Cosa sta succedendo?
Il tema delle frodi perpetrate tramite il certificato di firma elettronica ha suscitato un ampio dibattito pubblico recentemente. I media federali hanno preso l'abitudine di raccontare periodicamente storie inquietanti su casi di uso improprio della firma elettronica. Il crimine più comune in questo settore è la registrazione di una persona giuridica o di un imprenditore individuale a nome di un cittadino russo ignaro. Un altro modo popolare di frode è la transazione che comporta la modifica dei diritti di proprietà su immobili (quando qualcuno vende il tuo appartamento a tuo nome, senza che tu ne sappia nulla).
Ma non soffermiamoci troppo a descrivere le potenziali azioni illecite con la firma elettronica per non fornire idee ai malintenzionati. Proviamo piuttosto a capire perché questo problema abbia acquisito tali proporzioni e quali siano le vere misure da adottare per estirparlo. Per farlo, è fondamentale comprendere chiaramente cosa siano i centri di certificazione, come funzionano e se siano realmente così temibili come ce li dipingono i media e le dichiarazioni delle parti interessate.
Da dove provengono le firme?
Quindi, sei un utente. Hai bisogno di un certificato di firma elettronica. Indipendentemente dalle tue esigenze e dal tuo status (azienda, persona fisica, imprenditore individuale) – l'algoritmo per ottenere il certificato è standard. Pertanto, ti rivolgi a un centro di certificazione per acquistare il certificato di firma elettronica.
Il centro di certificazione è un'azienda a cui la legislazione russa impone una serie di requisiti rigorosi.
Per avere il diritto di rilasciare firme elettroniche qualificate avanzate, il centro di certificazione deve superare una procedura di accreditamento speciale presso il Ministero delle comunicazioni. La procedura di accreditamento prevede il rispetto di una serie di regole rigide, che non tutte le aziende possono soddisfare.
In particolare, il centro di certificazione deve possedere una licenza che gli consente di sviluppare, produrre e distribuire mezzi crittografici, sistemi informativi e di telecomunicazione. Questa licenza viene rilasciata dal FSB dopo che il richiedente ha superato una serie di controlli rigorosi.
I dipendenti del centro di certificazione devono avere un'istruzione professionale superiore nel campo delle tecnologie informatiche o della sicurezza delle informazioni.
Inoltre, la legge obbliga i CAs a garantire la loro responsabilità per «danni causati a terzi a causa della loro fiducia nelle informazioni indicate nel certificato della chiave di verifica della firma elettronica, rilasciato da tale CA, o nelle informazioni contenute nel registro dei certificati mantenuto da tale CA» per un importo non inferiore a 30 milioni di rubli.
Come potete vedere, non è tutto così semplice.
Attualmente, nel paese esistono circa 500 CAs autorizzati a rilasciare KEP (certificato di firma elettronica qualificata avanzata). Questi includono non solo centri di certificazione privati, ma anche CAs legati a varie strutture statali (comprese FNS, PRF e altro), banche e mercati, comprese le istituzioni pubbliche.
Il certificato di firma elettronica è generato utilizzando algoritmi di crittografia certificati dal FSB della Federazione Russa. Consente a persone giuridiche e fisiche di scambiarsi documenti legalmente significativi in formato elettronico. Secondo i dati ufficiali dei CAs, la maggior parte (95%) delle KEP è rilasciata a persone giuridiche, mentre il resto è per persone fisiche.
Dopo che vi siete rivolti a un CA, si verifica quanto segue:
- L'Autorità di Certificazione (AC) verifica l'identità della persona che richiede il certificato di firma elettronica;
Solo dopo la conferma dell'identità e la verifica di tutti i documenti, l'AC emette e fornisce il certificato, che include i dati del titolare del certificato e la sua chiave pubblica per la verifica; - L'AC gestisce il ciclo di vita del certificato: garantisce la sua emissione, sospensione (anche su richiesta del titolare), rinnovo e scadenza.
- Un'altra funzione dell'AC è di natura servizi. Non basta semplicemente emettere un certificato. Gli utenti necessitano regolarmente di varie consulenze riguardo alla procedura di emissione e utilizzo della firma, consulenze sull'applicazione e la scelta del tipo di certificato. Le grandi AC, come l'AC della compagnia «DeloVaya Set», offrono servizi di supporto tecnico, creano software vario, migliorano i processi aziendali e monitorano le modifiche nei settori di applicazione dei certificati, e così via. Competendo tra loro, le AC lavorano sulla qualità dei servizi IT, sviluppando questo settore.
Ehi, un Cossack è stato mandato!
Consideriamo il punto 1 dell'algoritmo sopra riportato per l'ottenimento del certificato elettronico. Cosa significa «verificare l'identità» della persona che richiede il certificato? Significa che la persona a cui è intestato il certificato deve presentarsi di persona, sia presso l'ufficio dell'Autorità di Certificazione (UC), sia presso un punto di emissione che abbia un accordo di partnership con l'UC, e presentare lì gli originali dei propri documenti. In particolare, il passaporto del cittadino russo. In alcuni casi, quando si tratta di firme per persone giuridiche e imprenditori individuali, la procedura di verifica è ancora più complessa e richiede la presentazione di documenti aggiuntivi.
È proprio in questo passaggio, cioè all'inizio, quando non si è ancora arrivati a emettere il certificato, che si cela il problema principale. E la parola chiave qui è: «passaporto».
La fuga di dati personali nel paese ha raggiunto dimensioni veramente industriali. Esistono risorse online dove è possibile ottenere, anche gratuitamente o a basso costo, copie scannerizzate di passaporti validi dei cittadini russi. E i documenti di identità nel nostro paese, appesantito dall'eredità post-sovietica in stile 'mostrate i documenti', possono essere raccolti ovunque tra i cittadini – non solo nelle banche o in altre istituzioni finanziarie, ma anche negli hotel, nelle scuole, nelle università, presso le biglietterie aeree e ferroviarie, nei centri per bambini, nei punti di servizio degli operatori di telefonia mobile – ovunque venga richiesto il passaporto per fornire servizi, ovvero praticamente ovunque. Con lo sviluppo delle tecnologie digitali, questo vasto canale di accesso ai dati personali è stato sfruttato dai lavoratori del mondo criminale.
Sono anche molto diffusi i 'servizi' di furto di dati personali di individui specifici.
Inoltre, esiste un'intera schiera di cosiddetti "nominali" – persone, di solito molto giovani, oppure molto povere e poco istruite, o semplicemente decadute, a cui i malintenzionati promettono una modesta ricompensa affinché si presentino presso un centro di identificazione o in un punto di emissione e richiedano la firma a nome loro, ad esempio come direttore dell'azienda. È necessario dire che una persona del genere non ha poi alcun legame con le attività dell'azienda e non può fornire alcun aiuto reale all'indagine quando la truffa viene scoperta.
Quindi, scansionare il passaporto non è un problema. Ma per la verifica è necessario il documento originale, come può essere? Per aggirare questo problema, esistono punti di emissione disonesti. Nonostante la rigida procedura di selezione, occasionalmente, personaggi criminali ottengono lo status di punto di emissione e iniziano a compiere atti illeciti con i dati personali dei cittadini.
Questi due fattori insieme ci danno tutto il carico di problemi con la criminalizzazione dell'uso delle firme elettroniche che abbiamo attualmente.
Uno nella prateria non è un guerriero?
Attualmente, solo i centri di certificazione filtrano questa, senza esagerazione, armata di truffatori. Ogni centro di certificazione ha un proprio servizio di sicurezza. Chiunque richieda una firma viene rigorosamente controllato durante la fase di verifica dell'identità. Anche coloro che desiderano collaborare come punti di emissione per un determinato centro di certificazione vengono attentamente verificati sia nella fase di conclusione del contratto di partnership che successivamente, nel corso delle interazioni commerciali.
Non potrebbe essere altrimenti, perché una certificazione scorretta rischia la chiusura del centro di certificazione - la legislazione in questo ambito è severa.
Tuttavia, impossibile abbracciare l'inabbracciabile, e alcune di queste cattive pratiche di emissione si infiltrano comunque come partner nei centri di certificazione. E per il 'nominativo' non ci può neppure essere motivo per rifiutare l'emissione del certificato - poiché si rivolge al centro di certificazione in modo del tutto legale.
Inoltre, nel caso venga rivelata una frode con la firma a nome di una persona specifica, solo un'autorità di certificazione può risolvere il problema. Infatti, in questo caso, l'autorità di certificazione revoca il certificato della firma, conduce un'indagine interna per tracciare l'intera catena di emissione del certificato e può fornire al tribunale i documenti necessari riguardanti le attività fraudolente legate all'emissione della chiave della firma elettronica. Solo i materiali provenienti dall'autorità di certificazione possono aiutare in tribunale a risolvere il caso a favore della parte realmente danneggiata: la persona a nome della quale è stata fraudolentemente emessa la firma.
Tuttavia, l'ignoranza digitale generale non gioca a favore delle vittime anche in questo caso. Non tutti portano a termine le loro azioni per tutelare i propri interessi. E le azioni illecite con la firma elettronica devono essere sempre contestate in tribunale. Le autorità di certificazione sono un supporto fondamentale in questo.
Eliminare tutti gli UCert?
E così, nel nostro paese, è stato deciso di apportare modifiche all'ordine di lavoro delle autorità di certificazione e ai loro requisiti. Un gruppo di deputati e senatori ha elaborato un'apposita proposta di legge, che è stata già approvata dalla Duma di Stato in prima lettura il 7 novembre 2019.
Il documento prevede una riforma ampia del sistema dei certificati delle firme elettroniche. In particolare, stabilisce che le persone giuridiche e i lavoratori autonomi (IP) potranno ottenere la firma elettronica qualificata avanzata (UKEP) solo presso l'FNS, mentre le istituzioni finanziarie – presso la Banca Centrale. I centri di certificazione (UЦ) accreditati dal Ministero dello sviluppo digitale, che attualmente rilasciano le firme elettroniche, potranno conferirle solo a persone fisiche.
Allo stesso tempo, i requisiti per tali UЦ saranno notevolmente inaspriti. La dimensione minima dei beni netti di un centro di certificazione accreditato dovrà aumentare da 7 milioni di rubli a 1 miliardo di rubli, mentre la dimensione minima della garanzia finanziaria dovrà passare da 30 milioni di rubli a 200 milioni di rubli. Se un centro di certificazione ha filiali in almeno due terzi delle regioni russe, la dimensione minima dei beni netti può essere ridotta a 500 milioni di rubli.
Il termine di accreditamento dei centri di certificazione si riduce da cinque a tre anni. Per le violazioni di natura tecnica riguardanti il funzionamento dei centri di certificazione viene introdotta una responsabilità amministrativa.
Tutto ciò dovrebbe ridurre il numero di frodi con le firme elettroniche, ritengono gli autori della proposta di legge.
Qual è il risultato?
Come è facile vedere, il nuovo disegno di legge non affronta in alcun modo il problema dell'uso criminale dei documenti dei cittadini russi e del furto di dati personali. Non importa chi emetterà la firma, che sia un'Autorità di Certificazione (AC) o il Servizio Fiscale Federale (FNS); l'identità del proprietario della firma deve comunque essere verificata, e non ci sono innovazioni su questo punto nel disegno di legge. Se un punto di emissione sleale ha operato attraverso schemi criminali per un normale AC, cosa impedirebbe di fare lo stesso per un ente governativo?
Nell'attuale versione del disegno di legge non è specificato chi e quale responsabilità avrà per l'emissione di una firma elettronica qualificata (UEP), se questa firma è stata utilizzata in attività fraudolente. Inoltre, nemmeno nel Codice Penale esiste un articolo adeguato che consenta di perseguire penalmente l'emissione di un certificato di firma elettronica basato su dati personali rubati.
Un problema separato è il sovraccarico degli enti di certificazione governativi, che sicuramente si presenterà con le nuove normative, rendendo molto lente e complesse le prestazioni dei servizi ai cittadini e alle aziende.
La funzione di servizio degli enti di certificazione non è affatto considerata nel progetto di legge. Saranno create divisioni per il servizio clienti nei grandi enti di certificazione governativi proposti, quanto tempo richiederà e quali investimenti materiali saranno necessari, chi si occuperà dell'assistenza clienti finché tale infrastruttura non sarà in costruzione – non è chiaro. È evidente che la scomparsa della concorrenza in questo settore potrebbe facilmente portare a una stagnazione dell'industria.
In altre parole, alla fine si ottiene una monopolizzazione del mercato degli enti di certificazione da parte delle strutture statali, un sovraccarico di queste strutture che rallenta l'intera attività di EDE, assenza di supporto per l'utente finale in caso di frodi e completa distruzione del mercato attuale degli enti di certificazione insieme all'infrastruttura esistente (si tratta di circa 15.000 posti di lavoro in totale nel paese).
Chi ne subirà le conseguenze? A subire le conseguenze di una legge del genere saranno le stesse persone che già ne risentono, ovvero gli utenti finali e gli enti di certificazione.
Un business fiorente grazie al furto di dati personali continuerà a prosperare. Non è ora che le forze dell'ordine e i legislatori pongano la loro attenzione su questo problema e rispondano in modo serio alle sfide dell'era digitale? Le opportunità di furto di dati personali e il loro uso criminale sono aumentate notevolmente negli ultimi 10-15 anni. È aumentato anche il livello di preparazione dei criminali. È necessario reagire introducendo misure di responsabilità severe per qualsiasi attività illegale riguardante i dati personali, sia per le aziende e i loro dipendenti, sia per i privati. Per affrontare efficacemente il problema dell'uso criminale dei certificati di firma elettronica, è fondamentale creare un progetto di legge che preveda sanzioni, comprese quelle penali, per tali azioni. Non un progetto di legge che semplicemente ridistribuisce i flussi finanziari, complica la procedura per l'utente finale e non offre alcuna protezione a nessuno.
Fonte: habr.com
