Mis toimub?
Teema, mis käsitleb petusakte, mis on seotud elektroonilise allkirja sertifikaadi kasutamisega, on viimasel ajal saanud laialdast avalikku tähelepanu. Föderaalsed meediakanalid on võtnud endale reegli perioodiliselt jutustada hirmutavaid lugusid elektroonilise allkirja väärkasutuse juhtumitest. Kõige levinum kuritegu selles valdkonnas on juriidiliste isikute või füüsiliste isikute registreerimine teadmata kodaniku nimel. Samuti on populaarsed petusvõtted, mis hõlmavad kinnisvara omandiõiguse muutmist (see on siis, kui keegi müüb teie korteri teie nimel kellelegi, ja te ei tea sellest midagi).
Aga ärme lasku detailidesse, et mitte anda loovust petustele. Parem proovime välja selgitada, miks see probleem on selliseid mõõtmeid võtnud ja mida on tegelikult vaja selle likvideerimiseks. Selleks peame selgelt mõistma, mis on tõenduskeskused, kuidas need täpselt töötavad ja kas nad on tõesti nii hirmutavad, nagu meediast ja huvitatud isikute väljakutsetest paistab.
Kust allkirjad pärinevad?
Nii et, te olete kasutaja. Kui teil on vajalik elektroonilise allkirja sertifikaat. Ei ole oluline, milleks see vajalik on, ja millises staatuses te olete (ettevõte, füüsiline isik, individuaalne ettevõtja) - sertifikaadi saamise protsess on standardne. Te pöördute tõenduskeskuse poole, et osta elektroonilise allkirja sertifikaat.
Tõenduskeskus on ettevõte, millele Venemaa seadusandlus seab mitmeid rangeid nõudeid.
Selleks, et omada õigust välja anda tugevat kvalifitseeritud elektroonilist allkirja, peab tõenduskeskus läbima spetsiaalse akrediteerimisprotseduuri Min通信ministeriumis. Akrediteerimisprotseduur eeldab mitmete rangete reeglite täitmist, mida suudab täita mitte iga ettevõte.
Eelkõige peab tõenduskeskus omama litsentsi, mis annab talle õiguse arendada, toota ja levitada krüpteerimise (krüptograafilisi) vahendeid, informatsiooni ja telekommunikatsioonisüsteeme. Selle litsentsi annab FSB pärast kandidaadi läbimist mitmest rangest kontrollist.
Tõenduskeskuse töötajatel peab olema kõrge haridus infotehnoloogia või infosektori valdkonnas.
Seadus nõuab, et sertifitseerimiskeskus kindlustaks oma vastutuse „kahjude eest, mis on tekkinud kolmandatele isikutele nende usaldamise tõttu sertifikaadil märgitud teabele, mis on välja antud elektroonilise allkirja kontrollimiseks, või teabele, mis sisaldub skeemide registris, mida hooldab selline UC“, summa vähemalt 30 miljonit rubla.
Nagu näete, ei ole kõik nii lihtne.
Praegu on riigis kokku umbes 500 sertifitseerimiskeskust, millel on õigus anda välja UKP (tugeva kvalifitseeritud elektroonilise allkirja sertifikaat). Nende hulka kuuluvad mitte ainult eraalased sertifitseerimiskeskused, vaid ka riiklike struktuuride, sealhulgas FNS-i, PRF-i jms sertifitseerimiskeskused, pangad, kauplemisplatvormid, sealhulgas riigile kuuluvad.
Elektroonilise allkirja sertifikaat luuakse FSB sertifitseeritud krüpteerimisalgoritmide abil. See võimaldab juriidilistel ja füüsilistel isikutel vahetada õiguslikult tähtsaid dokumente elektroonilisel kujul. Sertifitseerimiskeskuse ametliku teabe kohaselt antakse enamus (95%) KEP-e välja juriidilistele isikutele, ülejäänud aga füüsilistele isikutele.
Pärast seda, kui olete pöördunud sertifitseerimiskeskuse poole, toimub järgmist:
- Sertifitseerimiskeskus kinnitab isiku, kes on taotlenud elektroonilise allkirja sertifikaati;
Ainult isiku tuvastamise ja kõikide dokumentide kontrollimise kinnitamise järel valmistab sertifitseerimiskeskus ja väljastab sertifikaadi, mis sisaldab andmeid sertifikaadi omaniku ja tema avatud kontrollimise võtme kohta; - Sertifitseerimiskeskus haldab sertifikaadi elutsüklit: tagab selle väljaandmise, peatamise (sealhulgas omaniku taotlusel), uuendamise, kehtivusaja lõppu.
- Teine sertifitseerimiskeskuse funktsioon on teenindus. Lihtsalt sertifikaadi väljastamine ei piisa. Kasutajad vajavad regulaarselt erinevaid nõustamisteenuseid sertifikaadi väljastamise ja kasutamise protseduuride kohta, nõustamist sertifikaadi tüübi rakendamise ja valiku osas. Suured sertifitseerimiskeskused, nagu „Ärivõrk“ ettevõte, pakuvad tehnilist tuge, arendavad erinevat tarkvara, parandavad äriprotsesse, jälgivad sertifikaatide kasutusvaldkondi ja jne. Sertifitseerimiskeskused konkureerivad omavahel IT-teenuste kvaliteedi nimel, arendades seda valdkonda.
Tegelikult on ta saadetud!
Vaatame üle eelmises algorütmis toodud punkti 1. Mida tähendab "isiku tuvastamine", kes taotleb sertifikaati? See tähendab, et isik, kellele sertifikaat väljastatakse, peab isiklikult ilmuma kas sertifitseerimiskeskuse (ÜC) kontorisse või väljastuspunkti, mis omab ÜC-ga partnerluslepingut, ja esitama seal oma dokumentide originaalid. Eriti – Vene Föderatsiooni passi. Mõningatel juhtudel, kui tegu on allkirjadega juriidilistele isikutele ja füüsilisest isikust ettevõtjatele, on tuvastamisprotseduur veelgi keerulisem ning nõuab täiendavate dokumentide esitamist.
Just selle etapi, s.o. alguses, kui sertifikaadi väljastamiseni pole isegi jõutud allkirjade lauale, peitub kõige tähtsam probleem. Ja võtmesõna siin: "pass".
Isikuandmete lekkimine riigis on saanud tõeliselt tööstuslikud mõõtmed. On olemas internetiressursid, kus saate väikese tasu eest või isegi tasuta saada koopiaid kehtivatest Vene Föderatsiooni passidest. Ja tegelikult, passikoopiaid saab meie riigis, mis on koormatatud nõukogudeaegse "esitage dokumendid" kultuuriga, koguda kodanikelt laialdaselt – mitte ainult pankades või muudes rahandussektoris, vaid ka hotellides, koolides, ülikoolides, lennu- ja raudteepiletimüügikohtades, laste keskustes, mobiilside teeninduspunktides – igal pool, kus küsitakse passi teenuse osutamiseks, s.t. praktiliselt igal pool. Digitaalsete tehnoloogiate arengu tõttu on see lai juurdepääs isikuandmetele sattunud kuritegeliku sektori kasutusse.
Samuti on äärmiselt levinud "teenused" konkreetsete isikute isikuandmete varguseks.
Lisaks sellele on olemas terve armee nn "nominaale" – inimesi, kes on tavaliselt väga noored, või väga vaesed ja madala haridustasemega, või lihtsalt allakäinud, kellele kurjategijad lubavad tagasihoidlikku tasu, et nad tuleksid oma passiga ÜC-sse või väljastuspunkti ja telliksid seal allkirja oma nimele näiteks firma direktorina. Kas on vaja öelda, et sellisel inimesel ei ole seejärel mingit seost firma tegevusega ning ta ei saa pakkuda mingit reaalset abi uurimise käigus, kui pettus välja tuleb.
Nii et, passiskannimine pole probleem. Kuid身份证需要原件，细心的读者会问，这该如何解释呢？为了绕过这个问题，世界上存在不正当的发证点。尽管选拔程序严苛，偶尔还是会有犯罪分子获得发证点的地位，随后开始对公民的个人数据进行不法行为。
这两个因素的结合导致了我们现在面临的关于电子签名使用犯罪化的所有问题。
一人在场不算战斗力？
这支毫不夸张的欺诈军队如今仅由认证中心进行过滤。每个认证中心都有自己的安全部门。所有请求签名的人在个人身份验证阶段都会被仔细检查。所有希望以发证点身份与特定认证中心合作的人，也在签署合作协议时和后续的商业互动中受到严格审查。
否则是不可行的，因为不正当的认证会导致认证中心关闭—这个领域的法律非常严格。
但是，无法掌控一切，不正当的发证点依然会“渗透”到认证中心的合作伙伴中。所谓“名义上”的发证点甚至可能完全没有拒绝发放证书的理由—因为他们向认证中心的请求是完全合法的。
此外，如果发现某个特定个人名下的签名存在欺诈行为，只有认证中心能够帮助解决问题。因为在这种情况下，认证中心会撤销签名证书，进行内部调查，追踪证书发行的整个链条，并可以向法院提供必要的文件，证明在发布电子签名密钥时的欺诈行为。只有认证中心提供的材料才能帮助法院在对真正受害者的案件中做出有利判决：即被欺诈签名所影响的人。
然而，普遍的数字无知在此并不利于受害者。并不是每个人都会坚持到底，维护自己的利益。而对于电子签名的违法行为必须在法院上进行争辩。认证中心在这一方面是主要的支持。
要击杀所有认证中心吗？
Ja, meie riigis otsustati muuta tõenduskeskuste töökorraldust ja nõudeid neile. Rühma seadusandlikest esindajatest ja senatitest koostati vastav seaduseelnõu, mis võeti juba 7. novembril 2019. aastal Riigiduumas esimeses lugemises vastu.
Dokumenti nähakse ette ulatuslik reform elektrilise allkirja sertifikaatide süsteemis. Eelkõige eeldatakse, et juriidilised isikud ja füüsilisest isikust ettevõtjad (FIE) saavad tugevdada kvalifitseeritud elektroonilist allkirja (UKEP) ainult FNS-is ning finantsasutused – Keskpangas. Ministeeriumi infotehnoloogia ja side akrediteeritud tõenduskeskused (ÜC), mis praegu väljastavad elektroonilisi allkirju, saavad seda teha vaid füüsilistele isikutele.
Samuti plaanitakse selliste ÜC-de nõudeid tugevdada. Akrediteeritud tõenduskeskuse minimaalne puhasvara peab suurenema 7 miljonilt rubla 1 miljardi rublani ning finantsiline tagatis peab suurenema 30 miljonilt rubla 200 miljoni rublani. Kui tõenduskeskusel on filiaalid vähemalt kaht kolmandikku Vene piirkondadest, võib minimaalne puhasvara summa vähendada 500 miljoni rublani.
Tõenduskeskuste akrediteerimise tähtaega lühendatakse viiest kolmeks aastaks. Tõenduskeskuste tehniliste rikete eest kehtestatakse haldusvastutus.
Kuna autorite arvates peaks see vähendama e-allkirjadega seotud pettuste arvu.
Mis on tulemus?
Kuidas on kergesti näha, ei käsitle uus seaduseelnõu ei kodanike Venemaa dokumentide kuritarvitamise probleemi ega isikuandmete vargust. Pole oluline, kes väljastab allkirja ÜC või FNS, allkirja omaniku isiku tuvastamine jääb siiski vajalikuks ning seaduseelnõu ei paku selle küsimuse osas mingeid uuendusi. Kui pahatahtlik väljundpunkt töötas kriminaalskeemide alusel tavalise ÜC jaoks, mis takistab siis sarnase tegevuse tegemist riikliku jaoks?
Praeguses seaduseelnõu versioonis ei ole sätestatud, kes ja millise vastutuse kannab e-alla kirjutamise sertifikaadi väljaandmise eest, kui seda allkirja on kasutatud petuskeemides. Veel enam, isegi Karistusseadustikus pole sobivat paragrahvi, mis võimaldaks kriminaalvastutusele võtta e-alla kirjutamise sertifikaadi väljastamise eest varastatud isikuandmete alusel.
Eriline probleem on riiklike sertifitseerimiskeskuste ülemäärane koormus, mis kindlasti tekib uute reeglite jõustumisel ja muudab teenuste osutamise kodanikele ja juriidilistele isikutele väga aeglaseks ja keeruliseks.
Sertifitseerimiskeskuste teenindusfunktsioon ei ole seaduseelnõus üldse käsitletud. Kas loodakse teenindusosakonnad pakutavatesse riiklikes suurtes sertifitseerimiskeskustes, kui palju aega see võtaks ning milliseid materjaalseid investeeringuid see nõuab, kes hakkab kliente teenindama, kuni see infrastruktuur luuakse – ei ole selge. Ilmselgelt võib konkurentsi kadumine selles valdkonnas kergesti viia stagnatsioonini.
See tähendab, et saadaval olev teenus keskendub riiklikele struktuuridele, turu monopoliseerimisega sertifitseerimiskeskuste poolt, nende struktuuride ülekoormusega, mis aeglustab kogu elektroonilise dokumenteerimise tegevust, kasutajatoe puudumisega petuskeemide korral ning praeguse sertifitseerimiskeskuste turu koos olemasoleva infrastruktuuriga täieliku hävitamisega (see on umbes 15 000 töökohta kogu riigis).
Kes siis kannatab? Seaduseelnõu vastuvõtmise tulemuseks kannatavad need samad inimesed, kes juba praegu kannatavad, nimelt lõppkasutajad ja sertifitseerimiskeskused.
Äri, mis õitseb isikuandmete varguse pealt, jätkab oma õitsemist. Kas ei oleks aeg, et õiguskaitseorganid ja seadusandjad pööraksid sellele probleemile tõsist tähelepanu ning vastaksid tõeliselt digitaalaja väljakutsetele? Isikuandmete varguse ja nende hilisema kuritegeliku kasutamise võimalused on viimase 10-15 aasta jooksul oluliselt suurenenenud. On kasvanud ka kurjategijate ettevalmistustase. Sellele tuleb reageerida, kehtestades ranged vastutusmeetmed igasuguste seaduserikkumiste eest, mis puudutavad teiste isikuandmeid, nii ettevõtete kui ka nende töötajate ja eraisikute suhtes. Isikuandmete kriminaalse kasutamise probleemi tõeliseks lahendamiseks on vajalik koostada seaduseelnõu, mis kehtestaks vastutuse, sealhulgas kriminaalvastutuse, selliste tegevuste eest. Ja mitte seaduseelnõu, mis lihtsalt ümber jaotab rahavoogusid, keerustab protseduuri lõppkasutaja jaoks ja ei paku lõpuks kellelegi mingit kaitset.
Allikas: habr.com
