Što se događa?
Tema prevarantskih radnji provedenih putem elektroničkog potpisa dobila je široku društvenu pažnju u posljednje vrijeme. Savezni mediji su počeli često pričati strašne priče o slučajevima neovlaštene upotrebe elektroničkog potpisa. Najčešći zločin u ovoj sferi je registracija pravne osobe ili samostalnog poduzetnika na ime potpuno nesumnjivog građanina Ruske Federacije. Također, popularna metoda prevare je transakcija koja uključuje promjenu vlasničkih prava na nekretninama (to je kada netko proda vašu nekretninu u vaše ime, a vi toga niste ni svjesni).
Ali nećemo se previše fokusirati na opisivanje mogućih nezakonitih radnji s elektroničkim potpisom, kako ne bismo davali kreativne ideje prevarantima. Umjesto toga, pokušajmo shvatiti zašto je ovaj problem postao toliko ozbiljan i što se zapravo treba učiniti za njegovo iskorjenjivanje. Da bismo to učinili, moramo jasno razumjeti što su izdavački centri, kako točno djeluju i jesu li oni zaista tako zastrašujući kako ih prikazuju u medijima i izjavama zainteresiranih strana.
Od kuda dolaze potpisi?
Dakle, vi ste korisnik. Trebat će vam elektronički potpis. Nije važno za koje su to zadatke i u kojem ste statusu (tvrtka, fizička osoba, samostalni poduzetnik) - algoritam za dobivanje certifikata je standardan. Obratite se izdavačkom centru s ciljem kupnje certifikata za elektronički potpis.
Izdavački centar je tvrtka kojoj rusko zakonodavstvo postavlja niz strogih zahtjeva.
Da bi imao pravo izdavati pojačani kvalificirani elektronički potpis, izdavački centar mora proći posebnu proceduru akreditacije u Ministarstvu komunikacija. Postupak akreditacije podrazumijeva ispunjenje niza strogih pravila koja ne može ispuniti svaka tvrtka.
Specifično, izdavački centar mora imati licencu koja mu omogućava aktivnosti vezane uz razvoj, proizvodnju i distribuciju kriptografskih sredstava, informatičkih i telekomunikacijskih sustava. Ova licenca se izdaje od strane FSB-a nakon što podnositelj zahtjeva prođe seriju strogih provjera.
Radnici UZ moraju imati visoko obrazovanje u području informacijske tehnologije ili informatičke sigurnosti.
Također, zakon obvezuje UZ da osigura svoju odgovornost za 'gubitke koje su prouzročili trećim osobama uslijed njihovog povjerenja u informacije navedene u certifikatu ključa za provjeru elektroničkog potpisa, koji je izdao takav UZ, ili informacije sadržane u registru certifikata koji vodi takav UZ' u iznosu ne manjem od 30 milijuna rubalja.
Kao što vidite, nije sve tako jednostavno.
Trenutno u zemlji postoji oko 500 UZ-a s pravom izdavanja UKEP-a (certifikata pojačane kvalificirane elektroničke potpisa). Ovdje su uključeni ne samo privatni potvrdni centri, već i UZ-ovi u raznim državnim strukturama (uključujući FNS, PRF i druge), bankama, trgovačkim platformama, uključujući državne.
Certifikat elektroničkog potpisa stvara se pomoću algoritama šifriranja odobrenih od strane FSB-a RF. Omogućuje pravnim i fizičkim osobama razmjenu pravno značajnih dokumenata u elektroničkom obliku. Prema službenim podacima UZ-a, velika većina (95%) KEP-a izdaje se pravnim osobama, dok ostatak – fizičkim osobama.
Nakon što se obratite UZ-u, događa se sljedeće:
- UZ potvrđuje identitet osobe koja je zatražila certifikat elektroničkog potpisa;
Tek nakon potvrde identiteta i provjere svih dokumenata, UZ izrađuje i izdaje certifikat koji uključuje podatke o vlasniku certifikata i njegov javni ključ za provjeru; - UZ upravlja životnim ciklusom certifikata: osigurava njegovo izdavanje, obustavu (uključujući na zahtjev vlasnika), obnovu, završetak važenja.
- Još jedna funkcija UZ-a je uslužna. Nije dovoljno samo izdati certifikat. Korisnicima su redovito potrebne razne konzultacije o proceduri izdavanja i korištenja potpisa, konzultacije o primjeni i izboru tipa certifikata. Veliki UZ-ovi, poput UZ-a kompanije 'Poslovna mreža', pružaju usluge tehničke podrške, razvijaju razne softvere, poboljšavaju poslovne procese, prate promjene u područjima primjene certifikata i tako dalje. Natječući se međusobno, UZ-ovi rade na kvaliteti pružanja IT usluga, razvijajući ovo područje.
Kazak je stvarno poslao!
Razmotrimo točku 1. navedenog algoritma za dobivanje ECP-a. Što znači "utvrditi identitet" osobe koja se obratila za certifikat? To znači da osoba, na čije ime se izdaje certifikat, treba osobno doći ili u ured certifikacijskog tijela ili u mjesto izdavanja koje ima partnerski ugovor s certifikacijskim tijelom i pokazati originale svojih dokumenata. Konkretno, to je putovnica građanina RF-a. U nekim slučajevima, kada su u pitanju potpisi za pravne osobe i poduzetnike, postupak utvrđivanja identiteta je još složeniji i zahtijeva predočavanje dodatnih dokumenata.
U ovom je koraku, dakle na samom početku, kada do izdavanja certifikata još nije ni došlo, skrivena najveća problema. A ključna riječ ovdje je: "putovnica".
Curenje osobnih podataka u zemlji poprimilo je doista industrijske razmjere. Postoje internetski resursi gdje možete za male novce ili potpuno besplatno dobiti skenirane kopije važećih putovnica građana RF-a. A skenovi putovnica u našoj zemlji, opterećenoj postsovjetskim nasljeđem u stilu "predstavite dokumente", mogu se prikupljati od građana svuda – ne samo u bankama ili drugim financijskim institucijama, već i u hotelima, školama, sveučilištima, zračnim i željezničkim blagajnama, dječjim centrima, servisnim mjestima mobilnih operatera – svugdje gdje se zahtijeva prikazivanje putovnice za uslugu, odnosno praktički svuda. S razvojem digitalnih tehnologija, ovaj široki kanal pristupa osobnim podacima iskoristili su kriminalci.
Također su vrlo rasprostranjene "usluge" krađe osobnih podataka konkretnih osoba.
Osim toga, postoji cijela vojska takozvanih "nominalaca" – ljudi, obično vrlo mladih ili vrlo siromašnih i slabo obrazovanih, ili jednostavno bezperspektivnih, kojima zločinci obećavaju skromnu naknadu kako bi sa svojom putovnicom otišli u certifikacijsko tijelo ili u mjesto izdavanja i zatražili potpis na svoje ime, na primjer, kao direktora tvrtke. Treba li reći da takva osoba nema nikakve veze s djelovanjem tvrtke i ne može pružiti nikakvu stvarnu pomoć istražiteljima kada prijevara ispliva na površinu.
Dakle, skeniranje putovnice nije problem. No, za verifikaciju je potrebna izvorna putovnica, kako to?, upitaće pažljivi čitatelj? Da bi se izbegao ovaj problem, postoje nepoštene tačke izdavanja. Uprkos strogoj proceduri odabira, status tačke izdavanja povremeno dobijaju kriminalci, koji zatim započinju nezakonite radnje s ličnim podacima građana.
Ova dva faktora u kombinaciji čine sve probleme s kriminalizacijom korišćenja E-potpis, koje trenutno imamo.
Jedan na polju nije ratnik?
Celu ovu, bez preuveličavanja, armiju prevaranata trenutno filtriraju samo ovlašteni centri. Svaki ovlašteni centar ima svoje bezbednosne službe. Svi koji se prijavljuju za potpis pažljivo se provere u fazi verifikacije identiteta. Svi koji žele da sarađuju u statusu tačke izdavanja za određeni ovlašteni centar takođe se pažljivo provere i u fazi sklapanja partnerskog ugovora, kao i kasnije, u procesu poslovne interakcije.
Ne može biti drugačije, jer nepošteno ovlaštenje preti zatvaranjem ovlaštenog centra – zakonodavstvo u ovoj oblasti je strogo.
Ali obuhvatiti neobuhvatno nije moguće, i deo nepoštenih tačaka izdavanja ipak 'procuri' među partnere ovlaštenih centara. A 'nominant' može zaista nemati razloga da odbije izdavanje sertifikata – jer se obraća ovlaštenom centru potpuno legalno.
Takođe, u slučaju da se otkrije prevara s potpisom na ime određene osobe, samo ovlašteni centar može pomoći da se reši problem. Budući da ovlašteni centar u tom slučaju opoziva sertifikat potpisa, sprovodi internu istragu prateći celu liniju izdavanja sertifikata, i može dostaviti sudu potrebne dokumente o prevarantskim radnjama prilikom izdavanja ključa elektronskog potpisa. Samo materijali od ovlaštenog centra mogu pomoći u sudu da se slučaj reši u korist stvarno pogođene strane: osobe, na ime koje je prevarom izdat potpis.
Međutim, opšta digitalna nepismenost ovde takođe ne ide na ruku pogođenima. Nisu svi spremni da se bore do kraja za svoja prava. A nelegalne radnje s ECP se obavezno moraju osporavati na sudu. Ovlašteni centri su tu glavno sredstvo podrške.
Ubiti sve ovlaštene centre?
I tako je u našoj zemlji odlučeno da se izmijeni redoslijed rada UZK i njihovi zahtjevi. Grupa zastupnika i senatora izradila je odgovarajući zakon koji je već usvojila Državna Duma u prvom čitanju 7. novembra 2019. godine.
Dokument predviđa opsežnu reformu sustava certifikata elektroničkih potpisa. U njemu se, između ostalog, predviđa da pravne osobe i fizičke osobe poduzetnici (FP) mogu dobiti pojačani kvalificirani elektronički potpis (PKEP) samo u FNS-u, dok financijske institucije mogu to učiniti u CB-u. Akreditirani UZK-ovi koji trenutno izdaju EP, moći će ih izdavati samo fizičkim osobama.
Uz to, zahtjevi za takve UZK-ove planiraju se znatno oštriti. Minimalna veličina neto imovine akreditiranog UZK-a trebala bi se povećati sa 7 milijuna RUB-a na 1 milijardu RUB-a, dok bi minimalni iznos financijske sigurnosti trebao rasti sa 30 milijuna RUB-a na 200 milijuna RUB-a. Ako UZK ima podružnice u najmanje dvije trećine ruskih regija, minimalna veličina neto imovine može se smanjiti na 500 milijuna RUB-a.
Rok akreditacije UZK-ova smanjuje se s pet na tri godine. Za tehničke prekršaje u radu UZK-ova uvodi se administrativna odgovornost.
Sve ovo bi trebalo smanjiti broj prevara s elektroničkim potpisima, smatraju autori zakonodavnog prijedloga.
Što je rezultat?
Kao što se lako može vidjeti, novi zakonodavni prijedlog nikako ne razmatra problem kriminalne upotrebe dokumenata građana RF-a i krađe osobnih podataka. Nije važno tko će izdavati potpis, UZK ili FNS, identitet vlasnika potpisa i dalje će se morati potvrditi, a prijedlog zakona ne predviđa nikakve novine po tom pitanju. Ako je nesavjesna točka izdavanja radila po kriminalnim shemama za obični UZK, što će onemogućiti isto za državni?
U trenutnoj verziji zakona ne navodi se tko i kakvu odgovornost snosi za izdavanje УКЭП-a ako je ovaj potpis korišten u prevarantskim radnjama. Štoviše, čak ni u Kaznenom zakonu ne postoji odgovarajuća odredba koja bi omogućila kažnjavanje za izdavanje certifikata elektroničkog potpisa na temelju ukradenih osobnih podataka.
Odvojeni problem predstavlja preopterećenje državnih UЦ-a, koje će neizbježno nastati s novim pravilima i učiniti pružanje usluga građanima i pravnim osobama vrlo sporim i složenim.
Servisna funkcija UЦ-a uopće se ne razmatra u zakonu. Hoće li biti stvoreni odjeli za korisničku podršku pri predloženim velikim državnim UЦ-ima, koliko će to vremena trajati i koja će materijalna ulaganja biti potrebna, tko će se baviti podrškom kupcima dok se takva infrastruktura uspostavlja – nije jasno. Očigledno je da će nestanak konkurencije u ovoj sferi lako dovesti do stagnacije u industriji.
Dakle, na kraju imamo monopolizaciju tržišta UЦ-a od strane državnih struktura, preopterećenje tih struktura što usporava cijelu aktivnost vezanu uz EДO, nedostatak podrške krajnjem korisniku u slučaju prijevare i potpuno uništenje trenutnog tržišta UЦ-a zajedno s postojećom infrastrukturom (to je oko 15 000 radnih mjesta u cijeloj zemlji).
Tko će biti pogođen? Oni koji će stradati usvajanjem takvog zakona bit će isti oni koji već sada pate, a to su krajnji korisnici i certifikacijski centri.
Poslovanje koje cvjeta na krađi osobnih podataka nastavit će cvjetati. Je li konačno vrijeme da nadležni organi i zakonodavci obrate pažnju na ovaj problem i ozbiljno se suoče s izazovima digitalnog doba? Mogućnosti za krađu osobnih podataka i njihovu kasniju kriminalnu primjenu značajno su se povećale u posljednjih 10-15 godina. Također je porasla razina obuke kriminalaca. Na to se treba reagirati strožim mjerama odgovornosti za bilo kakve nezakonite radnje s tuđim osobnim podacima, kako za tvrtke i njihove zaposlenike, tako i za pojedince. Da bismo stvarno riješili problem kriminalne upotrebe certifikata za elektronički potpis, potrebno je stvoriti zakon koji bi predviđao odgovornost, uključujući kaznenu, za slične postupke. A ne zakon koji samo preraspoređuje financijske tokove, otežava postupak za krajnjeg korisnika i na kraju nikome ne pruža zaštitu.
Izvor: habr.com
