Хищник или плячка? Кой ще пази сертификационните центрове

Какво става?

Темата за измамите, извършени с помощта на удостоверение за електронен подпис, напоследък получи широко обществено внимание. Федералните медии са създали правило периодично да разказват ужасяващи истории за случаи на злоупотреба с електронни подписи. Най-разпространеното престъпление в тази област е регистрацията на юридическо лице. лица или индивидуални предприемачи от името на нищо неподозиращ гражданин на Руската федерация. Друг популярен метод за измама е транзакция, включваща промяна на собствеността върху недвижими имоти (това е, когато някой продаде вашия апартамент от ваше име на някой друг, но вие дори не знаете).

Но нека не се увличаме с описанието на възможни незаконни действия с цифрови подписи, за да не даваме креативни идеи на измамниците. Нека по-добре да се опитаме да разберем защо този проблем е станал толкова широко разпространен и какво наистина трябва да се направи, за да се изкорени. И за това трябва ясно да разберем какво представляват сертификационните центрове, как точно работят и дали са толкова страшни, колкото ни се представят в медиите и изявленията на заинтересованите страни.

Откъде идват подписите?

И така, вие сте потребителят. Имате нужда от сертификат за електронен подпис. Няма значение за какви задачи и какъв статус сте (фирма, физическо лице, индивидуален предприемач) - алгоритъмът за получаване на сертификат е стандартен. И се свързвате със сертифициращия център, за да закупите сертификат за електронен подпис.

Сертификационният център е компания, на която руското законодателство налага редица строги изисквания.

За да има право да издава усъвършенстван квалифициран електронен подпис, удостоверителният център трябва да премине през специална процедура за акредитация в Министерството на далекосъобщенията и масовите комуникации. Процедурата по акредитация изисква спазването на редица строги правила, които не всяка компания може да спази.

По-специално, CA трябва да има лиценз, който му дава право да разработва, произвежда и разпространява криптиращи (криптографски) инструменти, информационни и телекомуникационни системи. Този лиценз се издава от FSB, след като кандидатът премине серия от строги проверки.

Служителите на CA трябва да имат висше професионално образование в областта на информационните технологии или информационната сигурност.

Законът също така задължава УО да застраховат отговорността си за „загуби, причинени на трети страни в резултат на тяхното доверие в информацията, посочена в сертификата за ключ за проверка на електронен подпис, издаден от такъв УО, или информация, съдържаща се в регистъра на сертификатите, поддържан от такъв УО ” в размер на не по-малко от 30 милиона рубли.

Както можете да видите, не всичко е толкова просто.

Общо в момента в страната има около 500 УО, които имат право да издават ECES (усилено квалифицирано удостоверение за електронен подпис). Това включва не само частни центрове за сертифициране, но и CA към различни държавни агенции (включително Федералната данъчна служба, Руската федерация и др.), Банки, платформи за търговия, включително държавни.

Сертификатът за електронен подпис се създава с помощта на алгоритми за криптиране, сертифицирани от FSB на Руската федерация. Тя позволява на юридически и физически лица да обменят правно значими документи по електронен път. Според официалните данни на КО по-голямата част (95%) от CEP се издава от юридически лица. лица, останалите - физически лица. лица.

След като се свържете с CA, се случва следното:

1. УО проверява самоличността на лицето, което е заявило удостоверение за електронен подпис;
   Едва след потвърждаване на самоличността и проверка на всички документи СО изготвя и издава сертификат, който включва информация за собственика на сертификата и неговия публичен ключ за проверка;
2. СО управлява жизнения цикъл на сертификата: осигурява неговото издаване, спиране (включително по искане на собственика), подновяване и изтичане.
3. Друга функция на СО е обслужването. Не е достатъчно просто да издадете сертификат. Потребителите редовно се нуждаят от всякакъв вид консултации относно реда за издаване и използване на подпис, консултации при кандидатстване и избор на вид удостоверение. Големите CA, като CA на компанията Business Network, предоставят услуги за техническа поддръжка, създават различен софтуер, подобряват бизнес процесите, наблюдават промените в областите на приложение на сертификати и т.н. Конкурирайки се помежду си, CA работят върху качеството на ИТ услуги, развиващи тази област.

Казакът е изпратен!

Нека разгледаме стъпка 1 от горния алгоритъм за получаване на електронни подписи. Какво означава „удостоверяване на самоличността“ на лицето, което е поискало сертификат? Това означава, че лицето, на чието име е издадено удостоверението, трябва лично да се яви или в офиса на УО, или в пункта за издаване, който има договор за партньорство с УО, и да представи оригиналите на документите си там. По-специално, паспорт на гражданин на Руската федерация. В някои случаи, когато става въпрос за подписи за юридически лица. физически лица и индивидуални предприемачи, процедурата по идентификация е още по-сложна и изисква представянето на допълнителни документи.

Точно на този етап, тоест в самото начало, когато нещата още не са стигнали до издаване на удостоверение за подпис, е най-важният проблем. И ключовата дума тук е „паспорт“.

Изтичането на лични данни в страната придоби истински индустриални размери. Има онлайн ресурси, където можете да получите сканирани копия на валидни паспорти на руски граждани за малко пари или дори безплатно. Но сканирания на паспорти в нашата страна, обременени от постсъветското наследство на стила „покажи документи“, могат да бъдат събрани от граждани навсякъде - не само в банки или други финансови институции, но и в хотели, училища, университети, въздушни и железопътни каси, детски центрове, пунктове за обслужване на клетъчни абонати - навсякъде, където изискват да представите паспорта си за обслужване, тоест почти навсякъде. С развитието на дигиталните технологии този широк канал за достъп до лични данни беше пуснат в обращение от криминални работници.

Много разпространени са и „услугите“ за кражба на лични данни на конкретни хора.

Освен това има цяла армия от т.нар. „номиналности“ - хора, като правило, много млади, или много бедни и слабо образовани, или просто изродени, на които престъпниците обещават скромна награда за носенето на паспорта им в CA или в пункта за издаване и поръчване на подпис в техните име там като, например, директор на компания. Излишно е да казвам, че такова лице тогава няма нищо общо с дейността на компанията и не може да окаже реална помощ на разследването, когато измамата бъде разкрита.

Така че сканирането на паспорта ви не е проблем. Но за идентификация трябва оригинален паспорт, как може това, ще попита внимателният читател? И за да се преодолее този проблем, има безскрупулни пунктове за доставка по света. Въпреки строгата процедура за подбор, престъпните герои периодично получават статут на проблемна точка и след това започват да извършват незаконни действия с личните данни на гражданите.

Тези два фактора в комбинация ни създават цялата вълна от проблеми с криминализирането на използването на електронни устройства, които имаме сега.

Има ли безопасност в числата?

Цялата тази, без преувеличение, армия от измамници сега се филтрира само от сертификационни центрове. Всеки CA има свои собствени служби за сигурност. Всеки, който кандидатства за подпис, се проверява внимателно на етап идентификация. Всеки, който иска да сътрудничи в статут на точка на издаване за конкретен СО, също се проверява внимателно както на етапа на сключване на споразумение за партньорство, така и впоследствие, в процеса на бизнес взаимодействие.

Не може да бъде по друг начин, защото нечестното сертифициране заплашва СО със закриване - законодателството в тази област е строго.

Но е невъзможно да се прегърне необятността и някои от безскрупулните точки на издаване все още „изтичат“ в партньорите на CA. И „номинираният“ може изобщо да няма причина да откаже издаването на сертификат - в края на краищата той кандидатства пред СО напълно законно.

Освен това, ако бъде открита измама, включваща подпис от името на конкретно лице, само сертифициращ център ще помогне за разрешаването на проблема. Тъй като сертифициращият център в този случай анулира сертификата за подпис, провежда вътрешно разследване, проследявайки цялата верига на издаване на сертификат и може да предостави на съда необходимите документи за измамни действия при издаване на ключ за електронен подпис. Само материали от сертифициращия център ще помогнат в съда за разрешаване на делото в полза на наистина увредената страна: лицето, на чието име подписът е издаден измамно.

Всеобщата цифрова неграмотност обаче и тук не работи в полза на жертвите. Не всеки стига докрай, за да защити интересите си. Но незаконните действия с цифров подпис трябва да бъдат оспорени в съда. И сертификационните центрове са основната помощ в това.

Да убия всички CA?

И така, в нашата държава беше решено да се направят промени в процедурата за работа на CA и изискванията към тях. Група депутати и сенатори разработиха съответния законопроект, който вече беше приет от Държавната дума на първо четене на 7 ноември 2019 г.

Документът предвижда мащабна реформа на системата за удостоверяване на електронен подпис. По-специално се предполага, че юридическите лица и индивидуалните предприемачи (IP) ще могат да получат подобрен квалифициран електронен подпис (ECES) само от Федералната данъчна служба и финансовите организации от Централната банка. Удостоверителните центрове (УЦ), акредитирани от Министерството на далекосъобщенията и масовите комуникации, които вече издават електронни подписи, ще могат да ги издават само на физически лица.

В същото време се предвижда изискванията за такива УО да бъдат значително затегнати. Минималният размер на нетните активи на акредитиран сертификационен център трябва да бъде увеличен от 7 милиона рубли. до 1 милиард рубли, а минималният размер на финансовата подкрепа – от 30 милиона рубли. до 200 милиона рубли. Ако сертификационният център има клонове в поне две трети от руските региони, тогава минималният размер на нетните активи може да бъде намален до 500 милиона рубли.

Срокът за акредитация на удостоверителните центрове се намалява от пет на три години. Въвежда се административна отговорност за нарушения в работата на удостоверителните центрове от технически характер.

Всичко това трябва да намали измамите с електронни подписи, смятат авторите на законопроекта.

Какъв е резултатът?

Както можете лесно да видите, новият законопроект по никакъв начин не решава проблема с престъпното използване на документи на граждани на Руската федерация и кражбата на лични данни. Няма значение кой ще издаде подписа на CA или Федералната данъчна служба, самоличността на собственика на подписа все още ще трябва да бъде удостоверена и законопроектът не предвижда никакви нововъведения по този въпрос. Ако безскрупулен пункт за издаване работи по престъпни схеми за обикновен CA, тогава какво ще ви попречи да направите същото за държавен?

Сегашната версия на законопроекта в момента не предвижда кой каква отговорност ще носи за издаването на UKEP, ако този подпис е бил използван в измамни дейности. Освен това дори в Наказателния кодекс няма подходящ член, който да позволява наказателно преследване за издаване на удостоверение за електронен подпис въз основа на откраднати лични данни.

Отделен проблем е претоварването на държавните КО, което със сигурност ще възникне при новите правила и ще забави и затрудни предоставянето на услуги на граждани и юридически лица.

Обслужващата функция на СО изобщо не се разглежда в законопроекта. Не е ясно дали ще бъдат създадени отдели за обслужване на клиенти към предложените големи държавни КО, колко време ще отнеме и какви материални инвестиции ще са необходими, както и кой ще обслужва клиентите, докато се създава такава инфраструктура. Очевидно е, че изчезването на конкуренцията в тази област лесно може да доведе до стагнация в индустрията.

Тоест резултатът е монополизиране на пазара на CA от държавни агенции, претоварване на тези структури със забавяне на всички EDI дейности, липса на поддръжка на крайния потребител в случай на измама и пълно унищожаване на текущия пазар на CA заедно със съществуващата инфраструктура (това са около 15 000 работни места в страната като цяло).

Кой ще пострада? В резултат на приемането на такъв законопроект ще пострадат тези, които сега страдат, тоест крайните потребители и сертифициращите органи.

И бизнес, който процъфтява чрез кражба на самоличност, ще продължи да процъфтява. Не е ли време правоприлагащите органи и законодателите да насочат вниманието си към този проблем и наистина да отговорят сериозно на предизвикателствата на дигиталната ера? Възможностите за кражба на лични данни и последващото им престъпно използване се увеличиха многократно през последните 10-15 години. Повишено е и нивото на подготовка на престъпниците. На това трябва да се отговори чрез въвеждане на строги мерки за отговорност за всякакви незаконни действия с чужди лични данни, както за фирми и техните служители, така и за физически лица. И за да се реши наистина проблемът с престъпното използване на сертификати за електронен подпис, е необходимо да се създаде законопроект, който да предвижда отговорност, включително наказателна, за подобни действия. А не законопроект, който просто преразпределя финансовите потоци, усложнява процедурата за крайния потребител и в крайна сметка не защитава никого.

Източник: www.habr.com