• Познакомьтесь с пентестом веб-приложений на практике в нашем новом бесплатном курсе

    «Анализ защищенности веб-приложений»

    🔥 Записаться бесплатно!

  • CTF с учебными материалами Codeby Games

    Обучение кибербезопасности в игровой форме. Более 200 заданий по Active Directory, OSINT, PWN, Веб, Стеганографии, Реверс-инжинирингу, Форензике и Криптографии. Школа CTF с бесплатными курсами по всем категориям.

ЭЦП и коррекция данных, архивирование

  • Автор темы Akupaka
  • Дата начала
A

Akupaka

Привет всем!

"Мои мысли, мои скакуны"... В раздумиях наткнулся на вопрос, на который не могу себе ответить, в виду отсутствия практических навыков в работе с ЭЦП.
Думаю, тема будет инеересна многим, особенно новичкам в ЭЦП :)

Вот, к примеру, есть некоторый документ в некоторой СЭД.
Документ состоит, обычно, из служебных данных, данных из некоторых словарей, и данных, которые вносит пользователь самостоятельно.
Поступила, к примеру, задача: ввести ЭЦП для обеспечения... чего она там обеспечивает?.. забыл это умное слово :) в общем, чтобы было ясно, что оператор, который ввел информацию утвердил ее своей подписью.
И вот, когда все отлаженно работает, вроде бы никаких вопросов возникнуть не должно. Но, как у нас часто бывает, иногда данные, которые введены ранее необходимо как-то изменить.
Если пользователь накладывает свою подпись лишь на часть документа, которую он вводит лично, то еще ладно.
Но, если подпись накладывается еще и на данные из словаря, и словарь "вдруг" необходимо изменить, и внести соответствующее изменение и в подготовленный ранее документ то подпись пользователя будет накрыта медным тазом, т.с.
Ну, даже, если мы исключим приведенную выше ситуацию, то, обычно, система занимается сбором и обработкой данных, и последующей отправкой их в архив.
Тут возникает аналогичная ситуация - документ изменяется, и, я подозреваю, подпись снова будет накрыта.

Уважаемые практики! :) Расскажите, как происходит управление документами для сохранения ЭЦП и т.п.?
 

ToxaRat

Чёрный маг
Green Team
06.11.2007
3 332
42
BIT
0
Akupaka
ЕЦП нужно накладывать только на ВИДИМЫЕ пользователю данные а не на весь документ :)

и ко всему прочему я не совсем понял при чем тут "изменил словарь" - ?
ну изменили вы словарь, какое это имеет отношение к существующему документу? - или вы каким-то макаром заставили работать лотус как реляционную сисиему, что в документе храните лишь код словарного значения а не само значение? :)

не вижу тут вообще никаких проблем.
На документ наложили ЕЦП - причем исключительно по тем полям подмену и целостность который нужно контролировать, потом документ ложится в архив, при этом эти конкретные поля никогда не страдают.
Чо не так? :)
 
A

Akupaka

ко всему прочему я не совсем понял при чем тут "изменил словарь" - ?
ну изменили вы словарь, какое это имеет отношение к существующему документу?
Тоха, ты то не знаешь, что у нас любят делать задним числом? :)
А словарь относится к документу, потому как имеет вес в данных документа.
Т.е. пользователь отвечает за все данные которые он вносит, но часть этих данных составляю данные из словаря.

На документ наложили ЕЦП - причем исключительно по тем полям подмену и целостность который нужно контролировать, потом документ ложится в архив, при этом эти конкретные поля никогда не страдают
Т.е. если я перенесу документ в другую БД, то лотус воспримет эту подпись как валидную?

А есть какие-то доки по разработке домино приложений с ЭЦП?
 

ToxaRat

Чёрный маг
Green Team
06.11.2007
3 332
42
BIT
0
А словарь относится к документу, потому как имеет вес в данных документа.
допустим выбран тип документа: Наказ
потом это словарное значение удалятют, но в самом документе это значение останется и пользователь подписывался именно под Наказом, так что тут ничего не изменилось.

Тоха, ты то не знаешь, что у нас любят делать задним числом
что в данном случае сделано задним числом?
Дата регистрации? - так тут тот кто подписывает тот и виноват, если он нажал "подписать"
всего-то

Т.е. если я перенесу документ в другую БД, то лотус воспримет эту подпись как валидную?
только в случае, если при переносе не изменилось ни одно поле учавствующее в подписи :)
 
A

Akupaka

Дата регистрации? - так тут тот кто подписывает тот и виноват, если он нажал "подписать"
всего-то
Предлагаю не играть в выяснение кто виноват, иначе виноватым сделаю тебя )))

Есть, к примеру, информация о категории данных. И, к примеру, на 01.06 было создано 10 документов под категорией А, а 10.06 категорию А переименовали в Б, и решили, что сделали это от 01.05. Соотв, поддержка меняет название категории, и пользователи хотят видеть 10 старых доков под новой категорией. И именно так.
Я пока вижу единственный способ - переподписать документы пользователями, но это весьма геморно.
Либо подписывать кем-то более важным в организации, которому "исправленому верить". Используется ли это на практике?
 

Мыш

Lotus Team
12.02.2008
1 213
29
BIT
43
Смысл ЭЦП, вроде, в том и есть, что позволяет подтвердить, что данные получены неискаженными, т.е., не менялись. Если надо постоянно что-то менять, то я большого смысла в подписи не вижу.
 
A

Akupaka

Если надо постоянно что-то менять, то я большого смысла в подписи не вижу
Ну, основной вопрос был связан с архивированием, тут я понял.
А с изменениями согласен, мутно и накладно. Но интересно, у кого как? :)
 

ToxaRat

Чёрный маг
Green Team
06.11.2007
3 332
42
BIT
0
значит или переподписывать
или в словарных значения хранить старые синонимы с периодом их действия
иначе такая подпись нафик не нужна, и любой вменеяемый быстро это просёкет и скажет что нифига он не подписывал, а это всё сделал злой админ :)
 
Мы в соцсетях:

Обучение наступательной кибербезопасности в игровой форме. Начать игру!