Jager of prooi? Wie beschermt de certificeringsinstellingen?

Wat gebeurt er?

Het onderwerp van frauduleuze handelingen met behulp van digitale handtekeningen heeft de laatste tijd veel publieke aandacht getrokken. Federaal nieuwsmedia hebben de gewoonte om af en toe angstaanjagende verhalen te vertellen over gevallen van onrechtmatig gebruik van elektronische handtekeningen. De meest voorkomende misdaad in dit gebied is de registratie van een rechtspersoon of individuele ondernemer op naam van een niets vermoedende burger van de Russische Federatie. Een populaire vorm van fraude is ook de transactie waarbij eigendomsrechten op onroerend goed worden gewijzigd (dit is wanneer iemand uw appartement zonder uw medeweten aan iemand verkoopt).

Maar laten we ons niet laten meeslepen door het beschrijven van mogelijke illegale handelingen met digitale handtekeningen, om geen creatieve ideeën aan fraudeurs te geven. Laten we beter proberen te begrijpen waarom dit probleem zulke afmetingen heeft aangenomen en wat er echt moet gebeuren om het uit te roeien. Om dit te doen, moeten we duidelijk begrijpen wat certificeringscentra zijn, hoe ze precies functioneren en of ze echt zo gevaarlijk zijn als de media en betrokkenen ons doen geloven.

Waar komen handtekeningen vandaan?

Dus, u bent een gebruiker. U heeft een digitale handtekening nodig. Het maakt niet uit voor welke taken en in welke hoedanigheid (bedrijf, particulier, individuele ondernemer) – het proces om een certificaat te verkrijgen is standaard. En u wendt zich tot een certificeringscentrum met de bedoeling een digitale handtekening aan te schaffen.

Een certificeringscentrum is een bedrijf waaraan de Russische wetgeving een aantal strikte eisen stelt.

Om het recht te hebben om een versterkte gekwalificeerde digitale handtekening uit te geven, moet het certificeringscentrum een speciale accreditatieprocedure bij het ministerie van Digitale Ontwikkeling doorlopen. Deze procedure vereist dat een aantal strikte regels wordt nageleefd, die niet elke onderneming kan voldoen.

In het bijzonder is het certificeringscentrum verplicht om een vergunning te hebben die hem het recht geeft om activiteiten uit te voeren op het gebied van de ontwikkeling, productie en distributie van cryptografische middelen, informatie- en telecommunicatiesystemen. Deze vergunning wordt afgegeven door de FSB na een serie strenge controles van de aanvrager.

Werknemers van de certificeringsinstantie moeten een professionele opleiding in informatietechnologie of informatiebeveiliging hebben voltooid.

Daarnaast verplicht de wet de certificeringsinstantie om haar aansprakelijkheid te verzekeren voor 'schaden veroorzaakt aan derden als gevolg van hun vertrouwen in de informatie die in het certificaat van de elektronische handtekening is opgenomen, uitgegeven door deze certificeringsinstantie, of de informatie in het register van certificaten dat door deze certificeringsinstantie wordt bijgehouden' voor een bedrag van ten minste 30 miljoen roebel.

Zoals u ziet, is niet alles zo eenvoudig.

Momenteel zijn er in het land ongeveer 500 certificeringsinstanties die bevoegd zijn om versterkte gekwalificeerde elektronische handtekeningen (UKEP) uit te geven. Dit omvat niet alleen particuliere certificeringsinstanties, maar ook certificeringsinstanties binnen allerlei overheidsstructuren (inclusief de FNS, PRF, enz.), banken, marktplaatsen, inclusief overheidsmarktplaatsen.

Een elektronisch handtekeningcertificaat wordt gemaakt met behulp van door de FSB van de Russische Federatie gecertificeerde encryptie-algoritmen. Het stelt juridische en fysieke personen in staat om juridisch significante documenten elektronisch uit te wisselen. Volgens officiële gegevens van de certificeringsinstanties wordt het grootste deel (95%) van de KEP's uitgegeven aan juridische personen, de rest aan natuurlijke personen.

Nadat u contact heeft opgenomen met de certificeringsinstantie, gebeurt het volgende:

1. De certificeringsinstantie valideert de identiteit van de persoon die om een elektronisch handtekeningcertificaat vraagt;
   Pas na bevestiging van de identiteit en controle van alle documenten vervaardigt en verstrekt de certificeringsinstantie het certificaat, waarin gegevens over de houder van het certificaat en zijn openbare sleutel zijn opgenomen;
2. De certificeringsinstantie beheert de levenscyclus van het certificaat: verzorgt de uitgifte, schorsing (ook op verzoek van de houder), vernieuwing en beëindiging van de geldigheidsduur.
3. Een andere functie van de certificeringsinstantie is de servicefunctie. Het is niet voldoende om alleen een certificaat uit te geven. Gebruikers hebben regelmatig allerlei consultaties nodig over de procedure voor het uitgeven en gebruiken van de handtekening, advies over de toepassing en keuze van het type certificaat. Grote certificeringsinstanties, zoals de certificeringsinstantie van 'Zakelijke Netwerk', bieden technische ondersteuningsdiensten aan, creëren verschillende software, verbeteren bedrijfsprocessen, volgen veranderingen in de toepassingsgebieden van certificaten, enz. Door met elkaar te concurreren, werken certificeringsinstanties aan de kwaliteit van IT-diensten en ontwikkelen ze dit gebied.

De Cossack is inderdaad gestuurd!

Laten we punt 1 van het bovenstaande algoritme voor het verkrijgen van een elektronische handtekening bekijken. Wat betekent het om de identiteit van de persoon die om het certificaat vraagt te verifiëren? Dit betekent dat de persoon op wiens naam het certificaat wordt uitgegeven, persoonlijk naar het kantoor van de Certificeringsinstantie (CA) of naar een afhaalpunt met een partnerovereenkomst met de CA moet komen en daar de originele documenten moet overleggen. In het bijzonder een paspoort van een Russische burger. In sommige gevallen, wanneer het gaat om handtekeningen voor rechtspersonen en individuele ondernemers, is de verificatieprocedure nog complexer en vereist deze het overleggen van aanvullende documenten.

Dit is precies de fase, dat wil zeggen aan het begin, wanneer het nog niet zover is gekomen dat er handtekeningen voor het certificaat zijn uitgegeven, waar het grootste probleem verborgen ligt. En het sleutelwoord hier is: 'paspoort'.

De lekken van persoonlijke gegevens in het land hebben werkelijk industriële vormen aangenomen. Er zijn internetbronnen waar je voor een klein bedrag of zelfs gratis scan-kopieën van geldige paspoorten van Russische burgers kunt krijgen. En in ons land, dat nog steeds onder het post-sovjet erfgoed 'toon je documenten' lijdt, kunnen scankopieën van paspoorten overal van burgers worden verzameld – niet alleen in banken of andere financiële instellingen, maar ook in hotels, scholen, universiteiten, luchtvaart- en treinreizen, kindercentra, en punten waar mobiele diensten worden aangeboden – overal waar het tonen van een paspoort vereist is voor service, dat wil zeggen praktisch overal. Met de ontwikkeling van digitale technologieën hebben werknemers in de criminele sector dit enorme kanaal voor toegang tot persoonlijke gegevens benut.

Ook zijn 'diensten' voor de diefstal van persoonlijke gegevens van specifieke mensen heel gebruikelijk.

Bovendien bestaat er een heel leger van zogenaamde 'voordeligen' – mensen, doorgaans erg jong, of erg arm en laagopgeleid, of gewoon in een uitzichtloze situatie, aan wie criminelen een bescheiden beloning beloven om met hun paspoort naar de CA of het afhaalpunt te komen en daar een handtekening op hun naam aan te vragen, bijvoorbeeld als directeur van een bedrijf. Het hoeft geen betoog dat zo'n persoon vervolgens niets te maken heeft met de activiteiten van het bedrijf en in feite geen echte hulp kan bieden aan het onderzoek wanneer de fraude aan het licht komt.

Dus, een paspoortscan is geen probleem. Maar voor identificatie is het origineel van het paspoort nodig, hoe zit dat dan, vraagt een oplettende lezer? Om dit probleem te omzeilen, bestaan er slecht-functionerende uitgiftepunten. Ondanks de strenge selectiemethode, krijgen soms criminelen de status van uitgiftepunt en gaan vervolgens onrechtmatige handelingen verrichten met de persoonlijke gegevens van burgers.

Deze twee factoren samen zorgen voor de overvloed aan problemen met de criminalisering van het gebruik van elektronische handtekeningen, dat we nu ervaren.

Eén in het veld is geen krijger?

Deze, zonder overdrijving, hele leger van oplichters wordt nu alleen gefilterd door de certificeringscentra. Elk certificeringscentrum heeft zijn eigen beveiligingsdiensten. Iedereen die om een handtekening vraagt, wordt zorgvuldig gecontroleerd tijdens de identificatiefase. Iedereen die wil samenwerken als uitgiftepunt voor een specifiek certificeringscentrum, wordt ook grondig gecontroleerd, zowel bij het sluiten van het partnerschapscontract als daarna, in het zakelijk verkeer.

Het kan niet anders, want onzorgvuldige identificatie bedreigt de sluiting van het certificeringscentrum - de wetgeving in dit gebied is streng.

Maar het is onmogelijk om het ongrijpbare te omarmen, en een deel van de onbetrouwbare uitgiftepunten komt toch 'door' als partners van het certificeringscentrum. En de 'nominale' heeft überhaupt geen reden om de uitgifte van een certificaat te weigeren - immers, hij vraagt volledig legaal bij het certificeringscentrum.

Ook, in het geval dat er een oplichting met een handtekening op naam van een specifiek persoon wordt onthuld, zal alleen het certificeringscentrum helpen om het probleem op te lossen. Want in dit geval intrekt het certificeringscentrum het handtekeningcertificaat, voert het een intern onderzoek uit, waarbij het de hele keten van de certificaatuitgifte volgt, en kan het de rechtbank de benodigde documenten over frauduleuze handelingen bij de uitgifte van de elektronische handtekening sleutel voorleggen. Alleen materialen van het certificeringscentrum zullen helpen in de rechtbank om de zaak in het voordeel van de werkelijk benadeelde partij te regelen: de persoon op wiens naam onterecht een handtekening is uitgegeven.

Echter, de algemene digitale onwetendheid werkt hier ook niet in het voordeel van de slachtoffers. Niet iedereen gaat tot het einde om zijn belangen te verdedigen. En onrechtmatige handelingen met elektronische handtekeningen moeten noodzakelijkerwijs in de rechtbank worden aangevochten. En de certificeringscentra zijn hierin de belangrijkste steun.

Alle certificeringscentra uitroeien?

En ons is in ons land besloten om wijzigingen aan te brengen in de werking van de certificeringsinstanties (UЦ) en de vereisten daarvoor. Een groep volksvertegenwoordigers en senatoren heeft een bijbehorend wetsvoorstel ontwikkeld, dat zelfs al op 7 november 2019 door de Staatsdoema in eerste lezing is aangenomen.

Het document voorziet in een grootschalige hervorming van het systeem van certificaten voor elektronische handtekeningen. Het houdt in dat rechtspersonen en individuele ondernemers (IE) alleen een versterkte gekwalificeerde elektronische handtekening (УКЭП) kunnen verkrijgen bij de FNS, en financiële instellingen bij de centrale bank. De door het ministerie van Communicatie geaccrediteerde certificeringsinstanties (UЦ), die momenteel elektronische handtekeningen verstrekken, mogen deze alleen aan natuurlijke personen verstrekken.

De vereisten voor dergelijke UЦ's zullen aanzienlijk worden verscherpt. Het minimumbedrag van de nettoactiva van de geaccrediteerde certificeringsinstantie moet worden verhoogd van 7 miljoen roebel naar 1 miljard roebel, en het minimale bedrag van de financiële waarborg van 30 miljoen roebel naar 200 miljoen roebel. Als de certificeringsinstantie filialen heeft in ten minste twee derde van de Russische regio's, kan het minimumbedrag van de nettoactiva worden verlaagd tot 500 miljoen roebel.

De accrediteringstermijn voor certificeringsinstanties wordt verkort van vijf naar drie jaar. Voor schendingen van de technische werking van certificeringsinstanties wordt administratieve aansprakelijkheid ingevoerd.

Dit moet het aantal fraude met elektronische handtekeningen verminderen, denken de auteurs van het wetsvoorstel.

Wat is het resultaat?

Zoals gemakkelijk te zien is, behandelt het nieuwe wetsvoorstel op geen enkele wijze het probleem van crimineel gebruik van documenten van Russische burgers en de diefstal van persoonlijke gegevens. Het maakt niet uit wie de handtekening uitgeeft, of het nu de UЦ of de FNS is, de identiteit van de handtekeninghouder moet nog steeds worden vastgesteld, en het wetsvoorstel voorziet in geen enkele vernieuwing op dit punt. Als een ongeoorloofde uitgiftepunt werkte volgens criminele schema's voor een normale UЦ, wat zou dan voorkomen dat hetzelfde voor de staat te doen?

In de huidige versie van het wetsvoorstel is niet vastgelegd wie en welke verantwoordelijkheid draagt voor de uitgifte van een elektronische handtekening (UKEP), als deze handtekening is gebruikt voor frauduleuze activiteiten. Bovendien is er zelfs in het Strafwetboek geen geschikt artikel dat het mogelijk maakt om strafrechtelijk aansprakelijk te worden gesteld voor het uitgeven van een elektronische handtekening op basis van gestolen persoonlijke gegevens.

Een apart probleem is de overbelasting van de staatse certificeringsinstanties (UЦ), wat onvermijdelijk zal optreden bij de nieuwe regels en de dienstverlening aan burgers en rechtspersonen zeer traag en complex zal maken.

De servicefunctie van de certificeringsinstanties wordt helemaal niet in het wetsvoorstel overwogen. Of er klantenservice-afdelingen zullen worden opgericht bij de voorgestelde grote staats-UЦ, hoeveel tijd dit zal kosten en welke materiële investeringen nodig zijn, en wie er voor de klantenservice zal zorgen terwijl deze infrastructuur wordt opgebouwd, is onduidelijk. Het is duidelijk dat het verdwijnen van concurrentie in deze sector gemakkelijk kan leiden tot stagnatie in de industrie.

Dit betekent dat we uitkomen op een monopolisatie van de UЦ-markt door staatsstructuren, overbelasting van deze structuren die de hele elektronische documentatie-activiteiten vertragen, gebrek aan ondersteuning voor de eindgebruiker in geval van fraude en volledige vernietiging van de huidige UЦ-markt samen met de bestaande infrastructuur (dit betreft ongeveer 15.000 arbeidsplaatsen in het hele land).

Wie zal er lijden? Diegenen die lijden door de aanname van zo'n wetsvoorstel zijn dezelfde als degenen die nu al lijden, namelijk de eindgebruikers en de certificeringsinstanties.

Een bedrijf dat bloeit op diefstal van persoonlijke gegevens zal blijven floreren. Is het niet tijd dat wetshandhaving en wetgevers hun aandacht vestigen op dit probleem en serieus antwoorden op de uitdagingen van het digitale tijdperk? De mogelijkheden voor het stelen van persoonlijke gegevens en hun latere criminele toepassingen zijn de afgelopen 10-15 jaar exponentieel toegenomen. Ook het niveau van de voorbereiding van criminelen is gestegen. Hierop moet worden gereageerd door strikte verantwoordelijkheden in te voeren voor alle onwettige daden met betrekking tot andermans persoonlijke gegevens, zowel voor bedrijven en hun medewerkers als voor particulieren. Om echt het probleem van crimineel gebruik van digitale handtekeningen op te lossen, moet er een wetsvoorstel worden gemaakt dat verantwoordelijkheid, inclusief strafrechtelijke, voor dergelijke daden voorziet. En niet een wetsvoorstel dat eenvoudigweg financiële stromen herverdeelt, de procedure voor de eindgebruiker bemoeilijkt en uiteindelijk niemand enige bescherming biedt.

Bron: habr.com