Какво става?
Темата за измамите, извършвани с електронен подпис, набра голям обществен отзвук през последното време. Федералните медии периодично разказват страшни истории за случаи на неправомерна употреба на електронен подпис. Най-разпространеното престъпление в тази сфера е регистрирането на юридическо лице или индивидуален предприемач на името на нищо неподозиращ гражданин в Руската федерация. Също така, популярният метод на измама е сделка с изменение на правото на собственост върху недвижимо имущество (когато вашият апартамент се продава от ваше име на някого, без да знаете за това).
Но да не се увличаме в описания на възможните противозаконни действия с електронните подписи, за да не даваме творчески идеи на измамниците. Нека по-добре се опитаме да разберем защо този проблем е придобил такива размери и какво наистина трябва да се направи за неговото изкореняване. А за това е необходимо да разберем какво са удостоверяващите центрове, как точно работят и дали са толкова ужасяващи, колкото ни ги представят в медии и изказвания на заинтересовани лица.
Откъде идват подписите?
И така, вие сте потребител. Нужен ви е сертификат за електронен подпис. Независимо за какви задачи и в какъв статус (компания, физическо лице, индивидуален предприемач) – алгоритъмът за получаване на сертификата е стандартен. И вие се обръщате към удостоверяващия център с цел закупуване на сертификат за електронен подпис.
Удостоверяващият център е компания, към която руското законодателство поставя редица строги изисквания.
За да има право да издава усилен квалифициран електронен подпис, удостоверяващият център трябва да премине специална акредитация в Министерството на връзките. Процедурата по акредитация предполага изпълнението на редица строги правила, които не могат да бъдат изпълнени от всяка компания.
В частност, удостоверяващият център е длъжен да притежава лиценз, която му дава право на дейност по разработване, производство, разпространение на криптографски средства, информационни и телекомуникационни системи. Тази лицензия се издава от ФСБ след преминаване на серия от строги проверки на кандидата.
Служителите на удостоверяващия център трябва да притежават висше професионално образование в областта на информационните технологии или информационната безопасност.
Законът задължава удостоверителните центрове да застраховат отговорността си за "щети, причинени на трети лица в резултат на доверието им към информацията, посочена в сертификата за ключа за електронно подписване, издаден от такъв удостоверителен център, или информацията, съдържаща се в регистъра на сертификати, воден от такъв удостоверителен център" в сума не по-малко от 30 милиона рубли.
Както виждате, не е всичко толкова просто.
В момента в страната съществуват около 500 удостоверителни центрове, които имат правото да издават УКЕП (сертификат за усилено квалифицирано електронно подписване). Те включват не само частни удостоверителни центрове, но и такива, които работят в различни държавни структури (включително ФНС, ПРФ и др.), банки, търговски платформи, включително държавни.
Сертификатът за електронно подписване се създава с помощта на алгоритми за шифриране, сертифицирани от ФСБ на Руската федерация. Той позволява юридически и физически лица да обменят юридически значими документи в електронен вид. Според официални данни от удостоверителните центрове, голямата част (95%) от КЕП се издава на юридически лица, останалото – на физически.
След като се обърнете към удостоверителния център, следващото се случва:
- Удостоверителният център удостоверява самоличността на лицето, което е подало заявка за сертификат за електронно подписване;
Само след потвърждение на самоличността и проверка на всички документи, удостоверителният център изготвя и издава сертификат, в който са включени данни за притежателя на сертификата и неговия публичен ключ за проверка; - Удостоверителният център управлява жизнения цикъл на сертификата: осигурява неговото издаване, спиране (включително по искане на притежателя), подновяване, приключване на срока на действие.
- Още една функция на удостоверителния център е сервизна. Не е достатъчно просто да издадете сертификат. На потребителите редовно са необходими различни консултации относно процедурата за издаване и използване на подписа, консултации по приложението и избора на тип сертификат. Големи удостоверителни центрове, като удостоверителния център на компания "Деловая сеть", предлагат техническа поддръжка, разработват различен софтуер, подобряват бизнес процесите, следят промените в областите на приложение на сертификатите и т.н. Конкурирайки се помежду си, удостоверителните центрове работят върху качеството на предоставяните ИТ услуги, развивайки тази сфера.
Казачокът е изпратен!
Нека разгледаме точка 1 от по-горе споменатия алгоритъм за получаване на електронни подписи. Какво означава "удостоверяване на самоличността" на лицето, което е поискало сертификат? Това означава, че лицето, на чието име се издава сертификатът, трябва да се яви лично или в офиса на удостоверяващия център, или в точка за издаване, която има партньорско споразумение с удостоверяващия център, и да представи оригиналите на своите документи. В частност – паспорт на гражданин на Русия. В някои случаи, когато става дума за подписи за юридически лица и индивидуални предприемачи, процедурата за удостоверяване е дори по-сложна и изисква представяне на допълнителни документи.
Точно в този етап, тоест в самото начало, когато до издаването на сертификата още не е стигнато до подписите, и е скрита най-голямата проблема. И ключовата дума тук: "паспорт".
Изтичането на лични данни в страната е достигнало наистина промишлени мащаби. Съществуват интернет ресурси, където можете за малко пари или дори безплатно да получите сканирани копия на действителни паспорти на граждани на Русия. А скановете на паспорти в наша страна, обременена с постсъветското наследство в стил "представете документите", могат да бъдат събирани от граждани навсякъде – не само в банки или други финансови институции, но и в хотели, училища, университети, авиационни и ЖП каси, детски центрове, точки за обслужване на абонати на мобилни мрежи – навсякъде, където изискват да представите паспорт за обслужване, тоест практически навсякъде. С развитието на цифровите технологии, този широк канал за достъп до лични данни е бил зает от работещите в криминалната сфера.
Също така много разпространени са "услугите" за кражба на лични данни на конкретни лица.
Освен това, съществува цяла армия от т. нар. "номинали" – хора, обикновено много млади, или много бедни и малко образовани, или просто с лоша съдба, на които злодеите обещават скромно възнаграждение да се явят с паспорт в удостоверяващия център или временна точка за издаване и да поръчат подписи на свое име, например, като директор на фирма. Трябва ли да казвам, че такъв човек след това няма абсолютно никакво отношение към дейността на фирмата и не може да предостави никаква реална помощ на разследването, когато схемата бъде разкрита.
И така, сканирането на паспорта – не е проблем. Но за удостоверяване е нужен оригинал на паспорта, как така, ще попита внимателният читател? А за да се заобиколи този проблем, по света съществуват недобросъвестни пунктове за удостоверяване. Въпреки строгата процедура за подбор, статус на пункт за удостоверяване периодично получават криминални лица и след това започват да извършват противозаконни действия с личните данни на гражданите.
Тези два фактора в комбинация дават целия този обем от проблеми с криминализацията на използването на електронни подписи, които в момента имаме.
Един в поле не воин?
Цялата тази, без преувеличение, армия от измамници в момента се филтрира само от удостоверяващи центрове. Във всеки УЦ съществуват собствени служби за сигурност. Всичките, които се обръщат за подпис, се проверяват внимателно на етапа на удостоверяване на самоличността. Всички, които искат да сътрудничат в статус на пункт за удостоверяване за конкретен УЦ, също така се проверяват внимателно както на етапа на сключване на партньорски договор, така и в последствие, в процеса на бизнес взаимодействие.
Не може да бъде иначе, понеже недобросъвестното удостоверяване заплашва УЦ с закриване – законодателството в тази област е строго.
Но е невъзможно да се обхванат всички, и част от недобросъвестните пунктове за удостоверяване все пак "проникват" в партньорите на УЦ. А "номиналът" изобщо може да няма основание да откаже издаването на сертификат – нали той се обръща към УЦ съвсем легално.
Също така, в случай, че се разкрие измама с подписа на конкретно лице, само удостоверяващият център ще помогне за решаването на проблема. Тъй като удостоверяващият център в този случай отзовава сертификата на подписа, провежда служебно разследване, проследявайки цялата верига на издаване на сертификата, и може да предостави на съда необходимите документи за мошенически действия при издаването на ключа за електронен подпис. Само материалите от удостоверяващия център могат да помогнат в съда да се реши делото в полза на действително пострадалата страна: човека, на чието име е измамно издаден подпис.
Обаче, общата цифрова неграмотност и тук не работи в полза на пострадалите. Не всички стигат до края, защитихи своите интереси. А противозаконните действия с електронния подпис задължително трябва да се обжалват в съда. И удостоверяващите центрове в това – основното средство за помощ.
Да се унищожат всички УЦ?
И така, в нашата държава беше решено да се внесат изменения в реда на работа на удостоверяващите центрове и изискванията към тях. Група депутати и сенатори разработи съответстващ законопроект, който вече беше приет от Държавната дума на първо четене на 7 ноември 2019 година.
Документът предвижда мащабна реформа на системата за сертификати на електронни подписи. В частност, той предполага, че юридически лица и индивидуални предприемачи (ИП) ще могат да получават усилен квалифициран електронен подпис (УКЭП) само в НАП, а финансовите организации – в БНБ. Акредитирани удостоверяващи центрове (УЦ), които в момента издават електронни подписи, ще могат да ги издават само на физически лица.
При това изискванията за такива удостоверяващи центрове се планира да се затегнат значително. Минималният размер на чистите активи на акредитиран удостоверяващ център трябва да бъде увеличен от 7 млн. рубли на 1 млрд. рубли, а минималният размер на финансова гаранция – от 30 млн. рубли на 200 млн. рубли. Ако удостоверяващият център има филиали в поне две трети от руските региони, минималният размер на чистите активи може да бъде намален до 500 млн. рубли.
Срокът на акредитация на удостоверяващите центрове се съкращава от пет на три години. За нарушения на техническия характер в работата на удостоверяващите центрове се въвежда административна отговорност.
Всичко това трябва да намали количеството на измамите с електронни подписи, смятат авторите на законопроекта.
Какъв е резултатът?
Както лесно може да се види, новият законопроект по никакъв начин не разглежда проблема с криминалното използване на документи на граждани на Руската федерация и кражбата на лични данни. Не е от значение кой ще издаде подписа – удостоверяващият център или НАП, личността на собственика на подписа все още трябва да бъде удостоверявана, а законопроектът не предвижда никакви нововъведения по този въпрос. Ако недобросъвестна точка за издаване работи по криминални схеми за обикновен УЦ, какво ще попречи да прави същото и за държавния?
В текущата версия на законопроекта не е предвидено кой и каква отговорност ще носи за издаването на УКЭП, ако този подпис е бил използван в измамни действия. Освен това, дори в Наказателния кодекс няма подходяща статия, която да позволява привличане към наказателна отговорност за издаване на сертификат за електронен подпис по откраднати лични данни.
Отделен проблем е натоварването на държавните УЦ, което задължително ще възникне при новите правила и ще усложни предоставянето на услуги на гражданите и юридическите лица.
Сервизната функция на УЦ изобщо не се разглежда в законопроекта. Ще бъдат ли създадени отдели за обслужване на абонати при предлаганите държавни големи УЦ, колко време ще отнеме това и какви материални вложения ще изисква, кой ще се занимава с обслужването на клиентите, докато такава инфраструктура се създава – не е ясно. Очевидно е, че изчезването на конкуренцията в тази сфера лесно може да доведе до стагнация в индустрията.
Тоест на изхода получаваме монополизация на пазара на УЦ от държавните структури, натоварване на тези структури с забавяне на цялата дейност по ЕДО, отсъствие на подкрепа за крайния потребител в случай на измама и пълно разрушаване на текущия пазар на УЦ заедно с наличната инфраструктура (около 15 000 работни места в цялата страна).
Кой ще пострада? Пострадалите от приемането на такъв законопроект ще бъдат същите, които страдат и сега, а именно крайните потребители и удостоверяващите центрове.
Бизнесът, който процъфтява на кражбите на лични данни, ще продължи да расте. Нали е време правоохранителните органи и законодателите да насочат вниманието си към този проблем и да отговорят сериозно на предизвикателствата на цифровата ера? Възможностите за кражба на лични данни и тяхното криминално използване нараснаха многократно през последните 10-15 години. Нарасна и нивото на подготовка на престъпниците. Необходимо е да се реагира, въвеждайки строги мерки за отговорност за всякакви неправомерни действия с чужди лични данни, както за компаниите и техните служители, така и за физическите лица. За да се реши реално проблемът с криминалното използване на сертификатите за електронен подпис, е необходимо да се създаде законопроект, който да предвижда отговорност, включително и наказателна, за подобни действия. А не законопроект, който просто преразпределя финансовите потоци, усложнява процедурата за крайния потребител и не защитава никого в крайна сметка.
Източник: habr.com
