Предатор или плен? Кој ќе ги штити центрите за сертификација

Што се случува?

Темата за измамни дејствија извршени со користење на сертификат за електронски потпис неодамна доби широко внимание на јавноста. Федералните медиуми воведоа правило периодично да раскажуваат хорор приказни за случаи на злоупотреба на електронски потписи. Најчестиот криминал во оваа област е регистрација на правно лице. лица или индивидуални претприемачи на име на доверчив државјанин на Руската Федерација. Друг популарен метод на измама е трансакција која вклучува промена на сопственоста на недвижен имот (ова е кога некој го продава вашиот стан во ваше име на некој друг, но вие не ни знаете).

Но, да не се занесуваме со опишување на можни незаконски дејствија со дигитални потписи, за да не им даваме креативни идеи на измамниците. Ајде подобро да се обидеме да откриеме зошто овој проблем стана толку раширен и што навистина треба да се направи за да се искорени. А за ова треба јасно да разбереме што се центри за сертификација, како точно работат и дали се толку страшни како што ни се прикажани во медиумите и изјавите на заинтересираните страни.

Од каде потписите?

Значи, вие сте корисникот. Потребен ви е сертификат за електронски потпис. Не е важно за какви задачи и каков статус сте (компанија, индивидуален, индивидуален претприемач) - алгоритмот за добивање сертификат е стандарден. И го контактирате центарот за сертификација за да купите сертификат за електронски потпис.

Центар за сертификација е компанија на која руското законодавство наметнува голем број строги барања.

За да има право да издава зајакнат квалификуван електронски потпис, центарот за сертификација мора да помине посебна процедура за акредитација во Министерството за телекомуникации и масовни комуникации. Постапката за акредитација бара почитување на голем број строги правила до кои секоја компанија не може да се придржува.

Конкретно, од CA се бара да има лиценца со која се дава право да развива, произведува и дистрибуира алатки за шифрирање (криптографски), информациски и телекомуникациски системи. Оваа лиценца ја издава ФСБ откако апликантот ќе помине низа строги проверки.

Вработените во CA мора да имаат високо професионално образование од областа на информатичката технологија или информациската безбедност.

Законот, исто така, ги обврзува ИС да ја осигураат својата одговорност за „загуби предизвикани на трети лица како резултат на нивната доверба во информациите наведени во сертификатот за клуч за проверка на електронски потпис издаден од таквиот CA, или информациите содржани во регистарот на сертификати што го води таквиот CA “ во износ не помал од 30 милиони рубли.

Како што можете да видите, не е сè толку едноставно.

Вкупно, моментално има околу 500 CA во земјата кои имаат право да издаваат ECES (зајакнат квалификуван сертификат за електронски потпис). Ова ги вклучува не само приватните центри за сертификација, туку и ИС под различни владини агенции (вклучувајќи ја Федералната даночна служба, Руската Федерација итн.), банките, трговските платформи, вклучително и државните.

Сертификатот за електронски потпис е креиран со помош на алгоритми за шифрирање потврдени од FSB на Руската Федерација. Тоа им овозможува на правните и физичките лица електронски да разменуваат правно значајни документи. Според официјалните податоци од CA, поголемиот дел (95%) од CEP ​​се издаваат од правни лица. лица, останатите - поединци. лица.

Откако ќе стапите во контакт со CA, се случува следново:

1. CA го потврдува идентитетот на лицето кое аплицирало за сертификат за електронски потпис;
   Само откако ќе го потврди идентитетот и ќе ги потврди сите документи, CA произведува и издава сертификат, кој вклучува информации за сопственикот на сертификатот и неговиот јавен клуч за верификација;
2. CA управува со животниот циклус на сертификатот: обезбедува негово издавање, суспендирање (вклучително на барање на сопственикот), обновување и истекување.
3. Друга функција на CA е услугата. Не е доволно само да се издаде сертификат. Корисниците редовно бараат секакви совети за постапката за издавање и користење на потпис, совети за апликација и избор на видот на сертификатот. Големите CA, како што се CA на компанијата Business Network, обезбедуваат услуги за техничка поддршка, создаваат различен софтвер, ги подобруваат деловните процеси, ги следат промените во областите на примена на сертификати итн. Во конкуренција едни со други, CA работат на квалитетот на ИТ услуги, развивање на оваа област.

Козакот е испратен!

Да го разгледаме чекорот 1 од горенаведениот алгоритам за добивање електронски потписи. Што значи да се „потврди идентитетот“ на лицето кое аплицирало за сертификатот? Тоа значи дека лицето на чие име е издаден сертификатот мора лично да се појави или во канцеларијата на CA или во местото на издавање кое има договор за партнерство со CA и таму да ги презентира оригиналите на своите документи. Особено, пасош на државјанин на Руската Федерација. Во некои случаи, кога станува збор за потписи за правни лица. поединци и индивидуални претприемачи, постапката за идентификација е уште посложена и бара приложување на дополнителни документи.

Токму во оваа фаза, односно на самиот почеток, кога работите не стигнале ни до издавање потврда за потпишување, лежи најважниот проблем. А клучниот збор овде е „пасош“.

Протекувањето на лични податоци во земјава достигна вистински индустриски размери. Постојат онлајн ресурси каде што можете да добиете скенирани копии од важечки пасоши на руски граѓани за малку пари, па дури и бесплатно. Но, скенирањата на пасошите во нашата земја, оптоварени со постсоветското наследство на стилот „покажи документи“, можат да се соберат од граѓаните насекаде - не само во банки или други финансиски институции, туку и во хотели, училишта, универзитети, воздух и железнички билетарници, детски центри, сервисни пунктови за мобилни претплатници - секаде каде што бараат да го презентирате пасошот за услуга, односно речиси насекаде. Со развојот на дигиталните технологии, овој широк канал за пристап до лични податоци беше ставен во оптек од криминалните работници.

Многу чести се и „услугите“ за кражба на лични податоци на одредени луѓе.

Покрај тоа, постои цела армија на т.н. „номиналности“ - луѓе, по правило, многу млади, или многу сиромашни и слабо образовани, или едноставно дегенерирани, на кои криминалците им ветуваат скромна награда за да го донесат својот пасош во CA или до местото на издавање и да нарачаат потпис во нивните именувај таму како, на пример, директор на компанија. Непотребно е да се каже дека таквото лице тогаш нема никаква врска со активностите на компанијата и не може да обезбеди никаква вистинска помош во истрагата кога ќе се открие измамата.

Значи, скенирањето на вашиот пасош не е проблем. Но, за идентификација ви треба оригинален пасош, како може да биде тоа, ќе праша внимателниот читател? И за да се заобиколи овој проблем, постојат бескрупулозни места за испорака во светот. И покрај строгата процедура за селекција, криминалните ликови периодично добиваат статус на точка за издавање и потоа почнуваат да вршат незаконски дејствија со личните податоци на граѓаните.

Овие два фактори во комбинација ни го даваат целиот бран проблеми со криминализацијата на употребата на електронските уреди што сега ги имаме.

Дали има безбедност во бројки?

Целата оваа, без претерување, армија на измамници сега се филтрира само од центрите за сертификација. Секој CA има свои безбедносни служби. Сите кои аплицираат за потпис внимателно се проверуваат во фазата на идентификација. Секој што сака да соработува во статусот на точка на издавање за одредена CA, исто така внимателно се проверува и во фазата на склучување на договор за партнерство и последователно, во процесот на деловна интеракција.

Не може да биде поинаку, бидејќи нечесната сертификација и се заканува на CA со затворање - законодавството во оваа област е строго.

Но, невозможно е да се прифати неизмерноста, а некои од бескрупулозните точки за издавање сè уште „протекуваат“ во партнерите на CA. И „номинираниот“ можеби нема никаква причина да одбие да издаде сертификат - на крајот на краиштата, тој се однесува на CA целосно легално.

Исто така, ако се открие измама со потпис на име на одредено лице, само центарот за сертификација ќе помогне да се реши проблемот. Бидејќи центарот за сертификација во овој случај го поништува сертификатот за потпис, спроведува внатрешна истрага, го следи целиот синџир на издавање сертификат и може да му ги достави на судот потребните документи за измамни дејствија при издавање клуч за електронски потпис. Само материјалите од центарот за сертификација ќе помогнат во судот да се реши случајот во корист на навистина оштетената страна: лицето на чие име потписот е лажно издаден.

Меѓутоа, општата дигитална неписменост и овде не функционира во корист на жртвите. Не секој оди до крај за да ги заштити своите интереси. Но, незаконските дејствија со дигитален потпис мора да бидат оспорени на суд. И центрите за сертификација се главната помош во ова.

Да се ​​убијат сите CA?

И така, во нашата држава беше одлучено да се направат промени во процедурата за работа на ИС и барањата за нив. Група пратеници и сенатори развија соодветен предлог-закон, кој веќе беше усвоен од Државната дума во прво читање на 7 ноември 2019 година.

Документот предвидува голема реформа на системот за сертификати за електронски потпис. Конкретно, се претпоставува дека правните лица и индивидуалните претприемачи (ИП) ќе можат да добијат подобрен квалификуван електронски потпис (ЕЦЕС) само од Федералната даночна служба, а финансиските организации од Централната банка. Центрите за сертификација (ЦС) акредитирани од Министерството за телекомуникации и масовни комуникации, кои издаваат електронски потписи сега, ќе можат да ги издаваат само на физички лица.

Во исто време, се планира барањата за таквите CA да бидат значително заострени. Минималниот износ на нето средства на акредитиран центар за сертификација треба да се зголеми од 7 милиони рубли. до 1 милијарда рубли, а минималниот износ на финансиска поддршка е од 30 милиони рубли. до 200 милиони рубли. Ако центарот за сертификација има филијали во најмалку две третини од руските региони, тогаш минималниот износ на нето средства може да се намали на 500 милиони рубли.

Се намалува периодот на акредитација на сертификационите центри од пет на три години. Се воведува административна одговорност за прекршоци во работата на центрите за сертификација од техничка природа.

Сето ова треба да ја намали количината на измама со електронски потписи, сметаат авторите на предлог-законот.

Каков е резултатот?

Како што можете лесно да видите, новиот предлог-закон на никаков начин не го решава проблемот со криминалната употреба на документи на граѓаните на Руската Федерација и кражбата на лични податоци. Не е важно кој ќе го издаде потписот на CA или на Федералната даночна служба, идентитетот на сопственикот на потписот сепак ќе треба да биде заверен, а сметката не предвидува никакви иновации по ова прашање. Ако бескрупулозниот пункт за издавање работеше според криминални шеми за обичен CA, тогаш што ќе ве спречи да го сторите истото за државна?

Сегашната верзија на предлог-законот засега не предвидува кој каква одговорност ќе сноси за издавање на УКЕП доколку овој потпис бил користен во измамнички активности. Згора на тоа, ниту во Кривичниот законик не постои соодветен член кој би дозволил кривично гонење за издавање сертификат за електронски потпис врз основа на украдени лични податоци.

Посебен проблем е преоптоварувањето на државните КА, што секако ќе се појави според новите правила и ќе го отежне обезбедувањето услуги на граѓаните и правните субјекти многу бавно и отежнато.

Во предлог-законот воопшто не се разгледува услужната функција на АД. Не е јасно дали ќе се создадат одделенија за услуги на клиентите кај предложените големи државни ИС, колку време ќе потрае и какви материјални инвестиции ќе бидат потребни и кој ќе обезбедува услуги на клиентите додека се создава таква инфраструктура. Очигледно е дека исчезнувањето на конкуренцијата во оваа област лесно може да доведе до стагнација во индустријата.

Односно, резултатот е монополизирање на пазарот на CA од страна на владините агенции, преоптоварување на овие структури со забавување на сите активности на EDI, недостаток на поддршка од крајните корисници во случај на измама и целосно уништување на сегашниот пазар на CA заедно со постојната инфраструктура. (ова е околу 15 работни места во целата земја).

Кој ќе се повреди? Како резултат на усвојувањето на таков предлог-закон, ќе страдаат оние кои сега страдаат, односно крајните корисници и органите за сертификација.

И бизнисот што напредува со кражба на идентитет ќе продолжи да цвета. Зарем не е време агенциите за спроведување на законот и законодавците да го свртат своето внимание на овој проблем и навистина сериозно да одговорат на предизвиците на дигиталната ера? Можностите за кражба на лични податоци и нивна последователна криминална употреба се зголемија повеќекратно во текот на изминатите 10-15 години. Зголемено е и нивото на обука на криминалците. На ова треба да се одговори со воведување строги мерки за одговорност за какви било незаконски дејствија со личните податоци на други луѓе, како за компаниите и нивните вработени, така и за поединци. А за навистина да се реши проблемот со криминалната употреба на сертификатите за електронски потпис, неопходно е да се создаде предлог-закон кој би предвидел одговорност, вклучително и кривична одговорност, за ваквите дејствија. А не сметка која едноставно ги прераспределува финансиските текови, ја комплицира процедурата за крајниот корисник и на крајот никому не му дава никаква заштита.

Извор: www.habr.com