Цифровые подписи и форматы документов в России
Какой формат офисных документов можно использовать в качестве стандарта межведомственного/внекорпоративного документооборота в России
Пока разбирался с проблемами XML-DSig в OpenXML, задумался над таким интересным вопросом - а какие форматы электронных документов могут быть использованы напрямую (т.е. без помещения их в специальный контейнер) для обмена документами между организациями/ведомствами. Точнее, меня интерсовал вопрос: в какой из распространенных форматов можно внедрить ГОСТ-овскую цифровую подпись.
В качестве кандидатов для обмена офисными документами я выбрал:
- OpenXML
- ODF
- XPS
(Первые два - распространенные офисные форматы, два последних - форматы неизменного хранения и распространения).
И вот что получилось:
- OpenXML - ну, с ним все ясно. Из-за ограничений спецификации XML-DSig, использовать национальные криптоалгоритмы в нем нельзя.
- XPS - он построен на том же формате контейнера, что и OpenXML. И имеет те же проблемы.
- ODF - с ним все еще интереснее
- в ODF до версии 1.2 вообще не было описано использование ЭЦП. Вся криптография была только на уровне шифрования zip-контейнера. Причем, официально версии 1.2 еще пока нет - она находится на рассмотрении соответсвующего комитета OASIS.
- даже если версия формата ODF 1.2 будет выпущена, она столкнется с теми же проблемами использования цифровой подписи, что и OpenXML, т.к. на текущий момент, там предлагается использовать все тот же XML-DSig.
- PDF - в спецификации PDF (раздел 8.7.2 Signature Interoperability) указано, что в качестве контейнера используются пакеты на базе PKCS#1 или PKCS#7, но при этом оговаривается лишь использование хэша на базе SHA-* и ассиметричной криптографии на базе семейства RSA.
Так вот, получается, что на сегодняшний день, ни один из перечисленных форматов не поддерживает напрямую внедрение ЭЦП на базе алгоритмов ГОСТ. Если решения и есть, то непредусмотренные стандартами. А других кандидатов на обмен офисными документами как-то не видится.
Коллеги, вопрос к вам - не ошибся ли я и не упустил ли чего? И если я прав, то прямой обмен между организациями документами с внедренной ЭЦП не возможен ни в одном из перечисленных форматов (ну кроме случая, когда организации используют одинаковые обходные механизмы и явно это оговаривают). Так?
Буду очень признателен за ваши комментарии.
Похожие статьи
Комментарии 4
ГОСТы в XML-DSig - люди работают
PDF - сделано (только тяжеловато для использования в промышленных масштабах).
Cryptographic Message Syntax (CMS) RFC 5652 или CMS Advanced Electronic Signatures (CAdES) RFC 5126 - и не надо изобратать свой волшебный формат(велосипед)!
Если до сих пор ничего не разработано единого "с интегрированной ЭЦП" - наверное нет в мире в этом потребности.
Конечно, можно взять и сделать свой супермегаправильноудобный формат, только будет он работать в рамках одной системы/программы (например, как в Office 200#) и нигде больше (т.е. есть и плюсы, и минусы - смотря откуда глядеть :-)). А корректность встраивания СКЗИ (хотя, конечно, это только косвенно связано с форматом криптограммы)?
P.S. опять же есть RFC 5830 , RFC 5831, RFC 5832
А на сколько это соответсвует формату PDF, и особенно PDF/A? Вы не интересовались случайно (я на сайте не нашел информацию, а ставить и разбираться как оно работает сейчас нет времени)