровых подписей, он устанавливает правовую основу. В этом законе подчеркивается «намерение подписать» и «согласие на ведение бизнеса в электронном виде».

UETA

UETA — это типовой закон, принятый 49 штатами, округом Колумбия и Виргинскими островами США (штат Нью-Йорк использует свою собственную версию — Закон об электронных подписях и записях (ESRA)). UETA согласуется с ESIGN и еще больше укрепляет юридическую силу электронных записей и подписей.

Стоит отметить, что оба закона поддерживают технологическую нейтральность, то есть не требуют использования конкретных технологий или поставщиков, что обеспечивает гибкость для предприятий и федеральных агентств при внедрении решений.

Федеральное руководство по цифровой подписи: стандарты NIST

Что касается технических стандартов, федеральное правительство США полагается на Национальный институт стандартов и технологий (NIST). NIST — это нерегулирующий федеральный орган в составе Министерства торговли США, отвечающий за продвижение науки об измерениях, стандартов и технологий.

Федеральный стандарт цифровой подписи определяется стандартом NIST FIPS 186-5, также известным как «Стандарт цифровой подписи (DSS)».

Что такое FIPS 186-5?

FIPS означает Федеральный стандарт обработки информации. FIPS 186-5 определяет утвержденные алгоритмы цифровой подписи и предоставляет техническую основу для создания и проверки этих подписей. Этот стандарт широко используется федеральными агентствами и федеральными подрядчиками.

По состоянию на последнюю опубликованную версию (FIPS 186-5, опубликована в феврале 2023 г.) стандарт включает в себя:

• Алгоритм RSA (PKCS #1 v2.2)
• Алгоритм цифровой подписи (DSA)
• Алгоритм цифровой подписи на эллиптических кривых (ECDSA)
• EdDSA (алгоритм цифровой подписи на кривых Эдвардса)

Все вышеперечисленные алгоритмы основаны на механизмах асимметричного шифрования, где закрытый ключ используется для подписи, а открытый ключ — для проверки.

FIPS 186-5 применяется ко всем федеральным агентствам, использующим методы шифрования для защиты «конфиденциальной, но не секретной» информации.

Федеральная PKI и стандарты цифровой идентификации

Еще одним важным компонентом, дополняющим FIPS 186-5, является Федеральная инфраструктура открытых ключей (FPKI), которая поддерживает безопасное взаимодействие на правительственных платформах. FPKI управляется Федеральным управлением политики PKI (FPKIPA).

В этой инфраструктуре цифровые сертификаты выдаются доверенными центрами сертификации (CA), которые соответствуют строгим требованиям федерального правительства. Эти сертификаты используются для проверки личности пользователей, систем и устройств в федеральных сетях.

Кроме того, специальная публикация NIST 800-63-3 (Руководство по цифровой идентификации) предоставляет всесторонние стандарты для:

• Аутентификации
• Аутентификации пользователей
• Управления федерацией удостоверений
• Управления жизненным циклом учетных данных

Эти руководства обычно используются при выдаче цифровых сертификатов и включении цифровых подписей, используемых в правительственных операциях.

Юридическая сила и соответствие требованиям при федеральном использовании

При внедрении цифровых подписей в федеральных операциях агентства должны обеспечить соответствие своих решений:

1. Использованию алгоритмов цифровой подписи, утвержденных FIPS 186-5
2. Использованию криптографических модулей, проверенных на соответствие FIPS 140-3
3. Интеграции федеральных систем идентификации и учетных данных, таких как PIV (карта персональной идентификации)
4. Соблюдению циркуляра OMB A-130 и Закона об электронном правительстве 2002 года

Кроме того, решения для цифровой подписи должны пройти строгую оценку, чтобы обеспечить их безопасность и совместимость с другими правительственными системами.

Варианты использования в федеральных и юридических приложениях

В правительстве и регулируемых отраслях цифровые подписи широко используются для:

• Подписания контрактов и закупочной документации
• Представления нормативных отчетов (например, в SEC, FDA)
• Обеспечения безопасного доступа к федеральным системам
• Утверждения миссий и разведывательных операций
• Представления юридических документов, нотариальных действий и т. д.

При использовании в частном секторе необходимо ссылаться на конкретные законы штата, такие как Единый закон об электронных сделках Калифорнии (раздел 1633 Гражданского кодекса Калифорнии), для обеспечения соответствия местным требованиям.

Выбор решения для цифровой подписи, соответствующего требованиям

При оценке поставщиков цифровой подписи для федеральной или регулируемой среды агентства и предприятия должны:

• Убедиться, что платформа использует алгоритмы, утвержденные FIPS 186-5
• Требовать интеграции с проверенными центрами сертификации
• Искать сертификацию в рамках таких структур, как FedRAMP, Министерство обороны IL5 и т. д.
• Подтвердить поддержку уровней гарантии идентификации NIST 800-63-3
• Предоставлять полные журналы аудита и информацию о временных метках

Ведущие платформы цифровой подписи обычно проходят регулярные аудиты и специально разработаны для удовлетворения потребностей частных предприятий и государственных учреждений.

Заключение

Федеральный стандарт цифровой подписи США — это многоуровневая структура, сочетающая в себе юридические полномочия, технические спецификации и операционные протоколы. В основе этого стандарта лежит FIPS 186-5, который является основой для обеспечения криптографической целостности федеральной цифровой связи. Согласовывая практику цифровой подписи с этими федеральными требованиями, государственные учреждения и частные партнеры могут обеспечить безопасность, совместимость и юридическую силу во всех электронных транзакциях.

Понимание и внедрение этих стандартов имеет решающее значение для поддержания соответствия требованиям, защиты конфиденциальных данных и установления доверительных цифровых отношений в современной электронной экосистеме.

Независимо от того, являетесь ли вы сотрудником по соблюдению нормативных требований, ИТ-администратором или разработчиком политики, отслеживание федеральных стандартов цифровой подписи гарантирует, что ваша организация будет юридически защищена, технически безопасна и надежна.

Если ваше учреждение или предприятие рассматривает возможность перехода к цифровым процессам, крайне важно выбрать решение, которое не только отвечает операционным потребностям, но и соответствует федеральным нормативным требованиям США. Обратитесь к публикациям NIST, выберите сертифицированных поставщиков и проконсультируйтесь с юрисконсультом, знакомым с рамками ESIGN и UETA, чтобы обеспечить полное соответствие требованиям.