Два подхода к оценке криптостойкости ключей

На криптостойкость ЭЦП оказывают влияние также свойства пары ключей. Ключи создаются в результате применения средства ЭЦП. Средство ЭЦП — это программное или аппаратное обеспечение, генерирующее пару ключей по запросу пользователя. В основе этого средства также лежит некий алгоритм.

Существует несколько разновидностей алгоритмов, с помощью которых создаются пары ключей. Не все эти алгоритмы имеют одинаковые свойства. Некоторые, на первый взгляд безупречные алгоритмы могут не всегда генерировать полноценные криптостойкие ключи, причем пользователь, создавший себе пару ключей с помощью приобретенного им средства ЭЦП, никогда не узнает о дефектах ключа, пока не потерпит ущерб в результате незаконного использования его ЭЦП или утраты ценных данных.

На государственном уровне возможны два подхода к обеспечению стойкости ключей, находящихся в обороте. Во-первых, возможна сертификация средств ЭЦП уполномоченным органом. В этом случае средства ЭЦП, не прошедшие экспертизу, не получают соответствующего сертификата и запрещаются к применению. Недостаток этого метода может быть связан с тем, что подобная сертификация связана со значительными затратами как финансов, так и времени. Не каждый разработчик средств ЭЦП может быть в состоянии вложить необходимые средства в их сертификацию. С другой стороны, это страхует общество от использования средств ЭЦП, выполненных неквалифицированными кадрами.

Второй подход может заключаться не в сертификации средств ЭЦП, а в сертификации конкретных ключей, созданных с их помощью. В этом случае пары ключей (закрытый и открытый) должны предоставляться органу, выполняющему серти­фикацию. Орган принимает решение, учитывая не только относительную криптостойкость ключей, но и характер деятельности заявителя. То, что можно допустить для малого торгового предприятия, может быть неприемлемым для банковской структуры.

Недостатком такого подхода является наличие копий закрытых ключей в государственном органе, где их защита от неправомочного использования (или утраты) находится под сомнением. Возможны и комбинированные решения, объединяющие и сертификацию средств ЭЦП, и сертификацию ключей.