Mi történik?
Az elektronikus aláírás hitelesítő tanúsítványával kapcsolatos csalás témája a közelmúltban széles körű közfigyelmet kapott. A szövetségi média rendszeresen megosztja a rémisztő történeteket az elektronikus aláírások jogtalan felhasználásáról. A leggyakoribb bűncselekmény ezen a területen a jogi személyek vagy egyéni vállalkozók regisztrálása egy gyanútlan orosz állampolgár nevére. Emellett népszerű csalási módszer az ingatlan tulajdonjogának átruházása (amikor valaki az Ön nevében eladja a lakását, anélkül, hogy Ön tudna róla).
De ne kalandozzunk el a lehetséges jogellenes tevékenységek részletes leírásától az elektronikus aláírásokkal kapcsolatban, hogy ne adjunk kreatív ötleteket a csalóknak. Inkább próbáljuk megérteni, miért vált ez a probléma ekkora méreteket öltött, és mit lehet tenni a felszámolása érdekében. Ehhez világosan kell értenünk, hogy mik is azok a hitelesítő központok, hogyan működnek, és vajon tényleg annyira félelmetesek-e, mint ahogyan azt a média és a hozzáértők sugallják.
Honnan származnak az aláírások?
Tehát Ön – felhasználó. Szüksége van egy elektronikus aláírás hitelesítő tanúsítványára. Mindegy, hogy milyen célokra, és milyen státuszban van (cég, magánszemély, egyéni vállalkozó) – a tanúsítvány megszerzésének folyamata standardizált. Ön egy hitelesítő központhoz fordul a hitelesítő tanúsítvány megvásárlása érdekében.
A hitelesítő központ – egy olyan vállalkozás, amelynek a orosz jogszabályok szigorú követelményeket támasztanak.
Ahhoz, hogy jogosult legyen fokozottan hitelesített elektronikus aláírások kibocsátására, a hitelesítő központnak speciális akkreditációs eljáráson kell átesnie a Miniszterelnöki Hivatalnál. Az akkreditációs eljárás szigorú szabályok betartását feltételezi, amelyeket nem minden vállalat tud teljesíteni.
Különösen, a hitelesítő központnak rendelkeznie kell azzal az engedéllyel, amely lehetővé teszi számára a titkosító (kriptográfiai) eszközök, információs és távközlési rendszerek fejlesztésével, gyártásával és forgalmazásával kapcsolatos tevékenységek végzését. Ezt az engedélyt az FSZB adja ki a pályázó szigorú ellenőrzése után.
A hitelesítő központ munkatársainak informatikai vagy információbiztonsági területen felsőfokú szakképesítéssel kell rendelkezniük.
A törvény előírja, hogy az önálló hitelesítő központok (ÜK) biztosítást kössenek a „harmadik feleknek okozott kárért, amely az elektronikus aláírás tanúsítványának visszaigazolásakor, illetve az ÜK által vezetett tanúsítvány-nyilvántartásban található információkra alapozva keletkezhet”, amelynek összege legalább 30 millió rubel kell, hogy legyen.
Ahogy látja, nem minden olyan egyszerű.
Jelenleg az országban körülbelül 500 ÜK működik, amelyek jogosultak üdvözlő elektronikus aláírás (UÉA) kiadására. Ide tartoznak a magán hitelesítő központok, valamint az állami intézményeknél működő ÜK-k (beleértve az adóhatóságot, a nyugdíjas állami alapokat stb.), bankok, kereskedelmi platformok, köztük állami platformok is.
Az elektronikus aláírás egy, az Orosz Föderáció Szövetségi Biztonsági Szolgálata által tanúsított titkosító algoritmus segítségével készül. Lehetővé teszi jogi és fizikai személyek számára, hogy jogi érvényű dokumentumokat cseréljenek elektronikus formában. Az ÜK hivatalos adatai szerint a UÉA-k nagy része (95%) jogi személyek számára kerül kiadásra, a többi - fizikai személyeknek.
Miután fordult a ÜK-hoz, a következő történik:
- Az ÜK igazolja annak a személynek a személyazonosságát, aki elektronikus aláírási tanúsítványt kér;
Csak a személyazonosság megerősítése és az összes dokumentum ellenőrzése után az ÜK elkészíti és kiadja a tanúsítványt, amely tartalmazza a tanúsítvány tulajdonosának adatait és nyilvános ellenőrző kulcsát; - Az ÜK kezeli a tanúsítvány életciklusát: biztosítja a kiadását, felfüggesztését (beleértve a tulajdonos kérésére), megújítását, a hatály lejártát.
- Az ÜK egy másik funkciója a szolgáltatási. Nem elegendő egyszerűen kiadni a tanúsítványt. A felhasználóknak rendszeresen szüksége van különféle tanácsokra a kiadás és az aláírás használatára vonatkozóan, a tanúsítvány típusának alkalmazásáról és kiválasztásáról. A nagyobb ÜK-k, mint például a "Üzleti Hálózat" cég ÜK-jai, technikai támogatási szolgáltatásokat nyújtanak, különböző szoftvereket készítenek, javítják az üzleti folyamatokat, nyomon követik a tanúsítványok alkalmazási területein bekövetkező változásokat stb. A közvetlen versenyben az ÜK-k az IT szolgáltatások minőségének növelésén dolgoznak, fejlesztve ezt a területet.
A kis kozák megérkezett!
Nézzük meg az említett algoritmus 1. pontját az elektronikus aláírás beszerzésének folyamatában. Mit jelent az, hogy «hitelesíteni a személyazonosságot» annak a személynek, aki a tanúsítványért folyamodik? Ez azt jelenti, hogy annak a személynek, akinek a nevére a tanúsítványt kiadják, személyesen meg kell jelennie az Ügyfélkapuból vagy egy, az Ügyfélkapuval partnerségi megállapodással rendelkező átvételi pontban, és ott be kell mutatnia a dokumentumai eredeti példányait. Különösen – az Orosz Föderáció állampolgárának a személyi igazolványa. Bizonyos esetekben, amikor a jogi személyek és egyéni vállalkozók aláírásairól van szó, a hitelesítési eljárás még bonyolultabb, és további dokumentumok bemutatását igényli.
Pont itt, az eljárás legelső lépésénél, amikor a tanúsítvány kibocsátásáig még nem jutottunk el az aláírásokig, rejlik a legkomolyabb probléma. A kulcsszó itt: «személyi igazolvány».
A személyes adatok szivárgása az országban valóban ipari méreteket öltött. Olyan internetes források léteznek, ahol kis pénzért vagy akár ingyenesen is megkaphatja az Orosz Föderáció állampolgárainak érvényes személyi igazolványainak másolatait. A személyi igazolványok másolatai az országunkban, amely a «mutassa be a dokumentumait» posztszovjet örökségével terhelt, szinte bárhol összegyűjthetők – nemcsak bankokban vagy más pénzügyi intézményekben, hanem szállodákban, iskolákban, egyetemeken, repülő- és vasúti pénztárakban, gyerek központokban, mobil szolgáltatók ügyfélszolgálati pontjaiban – szóval szinte mindenhol, ahol a szolgáltatás igénybevételéhez személyi igazolványt kérnek. A digitális technológiák fejlődésével ez a széleskörű hozzáférési csatorna a bűnözői szféra munkatársainak kezébe került.
Sok esetben elterjedtek az olyan «szolgáltatások» is, amelyek konkrét emberek személyes adatait lopják el.
Ezen kívül egy egész hadsereg úgynevezett «nominálásuk» létezik – általában nagyon fiatal, vagy nagyon szegény és kevésbé képzett emberek, vagy csak egyszerűen lecsúszott egyének, akiknek a bűnözők szerény jutalmat ígérnek, ha a saját személyi igazolványukkal megjelennek az Ügyfélkapuban vagy az átvételi pontnál, és ott aláírásokat rendelnek saját nevükben, például egy cég igazgatójaként. Mondanom sem kell, hogy az ilyen személy annak a cégnek tevékenységéhez semmilyen köze nincs, és valójában semmilyen segítséget nem tud nyújtani a nyomozásnak, amikor a csalás napvilágra kerül.
Tehát, az útlevél szkennelése nem probléma. De hiszen az azonosításhoz az eredeti útlevél szükséges, hogyan lehetséges ez, kérdezheti a figyelmes olvasó? E probléma megkerülésére léteznek rosszhiszemű kiadóhelyek. A szigorú kiválasztási eljárás ellenére időnként bűnözők nyerik el a kiadóhely státuszát, és később jogellenes tevékenységeket folytatnak a polgárok személyes adataival.
E két tényező együttesen adja azt a rengeteg problémát, ami a digitális aláírás (ÉP) bűnözői felhasználásával kapcsolatos, amivel most szembesülünk.
Egyedül senki sem harcos?
Ezt az, nem túlzás, csalók hadseregét jelenleg csak az azonosító központok szűrik. Minden egyes azonosító központban saját biztonsági szolgálatok működnek. Mindenkit, aki aláírásért folyamodik, alaposan ellenőriznek az azonosítási folyamat során. Mindenkit, aki a megfelelő azonosító központ számára kiadóhelyi státuszt szeretne szerezni, szintén alaposan ellenőriznek, még a partnerségi szerződés megkötése során és azt követően is, az üzleti kapcsolatban.
Másképp nem is lehet, mert a rosszhiszemű azonosítás a központ bezárásával fenyeget – a jogszabályok ezen a téren szigorúak.
De a lehetetlent nem lehet megoldani, és a rosszhiszemű kiadóhelyek egy része mégis 'beszivárog' a központok partnerei közé. Ráadásul a 'formális' személynek szinte semmi oka nincs arra, hogy megtagadja a tanúsítvány kiadását – hiszen ő teljesen legálisan keresi fel az azonosító központot.
Továbbá, ha kiderül egy aláírási átverés egy konkrét személy nevében, csak az azonosító központ segíthet a probléma megoldásában. Mivel az azonosító központ ebben az esetben visszavonja az aláírás tanúsítványt, belső vizsgálatot folytat, nyomon követve a tanúsítvány kibocsátásának teljes láncolatát, és a bíróság számára szükséges dokumentumokat nyújthat a kulcs elektronikus aláírásának kiadásakor végzett csalárd tevékenységekről. Csak az azonosító központtól származó anyagok segíthetnek a bíróság előtt megnyerni az ügyet a valójában károsult fél javára: annak a személynek, akire a csalás eredményeként aláírás készült.
Azonban a digitális tudatlanság általánosan itt sem segíti a károsultakat. Nem mindenki védi meg az érdekeit addig, amíg lehet. Pedig a digitális aláírásra vonatkozó jogellenes tevékenységeket mindenképpen bíróság előtt kell vitatni. És az azonosító központok ebben a legfontosabb segítők.
Megöljük az összes azonosító központot?
És így a mi államunkban úgy döntöttek, hogy módosítják az igazolási központok működésének rendjét és követelményeit. A megfelelő jogszabálytervezetet egy képviselői és szenátori csoport dolgozta ki, amelyet a Állami Dumában már első olvasatban, 2019. november 7-én elfogadtak.
A dokumentum átfogó reformot javasol az elektronikus aláírások tanúsítványainak rendszerében. Különösen, az jogi személyek és egyéni vállalkozók csak az Orosz Szövetségi Adóhivatalnál (FНС) kaphatják meg az erősített minősített elektronikus aláírást (УКЭП), míg a pénzügyi intézmények a Központi Banknál (ЦБ). Az orosz kommunikációs minisztérium (Минкомсвязь) által akkreditált igazoló központok, amelyek jelenleg elektronikus aláírásokat adnak ki, csak magánszemélyek számára adhatják ki azokat.
E központok követelményeit jelentősen meg kívánják szigorítani. Az akkreditált igazoló központ minimális tiszta eszközértékét 7 millió rubelről 1 milliárd rubelre kell emelni, míg a minimális pénzügyi biztosítékot 30 millió rubelről 200 millió rubelre. Ha az igazoló központnak van fiókja legalább az orosz régiók két harmadában, akkor a minimális tiszta eszközérték 500 millió rubelre csökkenthető.
Az akkreditálási időszak az igazoló központok számára öttől három évre csökken. Az igazoló központok technikai hibáinak megsértése esetén közigazgatási felelősség lép életbe.
Mindez várhatóan csökkenti az elektronikus aláírásokkal kapcsolatos csalásokat, vélik a jogszabálytervezet szerzői.
Mi az eredmény?
Ahogy könnyen látható, az új jogszabálytervezet egyáltalán nem foglalkozik a orosz állampolgárok dokumentumainak bűnözői felhasználásának problémájával és a személyes adatok lopásával. Mindegy, hogy ki adja ki az aláírást, az igazoló központ vagy az FНС, a tulajdonos személyazonosságának ellenőrzése továbbra is szükséges, és a jogszabálytervezet nem javasol változásokat e téren. Ha egy megbízhatatlan kiadó bűnözői sémák szerint működött egy hagyományos igazoló központ számára, akkor mi akadályozza meg ugyanannak a dolgnak a megtételét az állami központ számára?
A jelenlegi törvényjavaslatban nincs meghatározva, hogy ki és milyen felelősséget vállal az elektronikus aláírás kiadásáért, ha ezt a aláírást csalárd tevékenységekre használták. Ráadásul a Büntető Törvénykönyvben sincs megfelelő cikk, amely lehetővé tenné a büntetőjogi felelősségre vonást, ha az elektronikus aláírás tanúsítvány kiadásához ellopott személyes adatok kerültek felhasználásra.
Egy másik probléma a kormányzati hitelesítő központok (UЦ) túlterheltsége, amely valóban előfordul majd az új szabályok bevezetésével, és amely nagyon lassúvá és bonyolulttá teszi a szolgáltatások nyújtását polgárok és jogi személyek számára.
A hitelesítő központok szolgáltatási funkciója egyáltalán nem kerül szóba a törvényjavaslatban. Külön osztályokat hoznak-e létre az előirányzott állami nagy UЦ-k ügyfélszolgálatára? Mennyi időt vesz igénybe, és milyen anyagi befektetéseket igényel? Ki foglalkozik az ügyfelek kiszolgálásával, míg az ilyen infrastruktúra kiépítés alatt áll – ez nem világos. Nyilvánvaló, hogy a verseny eltűnése ezen a területen könnyen stagnálást eredményezhet az iparágban.
Tehát a végén azt látjuk, hogy az UЦ piacának monopolizálása állami struktúrák által, ezen struktúrák túlterhelése, ami lelassítja az elektronikus dokumentumkezelés (ЭДO) teljes folyamatát, a végfelhasználók támogatásának hiánya csalás esetén, és a jelenlegi UЦ piac teljes megszüntetése a meglévő infrastruktúrával együtt (ez körülbelül 15 000 munkahelyet jelent országszerte).
Ki fog tehát szenvedni? Azok fognak szenvedni a törvényjavaslat elfogadása következtében, akik már most is szenvednek, tehát a végfelhasználók és a hitelesítő központok.
A személyes adatok eltulajdonításán alapuló üzletág továbbra is virágozni fog. Ideje lenne, hogy a hatóságok és a jogalkotók komolyan foglalkozzanak ezzel a problémával, és választ adjanak a digitális korszak kihívásaira? Az utolsó 10-15 évben a személyes adatok eltulajdonításának lehetőségei és azok bűncselekmények általi felhasználása többszörösére nőttek. A bűnözők felkészültsége is emelkedett. Erre reagálni kell, szigorú felelősségi intézkedések bevezetésével, amelyek a cégekre és dolgozóikra, valamint a magánszemélyekre vonatkoznak. A problémát, amely a digitális aláírási tanúsítványok bűnözői felhasználása körül áll fenn, valóban meg kell oldani, egy olyan jogszabályt kell létrehozni, amely büntetőjogi felelősséget is kilátásba helyezne az ilyen tevékenységekért. Nem pedig egy olyan jogszabályt, amely csak a pénzügyi folyamatokat osztja újra, bonyolítja a végfelhasználó eljárását, és végül senkinek nem nyújt védelmet.
Forrás: habr.com
