Hvad sker der?
Emnet om svindel, der begås ved hjælp af digitale signaturcertifikater, har den seneste tid fået stor offentlig opmærksomhed. Føderale medier har taget det til vane at fortælle skrækhistorier om tilfælde af misbrug af digitale signaturer. Den mest udbredte forbrydelse i denne sammenhæng er registreringen af en juridisk enhed eller en enkeltmandsvirksomhed i navnet på en intetanende borger i Rusland. En anden populær svindelmetode er handler, der indebærer ændringer af ejerskabsretter til fast ejendom (det er, når nogen sælger din lejlighed i dit navn, uden at du ved noget om det).
Men lad os ikke blive for opslugt af beskrivelsen af de mulige ulovlige handlinger med digitale signaturer for ikke at inspirere svindlere. Lad os i stedet finde ud af, hvorfor dette problem er vokset til så store proportioner, og hvad der virkelig skal gøres for at udrydde det. For at gøre dette er det nødvendigt at have en klar forståelse af, hvad certifikatcentre er, hvordan de fungerer, og om de virkelig er så skræmmende, som de bliver præsenteret af medierne og interesserede parter.
Hvor kommer signaturer fra?
Så, du er brugeren. Du har brug for et digitalt signaturcertifikat. Det betyder ikke noget, hvad det skal bruges til, eller hvilken status du har (virksomhed, privatperson, enkeltmandsvirksomhed) - processen for at opnå certifikatet er standard. Og du henvender dig til et certifikatcenter for at købe et digitalt signaturcertifikat.
Certifikatcentret er et selskab, som det russiske lovgivning har en række strenge krav til.
For at have ret til at udstede en kvalificeret elektronisk signatur skal certifikatcentret gennemgå en særlig akkrediteringsprocedure i Ministeriet for Kommunikation. Akkrediteringsproceduren kræver, at der overholdes en række strenge regler, som ikke alle virksomheder kan leve op til.
Specifikt skal certifikatcentret have en licens, der giver ret til at udvikle, producere og distribuere krypteringsmidler (kryptografiske midler), samt informations- og telekommunikationssystemer. Denne licens gives af FSB efter at ansøgeren har bestået en række strenge kontroller.
Medarbejdere i certifikatcentret skal have en højere uddannelse inden for informationsteknologi eller informationssikkerhed.
Loven kræver også, at certifikatudstederen forsikrer sit ansvar for "tab forårsaget til tredjepart som følge af deres tillid til de oplysninger, der er angivet i certifikatet for den elektroniske underskrift, udstedt af en sådan certifikatudsteder, eller oplysningerne i certifikatregistret, som en sådan certifikatudsteder fører" for et beløb på mindst 30 millioner rubler.
Som du kan se, er det ikke så enkelt.
Der findes i øjeblikket cirka 500 certifikatudstedere i landet, der har ret til at udstede UKEP (certifikat for en kvalificeret elektronisk underskrift). Dette inkluderer ikke kun private certifikatudstedere, men også certifikatudstedere ved diverse statslige institutioner (herunder skattemyndighederne, PFR osv.), banker, handelsplatforme, herunder statsinstitutioner.
Certifikatet for den elektroniske underskrift oprettes ved hjælp af krypteringsalgoritmer, der er certificeret af FSB i Rusland. Det giver juridiske og fysiske personer mulighed for at udveksle juridisk bindende dokumenter elektronisk. Ifølge officielle data fra certifikatudstederne gives størstedelen (95%) af KEP til juridiske personer, mens resten gives til fysiske personer.
Når du har henvendt dig til certifikatudstederen, sker følgende:
- Certifikatudstederen bekræfter identiteten af den person, der har anmodet om certifikatet for den elektroniske underskrift;
Først efter identitetsbekræftelse og kontrol af alle dokumenter fremstiller certifikatudstederen certifikatet, hvilket inkluderer oplysninger om certifikatets ejer og hans offentlige nøgle til verifikation; - Certifikatudstederen administrerer certifikatets livscyklus: sørger for dets udstedelse, suspendering (herunder på ejerens anmodning), genfornyelse og udløb.
- En anden funktion for certifikatudstederen er service. Det er ikke nok blot at udstede et certifikat. Brugerne har konstant brug for forskellige konsultationer om procedurerne for udstedelse og brug af underskriften, samt rådgivning om anvendelse og valg af certifikatstype. Store certifikatudstedere som certifikatudstederen fra "Forretningsnetværket" tilbyder teknisk support, skaber software, forbedrer forretningsprocesser, overvåger ændringer i anvendelsesområderne for certifikater osv. Ved at konkurrere med hinanden arbejder certifikatudstederene på kvaliteten af IT-tjenesterne og udvikler dette område.
Nå, den lille mand er sendt!
Lad os se på punkt 1 i den ovennævnte algoritme for udstedelse af en elektronisk signatur (ES). Hvad betyder "at bekræfte identiteten" af den person, der har anmodet om et certifikat? Det betyder, at den person, hvis navn certifikatet udstedes i, skal møde personligt enten på kontoret for certifikatudstederen eller på et udleveringspunkt, som har en partneraftale med certifikatudstederen, og fremvise de originale dokumenter der. Især – det russiske statsborgerskabs pas. I nogle tilfælde, når det drejer sig om underskrifter for juridiske personer og IVS, er proceduren for bekræftelse endnu mere kompliceret og kræver fremvisning af yderligere dokumenter.
Det er netop i dette trin, det vil sige i selve begyndelsen, hvor underskrifterne endnu ikke er blevet udstedt, at det største problem viser sig. Og det nøgleord her er: "pas".
Lækagen af personlige data i landet har opnået næsten industrielle omfang. Der eksisterer internetsider, hvor du kan få scannede kopier af gyldige russiske pas for små penge eller endda gratis. Og hvad angår pas-scanninger i vores land, der er præget af et post-sovjetisk arv i stil med "fremvis venligst dokumenter", kan de indsamles fra borgere overalt – ikke kun i banker eller andre finansielle institutioner, men også på hoteller, skoler, universiteter, ved fly- og togstationer, i børnecentre, og på steder for mobiltelefonselskabets kunder – overalt, hvor der kræves pas for service, altså praktisk talt næsten overalt. Med fremkomsten af digitale teknologier er denne brede adgang til personlige data blevet udnyttet af kriminelle.
Derudover er "tjenester" til tyveri af personlige data fra specifikke personer også meget almindelige.
Der eksisterer også en hel horde af såkaldte "nominaler" – personer, som regel meget unge, eller meget fattige og uuddannede, eller blot nedladte, som forbryderne lover en beskeden belønning for at de møder op i certifikatudstederens kontor eller udleveringspunkt og bestiller en underskrift i deres navn, f.eks. som direktør for en virksomhed. Skal jeg sige, at sådan en person ikke har nogen relation til virksomhedens aktivitet og ikke kan yde nogen reel hjælp til efterforskningen, når svindelen bliver afsløret?
Så, pasport scanning er ikke et problem. Men for at verificere det kræves det originale pas, hvordan kan det være, spørger den opmærksomme læser? For at omgå dette problem eksisterer der desværre uetiske udleveringssteder. På trods af den strenge udvælgelsesprocedure får kriminelle personer af og til status som udleveringspunkt og begynder derefter at udføre ulovlige handlinger med borgernes personlige data.
Kombinationen af disse to faktorer fører til den store mængde problemer med kriminalisering af brugen af E-signaturer, som vi har nu.
En alene i marken er ikke en kriger?
Hele denne, uden overdrivelse, horde af svindlere bliver i øjeblikket kun filtreret af certificeringscentre. Hvert certifikatcenter har sine egne sikkerhedstjenester. Alle, der henvender sig for en underskrift, bliver grundigt undersøgt i identifikationsfasen. Alle, der ønsker at samarbejde som udleveringspunkt for et bestemt certifikatcenter, bliver også nøje kontrolleret både ved indgåelsen af partnerskabsaftalen og efterfølgende i forretningsinteraktionen.
Det kan ikke være anderledes, da uetisk certificering truede certifikatcentret med lukning – lovgivningen på dette område er stram.
Men det er umuligt at omfatte det umulige, og en del af de uetiske udleveringssteder vil alligevel "sive" ind som partnere til certifikatcentrene. Og "nominelt" kan der slet ikke være nogen grund til at nægte at udstede et certifikat – for de henvender sig til certifikatcentret helt lovligt.
Desuden, hvis en svindel med en underskrift på et bestemt navn bliver afsløret, vil kun certifikatcentret kunne hjælpe med at løse problemet. For i dette tilfælde tilbagekalder certifikatcentret underskriftcertifikatet, foretager en intern undersøgelse, sporer hele kæden af certifikatudstedelse og kan give retten de nødvendige dokumenter vedrørende de svigagtige handlinger ved udstedelsen af den elektroniske underskriftsnøgle. Kun materialerne fra certifikatcentret vil hjælpe med at afgøre sagen til fordel for den reelt ramte part: personen, hvis navn blev svindlet til at udstede underskriften.
Men den generelle digitale analfabetisme arbejder heller ikke til fordel for de ramte her. Ikke alle går hele vejen for at beskytte deres interesser. Men ulovlige handlinger med E-signaturer skal nødvendigvis indbringes for retten. Og certificeringscentrene er her det vigtigste hjælpemiddel.
Slå alle certificeringscentre ihjel?
Og nu har vores regering besluttet at ændre procedurerne for operationen af UЦ og kravene til dem. En gruppe af parlamentsmedlemmer og senatorer har udarbejdet et tilsvarende lovforslag, som allerede blev vedtaget af statsdumaen i første behandling den 7. november 2019.
Dokumentet foreslår en omfattende reform af systemet for elektroniske underskriftscertifikater. Det indebærer blandt andet, at juridiske personer og enkeltpersoner (IP) kun kan få en stærkt kvalificeret elektronisk underskrift (УКЭП) fra FNS, mens finansielle organisationer må anskaffe sig dem fra CБ. De akkrediterede certifikatudbydere (УЦ), der i øjeblikket udsteder elektroniske underskrifter, vil kun kunne udstede dem til fysiske personer.
Samtidig planlægges det at skærpe kravene til sådanne УЦ betydeligt. Den minimale størrelse af nettoaktiverne for en akkrediteret certifikatudbyder skal opjusteres fra 7 millioner rubler til 1 milliard rubler, mens den minimale mængde finansiel sikkerhed skal stige fra 30 millioner rubler til 200 millioner rubler. Hvis certifikatudbyderen har filialer i mindst to tredjedele af de russiske regioner, kan den minimale størrelse af nettoaktiver nedjusteres til 500 millioner rubler.
Akkrediteringsperioden for certifikatudbydere forkortes fra fem til tre år. Der indføres administrativt ansvar for overtrædelser af teknisk karakter i arbejdet hos certifikatudbydere.
Alt dette skal ifølge lovforslagsforfatterne mindske omfanget af svindel med elektroniske underskrifter.
Hvad bliver resultatet?
Som man let kan se, adresserer det nye lovforslag overhovedet ikke problemet med kriminel brug af dokumenter fra russiske borgere og tyveri af personlige data. Det er ligegyldigt, hvem der udsteder underskriften, UЦ eller FNS; identiteten af underskriveren skal stadig bekræftes, og der er ingen nye initiativer vedrørende dette spørgsmål i lovforslaget. Hvis en uærlig udleveringspunkt arbejdede efter kriminelle skemaer for en almindelig УЦ, hvad ville så forhindre det samme for en offentlig enhed?
I den nuværende version af lovforslaget er det ikke angivet, hvem der vil påtage sig ansvaret for udstedelsen af den kvalificerede elektroniske underskrift (UKEP), hvis denne underskrift er blevet brugt til svigagtige handlinger. Desuden findes der ikke engang en passende bestemmelse i Straffeloven, der gør det muligt at straffe en person for udstedelse af et certifikat for elektronisk underskrift baseret på stjålne personoplysninger.
Et separat problem er overbelastningen af de statslige UCert, som nødvendigvis vil opstå med de nye regler, hvilket vil gøre det meget langsomt og besværligt at levere ydelser til både borgere og juridiske personer.
Den servicefunktion, som UCert skal udføre, overvejes slet ikke i lovforslaget. Vil der blive oprettet kundeserviceafdelinger ved de foreslåede store statslige UCert, hvor lang tid vil det tage, og hvilke materielle investeringer vil det kræve? Hvem vil stå for kundeservice, mens en sådan infrastruktur bliver etableret – det er uklart. Det er tydeligt, at forsvinden af konkurrence på dette område let kan føre til stagnation i branchen.
Det vil sige, at vi ender med en monopolisation af UCert-markedet af de statslige strukturer, en overbelastning af disse strukturer, der vil bremse hele ejerskabs- og udvekslingens aktivitet (EDO), samt mangel på support til slutbrugeren i tilfælde af svindel og en total nedbrydning af det nuværende UCert-marked med den eksisterende infrastruktur (det drejer sig om cirka 15.000 arbejdspladser i hele landet).
Hvem vil blive ramt? De, der allerede lider nu, det vil sige slutbrugerne og de certificerende centre, vil lide som følge af vedtagelsen af et sådant lovforslag.
En virksomhed, der blomstrer på tyveri af personlige data, vil fortsætte med at trives. Er det ikke på tide, at retshåndhævende myndigheder og lovgivere retter deres opmærksomhed mod dette problem og virkelig reagerer på de udfordringer, som den digitale æra medfører? Mulighederne for tyveri af personlige data og deres efterfølgende kriminelle anvendelse er steget markant i løbet af de seneste 10-15 år. Også niveauet for kriminelles forberedelse er steget. Vi må reagere ved at indføre strenge ansvarlighedsforanstaltninger for enhver ulovlig omgang med andres personlige oplysninger, både for virksomheder og deres ansatte samt for private personer. For virkelig at løse problemet med kriminel brug af elektroniske underskriftscertifikater er det nødvendigt at skabe et lovforslag, der indeholder ansvar, inklusive strafferetligt ansvar, for sådanne handlinger. Ikke et lovforslag, der blot omfordeler økonomiske strømme, komplicerer proceduren for slutbrugeren og i sidste ende ikke giver nogen beskyttelse.
Kilde: habr.com
