Cosa sta succedendo?
Il tema delle azioni fraudolente perpetrate tramite certificato di firma elettronica ha suscitato un ampio dibattito pubblico di recente. I media federali hanno preso l'abitudine di raccontare periodicamente storie inquietanti su casi di uso improprio della firma elettronica. Il reato più comune in questo ambito è la registrazione di una persona giuridica o di un imprenditore individuale a nome di un cittadino russo completamente ignaro. Un altro modo popolare di frode è la transazione che implica la modifica dei diritti di proprietà su beni immobili (quando qualcuno vende il tuo appartamento a tuo nome, senza che tu lo sappia).
Ma non entriamo troppo nei dettagli delle possibili azioni illecite con la firma elettronica, per non dare idee creative ai truffatori. Cerchiamo piuttosto di capire perché questo problema abbia assunto tali proporzioni e cosa sia realmente necessario fare per estirparlo. Per fare ciò, è fondamentale comprendere chiaramente cosa siano i centri di certificazione, come funzionano esattamente e se siano veramente così spaventosi come vengono dipinti dai media e dalle dichiarazioni delle parti interessate.
Da dove provengono le firme?
Quindi, tu sei un utente. Hai bisogno di un certificato di firma elettronica. Non importa per quali compiti e in quale sia il tuo status (azienda, persona fisica, imprenditore individuale): l'algoritmo per ottenere il certificato è standard. E ti rivolgi a un centro di certificazione con l'obiettivo di acquistare un certificato di firma elettronica.
Il centro di certificazione è un'azienda a cui la legislazione russa impone una serie di requisiti rigorosi.
Per avere il diritto di emettere una firma elettronica qualificata avanzata, il centro di certificazione deve superare una procedura di accreditamento speciale presso il Ministero delle comunicazioni. La procedura di accreditamento prevede il rispetto di una serie di regole severe, che non tutte le aziende sono in grado di seguire.
In particolare, il centro di certificazione deve avere una licenza che gli consenta di svolgere attività di sviluppo, produzione e distribuzione di mezzi crittografici, sistemi informativi e di telecomunicazione. Questa licenza è rilasciata dal FSB dopo che il candidato ha superato una serie di controlli rigorosi.
I dipendenti del centro di certificazione devono avere una laurea in tecnologia dell'informazione o sicurezza informatica.
La legge obbliga gli UЦ a garantire la propria responsabilità per "danni causati a terzi a causa della loro fiducia nelle informazioni indicate nel certificato della chiave di verifica della firma elettronica rilasciato da tale UЦ, o nelle informazioni contenute nel registro dei certificati gestito da tale UЦ" per un importo non inferiore a 30 milioni di rubli.
Come vedete, non è tutto così semplice.
Attualmente nel paese esistono circa 500 UЦ abilitati a rilasciare il УКЭП (certificato di firma elettronica qualificata avanzata). Questi includono non solo centri di certificazione privati, ma anche UЦ presso diverse strutture statali (inclusa la FNS, PRF, e altre), banche, mercati, comprese quelle statali.
Il certificato di firma elettronica viene creato utilizzando algoritmi di crittografia certificati dal FSB della Federazione Russa. Esso consente a persone giuridiche e fisiche di scambiarsi documenti legalmente rilevanti in formato elettronico. Secondo i dati ufficiali degli UЦ, la maggior parte (95%) delle KЭП è rilasciata a persone giuridiche, il restante – a persone fisiche.
Dopo che vi siete rivolti all'UЦ, accade quanto segue:
- L'UЦ verifica l'identità della persona che ha richiesto il certificato di firma elettronica;
Solo dopo aver confermato l'identità e verificato tutti i documenti, l'UЦ produce e rilascia il certificato, che include i dati sul proprietario del certificato e la sua chiave pubblica di verifica; - L'UЦ gestisce il ciclo di vita del certificato: garantisce il suo rilascio, sospensione (anche su richiesta del proprietario), rinnovo, e scadenza.
- Un'altra funzione dell'UЦ è quella di servizio. Non basta semplicemente rilasciare un certificato. Gli utenti hanno frequentemente bisogno di consulenze su procedure di rilascio e utilizzo della firma, consulenze sull'applicazione e sulla scelta del tipo di certificato. Grandi UЦ, come l'UЦ della compagnia "DeloVaya set'", offrono servizi di supporto tecnico, creano software vari, ottimizzano i processi aziendali, monitorano le modifiche nei settori di applicazione dei certificati e così via. Concorrenza tra loro, gli UЦ lavorano sulla qualità dei servizi IT, sviluppando questo settore.
È un cosacco infiltrato!
Esaminiamo il punto 1 dell'algoritmo sopra riportato per l'ottenimento del certificato elettronico. Cosa significa "autenticare l'identità" di una persona che richiede un certificato? Significa che la persona a cui è intestato il certificato deve presentarsi di persona, sia presso l'ufficio del certificatore, sia presso un punto di emissione che ha un accordo di partnership con il certificatore, e presentare lì gli originali dei propri documenti. In particolare, il passaporto di un cittadino russo. In alcuni casi, quando si tratta di firme per persone giuridiche e imprenditori individuali, la procedura di autenticazione è ancora più complessa e richiede la presentazione di documenti aggiuntivi.
È proprio in questa fase, cioè all'inizio, quando non si è ancora arrivati alla emissione del certificato e non si è ancora giunti al capitolo delle firme, che si cela il più grande problema. E la parola chiave qui è: "passaporto".
La fuga di dati personali nel paese ha assunto dimensioni quasi industriali. Esistono risorse online dove è possibile ottenere, per pochi soldi o addirittura gratuitamente, scansioni di passaporti russi validi. E i passaporti possono essere raccolti ovunque nella nostra nazione, gravata dall'eredità post-sovietica del "mostraci i documenti", da cittadini in modo diffuso – non solo in banche o altri istituti finanziari, ma anche in hotel, scuole, università, biglietterie aeree e ferroviarie, centri per bambini, punti di servizio degli utenti della telefonia mobile – ovunque venga richiesto di mostrare un passaporto per ricevere un servizio, cioè praticamente ovunque. Con lo sviluppo della tecnologia digitale, questa ampia via di accesso ai dati personali è stata sfruttata dai lavoratori del crimine.
Sono anche molto diffusi i "servizi" di furto di dati personali di specifiche persone.
Inoltre, esiste un'intera schiera di cosiddetti "nominativi" – persone, di solito molto giovani, oppure molto povere e poco istruite, o semplicemente cadute in disgrazia, a cui i criminali promettono una modesta ricompensa affinché si presentino con il loro passaporto presso il certificatore o un punto di emissione e richiedano lì una firma a nome loro, ad esempio come direttore di un'azienda. Necessita dire che tali persone non hanno poi alcun legame con l'attività dell'azienda e non possono offrire alcun aiuto reale alle indagini quando la frode viene scoperta.
Quindi, una scansione del passaporto non è un problema. Ma come fare per la verifica se è necessario il passaporto originale, si chiederà un lettore attento? Per aggirare questo problema, esistono nel mondo punti di emissione disonesti. Nonostante la rigorosa procedura di selezione, status di punto di emissione vengono periodicamente ottenuti da personaggi criminali che poi iniziano ad attuare azioni illecite con i dati personali dei cittadini.
Questi due fattori insieme ci danno tutto quel bagaglio di problemi con la criminalizzazione dell'uso della firma elettronica che attualmente abbiamo.
Uno da solo non è un guerriero?
Tutta questa, senza esagerare, armata di truffatori viene ora filtrata solo dai centri di certificazione. In ogni CC ci sono servizi di sicurezza propri. Tutti quelli che si rivolgono per la firma vengono controllati attentamente nella fase di verifica dell'identità. Anche tutti coloro che vogliono collaborare come punto di emissione per un determinato CC vengono scrupolosamente controllati sia al momento della conclusione del contratto di partnership, sia successivamente, nel corso dell'interazione commerciale.
Non può essere altrimenti, poiché una certificazione disonesta comporta per il CC la chiusura – la legislazione in questo campo è severa.
Ma non si può abbracciare l'impossibile, e parte dei punti di emissione disonesti riesce comunque a 'filtrarsi' come partner dei CC. E non c'è nemmeno bisogno di un motivo valido per rifiutare l'emissione del certificato – poiché si rivolge al CC in modo del tutto legale.
Inoltre, nel caso venga scoperta una frode con la firma a nome di una persona specifica, solo il centro di certificazione potrà risolvere il problema. Poiché in questo caso il centro di certificazione ritira il certificato della firma, conduce un'indagine interna, tracciando tutta la catena di emissione del certificato, e può fornire al tribunale i documenti necessari sulle azioni fraudolente durante l'emissione della chiave di firma elettronica. Solo i materiali del centro di certificazione possono aiutare in tribunale a risolvere la causa a favore della parte realmente danneggiata: la persona a nome della quale è stata emessa fraudolentemente la firma.
Tuttavia, l'analfabetismo digitale generale non gioca a favore delle vittime. Non tutti arrivano fino in fondo a difendere i propri interessi. E le azioni illecite con la firma elettronica devono necessariamente essere contestate in tribunale. E i centri di certificazione sono qui il principale sostegno.
Eliminare tutti i CC?
E così, nel nostro paese è stata presa la decisione di apportare modifiche alle modalità di lavoro dei centri di certificazione (УЦ) e ai requisiti associati. Un gruppo di deputati e senatori ha elaborato un progetto di legge corrispondente, che è già stato approvato dalla Duma di Stato in prima lettura il 7 novembre 2019.
Il documento prevede una riforma su larga scala del sistema di certificati di firme elettroniche. In particolare, si prevede che le persone giuridiche e gli imprenditori individuali (ИП) possano ottenere una firma elettronica qualificata avanzata (УКЭП) solamente presso l'Agenzia Federale delle Entrate (ФНС), mentre le organizzazioni finanziarie – presso la Banca Centrale (ЦБ). I centri di certificazione accreditati dal Ministero dello Sviluppo Digitale (Минкомсвязь), che attualmente rilasciano firme elettroniche, potranno emetterle solo a persone fisiche.
Tuttavia, i requisiti per tali УЦ si prevede che verranno fortemente inaspriti. La dimensione minima dei beni netti di un centro di certificazione accreditato deve essere aumentata da 7 milioni di rubli a 1 miliardo di rubli, mentre la dimensione minima della garanzia finanziaria deve passare da 30 milioni di rubli a 200 milioni di rubli. Se un centro di certificazione ha filiali in almeno due terzi delle regioni russe, la dimensione minima dei beni netti può essere ridotta a 500 milioni di rubli.
Il termine di accreditamento dei centri di certificazione viene ridotto da cinque a tre anni. Per le violazioni tecniche nel lavoro dei centri di certificazione verranno introdotte sanzioni amministrative.
Tutto ciò dovrebbe ridurre il numero di frodi con le firme elettroniche, ritengono gli autori del progetto di legge.
Qual è il risultato?
Come si può facilmente vedere, il nuovo progetto di legge non affronta in alcun modo il problema dell'uso criminale dei documenti dei cittadini russi e del furto di dati personali. Non importa chi emetta la firma, che sia un centro di certificazione o l'Agenzia Federale delle Entrate, l'identità del titolare della firma dovrà comunque essere verificata, e non sono previste novità al riguardo nel progetto di legge. Se un punto di emissione disonesto ha operato con schemi criminali per un normale УЦ, cosa impedirà di fare lo stesso per quello statale?
Nell'attuale versione del progetto di legge non è specificato chi e quale responsabilità avrà riguardo al rilascio della firma elettronica qualificata (UEKP), se questa firma è stata utilizzata in azioni fraudolente. Inoltre, nel Codice Penale non esiste un articolo adeguato che consenta di perseguire penalmente per l'emissione di un certificato di firma elettronica basato su dati personali rubati.
Un'altra problematica è il sovraccarico dei CED (Centri di Elaborazione dei Dati) pubblici, che sicuramente si verificherà con le nuove normative rendendo molto lenta e complessa la fornitura di servizi ai cittadini e alle persone giuridiche.
La funzione di servizio dei CED non è affatto considerata nel progetto di legge. Se verranno creati dipartimenti per la gestione degli abbonati presso i grandi CED pubblici proposti, quanto tempo richiederà e quali investimenti materiali saranno necessari, chi si occuperà dell'assistenza ai clienti mentre tale infrastruttura sarà in fase di creazione — non è chiaro. È evidente che la scomparsa della concorrenza in questo settore potrebbe facilmente portare a una stagnazione dell'industria.
Pertanto, alla fine otteniamo la monopolizzazione del mercato dei CED da parte delle strutture statali, il sovraccarico di tali strutture con il rallentamento di tutte le attività legate all'EDO (Elettronica Documentale), l'assenza di supporto per l'utente finale in caso di frode e la completa distruzione dell'attuale mercato dei CED insieme all'infrastruttura esistente (che corrisponde a circa 15.000 posti di lavoro complessivi nel paese).
Chi subirà danni? Coloro che soffriranno a causa dell'approvazione di questo progetto di legge sono gli stessi che soffrono ora, cioè gli utenti finali e i centri di certificazione.
E il business, fiorente grazie al furto di dati personali, continuerà a prosperare. Non è tempo che le forze dell'ordine e i legislatori rivolgano la loro attenzione a questo problema e rispondano seriamente alle sfide dell'era digitale? Le opportunità per il furto di dati personali e il loro successivo utilizzo criminoso sono aumentate notevolmente negli ultimi 10-15 anni. È aumentato anche il livello di preparazione dei criminali. È necessario reagire introducendo misure rigorose di responsabilità per qualsiasi azione illegale relativa ai dati personali altrui, sia per le aziende e i loro dipendenti, sia per i privati. E per risolvere effettivamente il problema dell'uso criminale dei certificati di firma elettronica, è necessario creare un progetto di legge che prevedesse responsabilità, comprese quelle penali, per tali azioni. Non serve un progetto di legge che si limita a ridistribuire i flussi finanziari, complicando le procedure per l'utente finale e non fornendo alcuna protezione a nessuno in definitiva.
Fonte: habr.com
