Co se děje?
Téma podvodných činů, které se provádějí prostřednictvím certifikátu elektronického podpisu, v poslední době vzbudilo širokou veřejnou pozornost. Federální média si pravidelně dávají za úkol přinášet děsivé příběhy o případech nezákonného použití elektronického podpisu. Nejrozšířenějším zločinem v této sféře je registrace právnické osoby nebo podnikatele na jméno nic netušícího občana Ruské federace. Také populární metodou podvodu je transakce se změnou vlastnických práv k nemovitosti (to je, když někdo prodává váš byt vaším jménem, aniž byste o tom věděli).
Ale nebudeme se nechat unést popisem možných protiprávních činů s ECP, abychom nenabízeli kreativní nápady podvodníkům. Raději se pokusíme pochopit, proč tento problém nabral takové rozměry a co skutečně je třeba udělat pro jeho odstranění. K tomu si musíme jasně uvědomit, co to jsou certifikační centra, jak přesně fungují a zda jsou skutečně tak hrozivá, jak nám je malují v médiích a výrocích zainteresovaných osob.
Odkud se berou podpisy?
Takže, vy jste uživatel. Potřebujete certifikát elektronického podpisu. Nezáleží na tom, k jakým úkolům a v jakém statusu (firma, fyzická osoba, podnikatel) – algoritmus pro získání certifikátu je standardní. A vy se obracíte na certifikační centrum s cílem zakoupit certifikát EP.
Certifikační centrum je společnost, která musí splnit řadu přísných požadavků stanovených ruským zákonodárstvím.
Aby mělo právo vydávat posílený kvalifikovaný elektronický podpis, musí certifikační centrum projít speciálním akreditačním procesem na Ministerstvu komunikací. Akreditační proces zahrnuje dodržování řady přísných pravidel, která není schopna splnit každá společnost.
Konkrétně musí certifikační centrum mít licenci, která mu dává právo na činnost v oblasti vývoje, výroby a šíření šifrovacích (kryptografických) prostředků, informačních a telekomunikačních systémů. Tato licence je vydávána FSB po absolvování série přísných kontrol uchazečem.
Zaměstnanci certifikačního centra musí mít vysokoškolské vzdělání v oblasti informačních technologií nebo informační bezpečnosti.
Zákon také ukládá certifikačním autoritám pojistit svou odpovědnost za "škody způsobené třetím osobám v důsledku jejich důvěry v informace uvedené v certifikátu klíče pro ověřování elektronického podpisu vydaného takovou certifikační autoritou nebo v informacích obsažených v registru certifikátů, který tato certifikační autorita vede" v částce nejméně 30 milionů rublů.
Jak vidíte, vše není tak jednoduché.
V současné době v zemi existuje přibližně 500 certifikačních autorit, které mají právo vydávat kvalifikované elektronické podpisy (KÈP). Mezi nimi jsou nejen soukromé certifikační autority, ale i certifikační autority při různých státních institucích (včetně daňové správy, sociálního zabezpečení a dalších), bankách, obchodních platformách, včetně státních.
Certifikát elektronického podpisu se vytváří pomocí šifrovacích algoritmů certifikovaných FSB RF. Umožňuje právnickým a fyzickým osobám vyměňovat si právně závazné dokumenty v elektronické podobě. Podle oficiálních údajů certifikačních autorit se většina (95%) KÈP vydává právnickým osobám, zbytek fyzickým osobám.
Po tom, co se obrátíte na certifikační autoritu, dojde k následujícímu:
- Certifikační autorita ověřuje totožnost osoby, která se obrátila o certifikát elektronického podpisu;
Až po potvrzení totožnosti a kontrole všech dokumentů certifikační autorita vyhotoví a vydá certifikát, který obsahuje údaje o majiteli certifikátu a jeho veřejný klíč pro ověřování; - Certifikační autorita spravuje životní cyklus certifikátu: zabezpečuje jeho vydání, pozastavení (včetně na žádost majitele), obnovení a ukončení platnosti.
- Další funkcí certifikační autority je servisní. Je málo prostě vydat certifikát. Uživatelé pravidelně potřebují různé konzultace ohledně procesu vydání a používání podpisu, konzultace týkající se použití a výběru typu certifikátu. Velké certifikační autority, jako je certifikační autorita společnosti „Obchodní síť“, poskytují služby technické podpory, vytvářejí různé softwary, zefektivňují obchodní procesy, sledují změny v oblastech použití certifikátů atd. Konkurující mezi sebou, certifikační autority pracují na kvalitě poskytovaných IT služeb a rozvíjejí tuto oblast.
Kozáček byl poslán!
Pojďme se podívat na bod 1 výše uvedeného algoritmu pro získání elektronického podpisu. Co znamená „ověřit totožnost“ osoby, která žádá o certifikát? To znamená, že osoba, na jejíž jméno je certifikát vydán, se musí osobně dostavit buď do kanceláře certifikační autority, nebo na výdejní místo, které má s certifikační autoritou partnerskou smlouvu, a tam předložit originály svých dokumentů. Konkrétně – pas občana Ruské federace. V některých případech, kdy jde o podpisy pro právnické osoby a podnikatele, je proces ověření ještě složitější a vyžaduje předložení dalších dokumentů.
Právě na této fázi, tedy na samotném začátku, když ještě nedošlo k vydání certifikátu a podpisy ještě nepřišly na řadu, se skrývá největší problém. A klíčové slovo zde: „pas“.
Únik osobních údajů v zemi nabral skutečně průmyslově velké rozměry. Existují internetové zdroje, kde si můžete za malé peníze nebo dokonce zdarma pořídit skenovací kopie platných pasů občanů Ruské federace. A skeny pasů v naší zemi, zatížené post-sovětským dědictvím ve stylu „předložte doklady“, lze shromažďovat od občanů téměř kdekoli – nejen v bankách nebo dalších finančních institucích, ale také v hotelech, školách, vysokých školách, na pokladnách leteckých a železničních společností, v dětských centrech, místech obsluhy mobilních operátorů – všude, kde se vyžaduje předložení pasu pro služby, tedy prakticky skoro všude. S rozvojem digitálních technologií tento široký kanál přístupu k osobním údajům využívají pracovníci kriminální sféry.
Také jsou velmi rozšířené „služby“ krádeže osobních údajů konkrétních lidí.
Kromě toho existuje celá armáda tzv. „nominálů“ – lidí, kteří jsou obvykle velmi mladí, nebo velmi chudí a málo vzdělaní, nebo prostě ve špatné životní situaci, kterým zločinci slibují skromnou odměnu za to, aby se svým pasem dostavili na certifikační autoritu nebo na výdejní místo a tam si objednali podpis na své jméno jako například ředitele firmy. Je třeba říci, že taková osoba pak nemá žádný další vztah k činnosti firmy a nemůže poskytnout žádnou skutečnou pomoc vyšetřování, když se podvod odhalí.
Takže, skenování pasu – žádný problém. Ale k ověření je potřeba originál pasu, jak to tedy bude, ptá se pozorný čtenář? A abychom se této problémy vyhnuli, na světě existují nepoctivé výdejní místa. I přes přísný výběrový proces získává status výdejního místa občas i kriminální postavy, které pak začnou provádět protiprávní činnosti s osobními údaji občanů.
Tyto dva faktory v kombinaci nám dávají celý ten přebytek problémů s kriminalizací používání elektronického podpisu, který nyní máme.
Jeden na poli není voják?
Celou tuto, bez přehánění, armádu podvodníků nyní filtrují pouze ověřovací centra. V každém ověřovacím centru existují vlastní bezpečnostní služby. Všechny, kdo žádají o podpis, pečlivě prověřují už ve fázi ověřování identity. Všechny, kdo chtějí spolupracovat ve statusu výdejního místa pro konkrétní ověřovací centrum, také pečlivě prověřují jak v etapě uzavírání partnerské smlouvy, tak i později, v průběhu obchodní interakce.
Jinak tomu být nemůže, protože nepoctivé ověření hrozí ověřovacímu centru uzavřením – legislativa v této oblasti je přísná.
Ale obejmout neobešlitelné není možné a část nepoctivých výdejních míst se stejně 'prosakuje' mezi partnery ověřovacího centra. A 'nominál' nemusí mít vůbec důvod odmítnout vydání certifikátu – vždyť se obrací na ověřovací centrum zcela legálně.
Také, v případě, že se odhalí podvod s podpisem na konkrétní osobu, pouze ověřovací centrum pomůže vyřešit problém. Protože ověřovací centrum v tomto případě odvolává certifikát podpisu, provádí interní vyšetřování, sleduje celou řetězec vydání certifikátu a může poskytnout soudu potřebné dokumenty o podvodných činnostech při vydávání klíče elektronického podpisu. Pouze materiály od ověřovacího centra pomohou v soudě vyřešit případ ve prospěch skutečně postižené strany: osoby, na jejíž jméno byla podvodně vydána podpis.
Avšak, obecná digitální negramotnost v tomto případě také neprospívá postiženým. Ne každý jde až do konce, aby chránil své zájmy. Oproti tomu je nutné protiprávní činnosti s elektronickým podpisem bezpodmínečně napadnout u soudu. A ověřovací centra jsou v tom – hlavní oporou.
Zabít všechny ověřovací centra?
A zde, v našem státě, bylo rozhodnuto provést změny v pořadu práce certifikačních center a požadavcích na ně. Skupina poslanců a senátorů vypracovala odpovídající zákon, který byl dokonce přijat Státní dumou v prvním čtení 7. listopadu 2019.
Dokument předpokládá rozsáhlou reformu systému certifikátů elektronických podpisů. Mezi jiným se navrhuje, že právnické osoby a individuální podnikatelé (IP) budou moci získat posílený kvalifikovaný elektronický podpis (UKEP) pouze na FNS, a finanční organizace – na CB. Akreditovaná certifikační centra (UЦ), která nyní vydávají EP, budou moci vydávat jen fyzickým osobám.
Přitom se plánuje výrazné zpřísnění požadavků na taková UЦ. Minimální výše čistých aktiv akreditovaného certifikačního centra by měla být zvýšena z 7 milionů rublů na 1 miliardu rublů, a minimální výše finančního zabezpečení – z 30 milionů rublů na 200 milionů rublů. Pokud má certifikační centrum pobočky alespoň ve dvou třetinách ruských regionů, může být minimální výše čistých aktiv snížena na 500 milionů rublů.
Doba akreditace certifikačních center se zkracuje z pěti na tři roky. Za porušení technických předpisů certifikačních center je stanovena administrativní odpovědnost.
To vše by mělo snížit počet podvodů s elektronickými podpisy, domnívají se autoři zákona.
Jaký je výsledný efekt?
Jak lze snadno vidět, nový zákonný návrh nijak neřeší problém kriminálního využívání dokumentů občanů Ruské federace a krádeže osobních údajů. Není důležité, kdo vydává podpis – UЦ nebo FNS, identita vlastníka podpisu bude i nadále muset být ověřována, a žádné novinky v této záležitosti zákon neplánuje. Pokud nedůvěryhodný vydávající bod fungoval podle kriminálních schémat pro běžný UЦ, co brání v tom, aby to samé způsobila státní instituce?
V aktuální verzi zákona není uvedeno, kdo a jak ponese odpovědnost za vydání UCÉP, pokud byla tato podpisová metoda použita v podvodných praktikách. Navíc ani v trestním zákoníku neexistuje příslušný paragraf, který by umožňoval stíhat za vydání certifikátu elektronického podpisu na základě ukradených osobních údajů.
Dalším problémem je přetížení státních UC, které nutně nastane při nových pravidlech a zkomplikuje poskytování služeb občanům a právnickým osobám.
Služební funkce UC není v návrhu zákona vůbec zvažována. Bude-li vytvořeno oddělení zákaznického servisu při navrhovaných velkých státních UCe, kolik času to zabere a jaké materiální investice to bude vyžadovat, kdo se bude starat o obsluhu klientů, dokud se taková infrastruktura vytvoří – není jasné. Je zřejmé, že zánik konkurence v této oblasti by mohl snadno vést k stagnaci v odvětví.
To znamená, že výsledkem bude monopolizace trhu UC státními strukturami, přetížení těchto struktur s zpomalením veškeré činnosti týkající se EDO, absence podpory pro koncového uživatele v případě podvodu a úplné zničení stávajícího trhu UC spolu s existující infrastrukturou (to je přibližně 15 000 pracovních míst v celé zemi).
Kdo tedy utrpí? Utrpí v důsledku přijetí takového návrhu zákona ti samí, kdo trpí i nyní, tedy koncoví uživatelé a certifikační centra.
Podniky, které prosperují na krádežích osobních údajů, budou stále vzkvétat. Není na čase, aby se orgány činné v trestním řízení a zákonodárci zaměřili na tento problém a skutečně vážně reagovali na výzvy digitální éry? Možnosti krádeží osobních údajů a jejich následného kriminálního využití vzrostly za posledních 10-15 let mnohonásobně. Také úroveň školení zločinců vzrostla. Je třeba na to reagovat zavedením přísných opatření odpovědnosti za jakékoli protizákonné jednání s cizími osobními údaji, jak pro společnosti a jejich zaměstnance, tak pro jednotlivce. A pro to, aby se skutečně vyřešil problém kriminálního využívání certifikátů elektronického podpisu, je třeba vytvořit legislativní návrh, který by zahrnoval odpovědnost, včetně trestní, za takové jednání. A ne legislativní návrh, který pouze přerozděluje finanční toky, komplikuje proces pro koncového uživatele a nakonec nikomu neposkytuje žádnou ochranu.
Zdroj: habr.com
