Хищник или жертва? Кой ще защити удостоверяващите центрове

Какво се случва?

Темата за измамите, извършвани с помощта на електронен подпис, набра голям обществен интерес напоследък. Федералните медии си поставиха за правило периодично да разказват страшни истории за случаи на неправомерно използване на електронен подпис. Най-разпространеното престъпление в тази сфера е регистрирането на юридическо лице или индивидуален предприемач на името на нищо неподозиращ гражданин на Руската федерация. Също така, популярен метод за измама е сделката с изменение на правото на собственост върху недвижимо имущество (това е, когато вашето жилище се продава от ваше име на някого, без да знаете).

Но нека не се увличаме в описанието на възможни незаконни действия с електронния подпис, за да не подсказваме креативни идеи на измамниците. Нека по-добре се опитаме да разберем защо този проблем е придобил такива мащаби и какво реално трябва да се направи за неговото премахване. За целта е необходимо да разберем ясно какво представляват удостоверяващите центрове, как работят и дали са толкова страшни, колкото ги изрисуват медиите и мнението на заинтересованите лица.

Откъде идват подписите?

И така, вие сте потребител. Нужен ви е сертификат за електронен подпис. Не е важно за какви задачи и в какъв статус се намирате (компания, физическо лице, индивидуален предприемач) - алгоритъмът за получаване на сертификата е стандартен. Вие се обръщате към удостоверяващия Център с цел да закупите сертификат за електронен подпис.

Удостоверяващият център е компания, към която руското законодателство предявява редица строги изисквания.

За да има право да издава усилен квалифициран електронен подпис, удостоверяващият център трябва да премине специална процедура по акредитация в Министерството на връзките. Процедурата по акредитация предвижда изпълнение на редица строги правила, които не всяка компания може да изпълни.

В частност, удостоверяващият център трябва да има лиценз, която да му дава право на дейност по разработка, производство и разпространение на криптографски средства, информационни и телекомуникационни системи. Тази лицензия се издава от ФСБ след преминаване на серия от строги проверки на кандидата.

Служителите на удостоверяващия център трябва да имат висше професионално образование в областта на информационните технологии или информационната безопасност.

Също така, законът изисква удостоверителните центрове да застраховат отговорността си за «загуби, причинени на трети лица в резултат на тяхното доверие в информацията, посочена в сертификата за проверка на електронния подпис, издаден от такъв удостоверителен център, или информацията, съдържаща се в регистъра на сертификатите, който поддържа такъв удостоверителен център» в размер не по-малко от 30 милиона рубли.

Както виждате, не всичко е толкова просто.

В страната в момента съществуват около 500 удостоверителни центрове, които имат правото да издават УКЭП (сертификат за усилен квалифициран електронен подпис). Сред тях има не само частни удостоверителни центрове, но и УЦ към различни държавни структури (включително ФНС, ПРФ и други), банки, търговски платформи, включително и държавни.

Сертификатът за електронен подпис се създава с помощта на алгоритми за криптиране, сертифицирани от ФСБ на Руската федерация. Той позволява на юридически и физически лица да обменят юридически значими документи в електронен вид. Според официалните данни на УЦ, голяма част (95%) от КЭП се издава на юридически лица, а останалото – на физически лица.

След като се обърнете към УЦ, следващото, което се случва, е:

1. УЦ удостоверява самоличността на лицето, което е поискало сертификата за електронен подпис;
   Само след потвърждаване на самоличността и проверка на всички документи, УЦ изготвя и издава сертификата, в който са включени данните за собственика на сертификата и неговия публичен ключ за проверка;
2. УЦ управлява жизнения цикъл на сертификата: осигурява неговото издаване, спиране (включително по искане на собственика), подновяване, приключване на срока на действие.
3. Още една функция на УЦ е сервизна. Малко е просто да се издаде сертификат. На потребителите редовно им трябват различни консултации относно процедурата за издаване и използване на подписа, консултации относно приложението и избора на тип сертификат. Големи УЦ, като този на компанията „Деловая сеть“, предоставят техническа поддръжка, създават различен софтуер, подобряват бизнес процеси, следят измененията в сферата на приложенията на сертификатите и т.н. Конкурирайки се помежду си, УЦ работят над качеството на предоставяните ИТ услуги, развивайки тази сфера.

Казачок-то засланный!

Нека разгледаме пункт 1 от горепосочения алгоритъм за получаване на ЕП. Какво означава "удостоверяване на личността" на лицето, което е подало молба за сертификат? Това означава, че лицето, на чието име ще се издаде сертификата, трябва лично да се яви или в офиса на УЦ, или в точката за издаване, която има партньорско споразумение с УЦ, и да представи оригиналите на своите документи. В частност – паспорт на гражданин на Руската Федерация. В някои случаи, когато става въпрос за подписи за юридически лица и ЕТ, процедурата за удостоверяване е дори по-сложна и изисква представяне на допълнителни документи.

Точно в този етап, т.е. в самото начало, когато директно не е стигнато до издаване на сертификата, се крие най-голямата проблема. И ключовата дума тук е: "паспорт".

Изтичането на лични данни в страната е придобило наистина промишлен мащаби. Съществуват интернет ресурси, където можете за малко пари или дори безплатно да получите сканирани копия на действителни паспорти на граждани на Руската Федерация. А сканираните паспорти в нашата страна, обременена от постсъветското наследство в стил "представете документи", могат да се събират от граждани навсякъде – не само в банки или други финансови институции, но и в хотели, училища, университети, на летищни и железопътни каси, детски центрове, точки за обслужване на абонати на мобилни оператори – навсякъде, където изискват представянето на паспорт за обслужване, тоест практически навсякъде. С развитието на цифровите технологии този обширен канал за достъп до лични данни е заел криминалната сфера.

Също така, много разпространени са "сервизите" за кражба на лични данни на конкретни лица.

В допълнение, съществува цяло множество т.н. "номинали" – лица, обикновено много млади, или много бедни и малкообразовани, или просто опустошени, на които престъпниците обещават скромно възнаграждение, за да се явят с паспорта си в УЦ или на точката за издаване и да поръчат там подпис на свое име, например, в качеството на директор на фирма. Няма нужда да споменаваме, че такова лице няма никакво отношение към дейността на фирмата и не може да окаже реална помощ на разследването, когато измамата бъде разкрита.

И така, сканирането на паспорта не е проблем. Но за удостоверяване е необходим оригиналът на паспорта, какво ще кажете внимаващ читателю? За да се избегне този проблем, по света съществуват недобросъвестни точки за раздаване. Въпреки строгата процедура за подбор, статусът на точка за раздаване периодично получават криминални персонажи, които след това започват да извършват неправомерни действия с личните данни на гражданите.

Тези два фактора в комбинация създават целия този вал проблеми с криминализацията на използването на електронни подписи, който имаме в момента.

Сам един не е войн?

Цялата тази, без преувеличение, армия от мошеници сега се филтрира само от удостоверяващите центрове. Във всеки удостоверяващ център съществуват собствени служби за сигурност. Всички, които искат да получат подпис, се проверяват внимателно на етапа на удостоверяване на личността. Всички, които искат да си сътрудничат в статус на точка за раздаване за конкретен удостоверяващ център, също се проверяват внимателно както при сключването на партньорски договор, така и впоследствие в процеса на бизнес взаимодействие.

Не може да бъде иначе, защото недобросъвестното удостоверяване заплашва удостоверяващия център със закриване – законодателството в тази сфера е строго.

Но невъзможно е да обхванете нещата, и част от недобросъвестните точки за раздаване все пак "просачат" в партньорите на удостоверяващите центрове. А "номиналът" може дори да няма причина да откаже издаването на сертификата – тъй като той се обръща към удостоверяващия център напълно легално.

Също така, в случай че се разкрие измама със подпис на конкретно лице, само удостоверяващият център може да помогне за решаването на проблема. Тъй като удостоверяващият център в този случай оттегля сертификата на подписа, провежда вътрешно разследване, проследявайки цялата верига на издаване на сертификата и може да предостави на съда необходимите документи за мошенически действия при издаването на ключа за електронния подпис. Само материалите от удостоверяващия център могат да помогнат в съда да се разреши делото в полза на действително пострадалата страна: човекът, на чието име измамно е издаден подпис.

Обаче, общата цифрова неграмотност и тук не работи в полза на пострадалите. Не всички стигат до края, защитавайки своите интереси. А неправомерните действия с електронния подпис задължително трябва да се оспорват в съда. И удостоверяващите центрове в това – основната помощ.

Да унищожим всички удостоверяващи центрове?

И така, в нашата държава беше решено да се внесат промени в реда на работа на УЦ и изискванията към тях. Група депутати и сенатори разработи съответния законопроект, който вече беше приет от Държавната дума на първо четене на 7 ноември 2019 година.

Документът предвижда мащабна реформа на системата за сертификати за електронни подписи. В частност, той предполага, че юридическите лица и индивидуалните предприемачи (ИП) ще могат да получават усилен квалифициран електронен подпис (УКЭП) единствено в ФНС, а финансовите организации – в ЦБ. Акредитирани удостоверяващи центрове (УЦ), които в момента издават електронни подписи, ще могат да ги издават само на физически лица.

При това се планира изискванията за такива УЦ да бъдат значително утежнени. Минималният размер на чистите активи на акредитирания удостоверяващ център трябва да бъде увеличен от 7 милиона рубли на 1 милиард рубли, а минималният размер на финансовото осигуряване – от 30 милиона рубли на 200 милиона рубли. Ако удостоверяващият център има клонове в поне две трети от руските региони, минималният размер на чистите активи може да бъде намален до 500 милиона рубли.

Срокът за акредитация на удостоверяващите центрове се съкращава от пет на три години. За нарушения в работата на удостоверяващите центрове от технически характер се въвежда административна отговорност.

Всичко това трябва да намали броя на измамите с електронни подписи, смятат авторите на законопроекта.

Какъв е резултатът?

Както може да се види лесно, новият законопроект по никакъв начин не разглежда проблема с криминалното използване на документите на гражданите на РБ и кражбата на лични данни. Няма значение, кой ще издава подписа – УЦ или ФНС, личността на притежателя на подписа все още трябва да бъде удостоверена, а законопроектът не предвижда никакви нововъведения по този въпрос. Ако ненадеждно място за издаване е работило по криминални схеми за обикновен УЦ, какво ще попречи да се прави същото за държавния?

В текущата версия на законопроекта не е указано кой и каква отговорност ще понесе за издаването на УКЭП, ако този подпис е бил използван в мошеннически действия. Освен това, дори в Наказателния кодекс няма подходяща статия, която да позволява да се привлече към наказателна отговорност за издаването на сертификат за електронен подпис на базата на откраднати лични данни.

Отделен проблем е претоварването на държавните удостоверителни центрове, което непременно ще възникне при новите правила и ще направи предоставянето на услуги на граждани и юридически лица много бавно и сложно.

Сервисната функция на удостоверителните центрове изобщо не се разглежда в законопроекта. Ще бъдат ли създадени отдели за абонатско обслужване при предлаганите големи държавни удостоверителни центрове, колко време ще отнеме това и какви материални инвестиции ще изисква, кой ще се занимава с обслужването на клиентите, докато такава инфраструктура бъде изградена – не е ясно. Очевидно е, че изчезването на конкуренцията в тази сфера лесно може да доведе до стагнация в отрасъла.

Тоест в крайна сметка получаваме монополизация на пазара на удостоверителни центрове от държавните структури, претоварване на тези структури, което забавя цялата дейност по електронния документооборот, липса на подкрепа за крайния потребител в случай на измама и пълно разрушаване на текущия пазар на удостоверителни центрове заедно с наличната инфраструктура (около 15 000 работни места в цялата страна).

Кой ще пострада? Пострадалите в резултат на приемането на такъв законопроект ще бъдат същите, които страдат и сега, тоест крайните потребители и удостоверителните центрове.

Бизнесът, процъфтяващ на кражбите на лични данни, ще продължи да цъфти в пълна сила. Няма ли време правоохранителните органи и законодателите да насочат вниманието си към този проблем и наистина сериозно да отговорят на предизвикателствата на цифровата ера? Възможностите за кражба на лични данни и последващото им криминално използване значително се увеличиха през последните 10-15 години. Расте и нивото на подготовка на престъпниците. Необходимо е да се реагира, въвеждайки строги мерки за отговорност за всякакви незаконни действия с чужди лични данни, както за компаниите и техните служители, така и за частни лица. За да се реши реално проблемът с криминалното използване на сертификатите за електронен подпис, трябва да се създаде законопроект, който да предвижда отговорност, включително и наказателна, за подобни действия. А не законопроект, който просто переразпределя финансови потоци, усложнява процедурата за крайния потребител и в крайна сметка не предоставя никому никаква защита.

Източник: habr.com