Co się dzieje?
Temat oszustw związanych z certyfikatem e-podpisu wzbudził w ostatnim czasie szerokie zainteresowanie społeczne. Federalne media przyjęły za zasadę okresowe opowiadanie przerażających historii o przypadkach niewłaściwego użycia e-podpisu. Najczęściej występującym przestępstwem w tej dziedzinie jest rejestracja osoby prawnej lub jednoosobowej działalności gospodarczej na nazwisko niczego niepodejrzewającego obywatela RF. Popularną metodą oszustwa jest także transakcja polegająca na zmianie prawa własności do nieruchomości (to wtedy ktoś sprzedaje twoje mieszkanie w twoim imieniu, a ty nawet nie wiesz).
Ale nie zajmujmy się opisywaniem możliwych nielegalnych działań z E-Podpisem, aby nie dostarczać oszustom pomysłów. Lepiej spróbujmy zrozumieć, dlaczego ten problem nabrał tak dużych rozmiarów i co naprawdę należy zrobić, aby go wyeliminować. Aby to zrobić, musimy wyraźnie zrozumieć, czym są centra certyfikacji, jak działają i czy są tak przerażające, jak przedstawiają je media oraz wypowiedzi zainteresowanych stron.
Skąd bierze się podpisy?
Więc jesteś użytkownikiem. Potrzebujesz certyfikatu e-podpisu. Nieważne, do jakich zadań, ani w jakim statusie (firma, osoba fizyczna, jednoosobowa działalność gospodarcza) — proces uzyskania certyfikatu jest standardowy. I zwracasz się do centrum certyfikacji z zamiarem zakupu certyfikatu E-Podpisu.
Centrum certyfikacji to firma, której rosyjskie prawo stawia szereg rygorystycznych wymagań.
Aby mieć prawo do wydawania zaawansowanego kwalifikowanego e-podpisu, centrum certyfikacji musi przejść specjalną procedurę akredytacji w Ministerstwie Łączności. Procedura akredytacji zakłada spełnienie szeregu surowych zasad, które nie każda firma jest w stanie zrealizować.
W szczególności, UC jest zobowiązane do posiadania licencji, która daje mu prawo do działalności związanej z opracowaniem, produkcją i dystrybucją środków szyfrujących (kryptograficznych), systemów informacyjnych i telekomunikacyjnych. Licencja ta jest wydawana przez FSB po przeprowadzeniu serii rygorystycznych kontroli kandydatów.
Pracownicy UC muszą posiadać wyższe wykształcenie w dziedzinie technologii informacyjnych lub bezpieczeństwa informacji.
Prawo zobowiązuje Ucz do ubezpieczenia swojej odpowiedzialności za „straty wyrządzone osobom trzecim w wyniku ich zaufania do informacji zawartej w certyfikacie klucza weryfikacji podpisu elektronicznego wydanym przez taki Ucz, lub informacji zawartej w rejestrze certyfikatów prowadzonym przez taki Ucz” na kwotę nie mniejszą niż 30 milionów rubli.
Jak widać, nie wszystko jest takie proste.
W kraju obecnie działa około 500 Ucz, które mają prawo wydawać UKEP (certyfikat wzmocnionego kwalifikowanego podpisu elektronicznego). Należą do nich nie tylko prywatne centra certyfikujące, ale także Ucz funkcjonujące w różnych instytucjach państwowych (w tym FNS, PRF i inne), bankach, giełdach handlowych, w tym rządowych.
Certyfikat podpisu elektronicznego tworzony jest za pomocą algorytmów szyfrowania certyfikowanych przez FSB RF. Umożliwia on osobom prawnym i fizycznym wymianę dokumentów o znaczeniu prawnym w formie elektronicznej. Z danych oficjalnych Ucz wynika, że większość (95%) KEP wydawana jest osobom prawnym, a pozostała część – osobom fizycznym.
Po tym, jak zgłosisz się do Ucz, następuje:
- Ucz weryfikuje tożsamość osoby, która występuje o certyfikat podpisu elektronicznego;
Dopiero po potwierdzeniu tożsamości i sprawdzeniu wszystkich dokumentów Ucz tworzy i wydaje certyfikat, który zawiera dane o właścicielu certyfikatu i jego klucz publiczny weryfikacji; - Ucz zarządza cyklem życia certyfikatu: zapewnia jego wydanie, wstrzymanie (w tym na prośbę właściciela), wznowienie, zakończenie ważności.
- Jeszcze jedną funkcją Ucz jest serwisowa. Nie wystarczy tylko wydać certyfikat. Użytkownicy regularnie potrzebują różnorodnych konsultacji dotyczących procedury wydania i użycia podpisu, konsultacji w zakresie aplikacji i wyboru typu certyfikatu. Duże Ucz, takie jak Ucz firmy „Dewoluchowa sieć”, świadczą usługi wsparcia technicznego, tworzą różne oprogramowanie, poprawiają procesy biznesowe, monitorują zmiany w dziedzinach zastosowania certyfikatów itd. Konkurując ze sobą, Ucz pracują nad jakością świadczenia usług IT, rozwijając tę dziedzinę.
Kazaczek to wtyczka!
Rozważmy punkt 1 przedstawionego powyżej algorytmu uzyskiwania e-podpisu. Co oznacza „uwierzytelnienie tożsamości” osoby, która zwraca się o certyfikat? Oznacza to, że osoba, na której nazwisko wydawany jest certyfikat, musi osobiście stawić się w biurze centrum certyfikacji lub w punkcie wydania posiadającym umowę partnerską z centrum certyfikacji i przedstawić tam oryginały swoich dokumentów, w szczególności – paszport obywatela Federacji Rosyjskiej. W niektórych przypadkach, gdy chodzi o podpisy dla osób prawnych i indywidualnych przedsiębiorców, procedura uwierzytelniania jest jeszcze bardziej skomplikowana i wymaga przedstawienia dodatkowych dokumentów.
Właśnie na tym etapie, to znaczy na samym początku, kiedy do wydania certyfikatu sprawa jeszcze nie doszła, tkwi zasadniczy problem. A kluczowe słowo tutaj to: „paszport”.
Wycieki danych osobowych w kraju przybrały naprawdę przemysłowe rozmiary. Istnieją zasoby internetowe, gdzie możesz za niewielkie pieniądze lub wręcz za darmo uzyskać skanowane kopie aktualnych paszportów obywateli Federacji Rosyjskiej. A przecież skany paszportów w naszym kraju, obciążonym dziedzictwem postradzieckim w stylu „przedstaw dokumenty”, można zbierać od obywateli wszędzie – nie tylko w bankach czy innych instytucjach finansowych, ale również w hotelach, szkołach, uczelniach, kasach lotniczych i kolejowych, centrach dziecięcych, punktach obsługi abonentów sieci komórkowych – wszędzie, gdzie wymagają okazania paszportu do obsługi, czyli praktycznie wszędzie. Wraz z rozwojem technologii cyfrowych ten szeroki kanał dostępu do danych osobowych został przejęty przez przedstawicieli sfery przestępczej.
Bardzo powszechne są również „usługi” kradzieży danych osobowych konkretnych ludzi.
Oprócz tego istnieje cała armia tzw. „nominalnych” – ludzi, zazwyczaj bardzo młodych, lub bardzo biednych i mało wykształconych, albo po prostu zepchniętych na margines, którym przestępcy obiecują skromne wynagrodzenie za to, że z własnym paszportem stawią się w centrum certyfikacji lub w punkcie wydania i zamówią tam podpis na swoje nazwisko jako na przykład dyrektor firmy. Czy trzeba mówić, że taka osoba nie ma potem żadnego związku z działalnością firmy i nie może wnieść żadnej realnej pomocy śledztwu, gdy oszustwo wychodzi na jaw.
Zatem, skan paszportu to nie problem. Ale do uwierzytelnienia potrzebny jest oryginał paszportu, jak to możliwe, zapyta uważny czytelnik? Aby obejść ten problem, na świecie istnieją nieuczciwe punkty wydania. Mimo ścisłej procedury selekcji, status punktu wydania czasami uzyskują przestępcze postacie, które potem prowadzą działalność związaną z przestępczością w zakresie danych osobowych obywateli.
Te dwa czynniki w połączeniu dają nam cały ten potok problemów związanych z przestępczością wykorzystującą podpis elektroniczny, które obecnie mamy.
Samotny w polu nie jest wojownikiem?
Całą tę, bez przesady, armię oszustów obecnie filtrują tylko centra certyfikacji. W każdym CC istnieją własne służby bezpieczeństwa. Wszystkich, którzy zwracają się o podpis, dokładnie sprawdzają na etapie uwierzytelnienia tożsamości. Wszystkich, którzy chcą współpracować w statusie punktu wydania dla konkretnego CC, również dokładnie weryfikują zarówno na etapie zawierania umowy partnerskiej, jak i później w procesie interakcji biznesowej.
Nie może być inaczej, ponieważ nieuczciwe uwierzytelnienie grozi CC zamknięciem - przepisy w tej dziedzinie są surowe.
Jednak nie można objąć wszystkiego, a część nieuczciwych punktów wydania i tak 'przemyca się' do partnerów CC. A 'nominał' nie ma w ogóle powodu, by odmówić wydania certyfikatu - przecież zwraca się do CC całkowicie legalnie.
Również, w przypadku, gdy ujawnia się oszustwo z podpisem na nazwisko konkretnej osoby, tylko centrum certyfikacji pomoże rozwiązać problem. Ponieważ centrum certyfikacji w tym przypadku cofa certyfikat podpisu, przeprowadza dochodzenie służbowe, śledząc całą drogę wydania certyfikatu i może dostarczyć sądowi niezbędne dokumenty dotyczące oszukańczych działań związanych z wydaniem klucza podpisu elektronicznego. Tylko materiały z centrum certyfikacji pomogą w sądzie rozwiązać sprawę na korzyść rzeczywiście poszkodowanej strony: osoby, na której nazwisko oszukańczo wydano podpis.
Jednak ogólna cyfrowa analfabetyzm także tutaj nie działa na korzyść poszkodowanych. Nie wszyscy idą do końca, broniąc swoich interesów. A takie działania przestępcze z ECP należy koniecznie kwestionować w sądzie. A centra certyfikacji w tym - to główne wsparcie.
Zabić wszystkie CC?
I oto, w naszym państwie podjęto decyzję o wprowadzeniu zmian w porządku pracy Centrum Certyfikacji oraz wymogach dla nich. Grupa deputowanych i senatorów opracowała stosowny projekt ustawy, który został już przyjęty przez Dumę Państwową w pierwszym czytaniu 7 listopada 2019 roku.
Dokument przewiduje szeroką reformę systemu certyfikatów podpisów elektronicznych. Przewiduje on, że osoby prawne i przedsiębiorcy indywidualni będą mogli uzyskać wzmocniony kwalifikowany podpis elektroniczny (WKP) wyłącznie w FNS, a instytucje finansowe - w CB. Akredytowane przez Ministerstwo Łączności centra certyfikacji (UЦ), które teraz wydają EП, będą mogły wydawać je tylko osobom fizycznym.
Przy tym wymagania dla takich UЦ planują znacznie zaostrzyć. Minimalna wartość aktywów netto akredytowanego centrum certyfikacji ma zostać podniesiona z 7 mln rubli do 1 mld rubli, a minimalna wartość zabezpieczenia finansowego - z 30 mln rubli do 200 mln rubli. Jeśli centrum certyfikacji ma filie w co najmniej dwóch trzecich rosyjskich regionów, minimalna wartość aktywów netto może zostać zmniejszona do 500 mln rubli.
Okres akredytacji centrów certyfikacji skraca się z pięciu do trzech lat. Za naruszenia w pracy centrów certyfikacji technicznego charakteru wprowadza się odpowiedzialność administracyjną.
Wszystko to ma na celu ograniczenie liczby oszustw związanych z podpisami elektronicznymi, sądzą autorzy projektu ustawy.
Co w rezultacie?
Jak łatwo można zauważyć, nowy projekt ustawy w żaden sposób nie rozwiązuje problemu kryminalnego wykorzystania dokumentów obywateli RF oraz kradzieży danych osobowych. Nie ma znaczenia, kto będzie wydawał podpis - UЦ czy FNS, tożsamość właściciela podpisu wciąż będzie musiała być potwierdzana, a projekt ustawy nie przewiduje żadnych nowości w tej kwestii. Jeśli nieszczera placówka wydająca działała według kryminalnych schematów w przypadku zwykłego UЦ, to co powstrzyma ją przed działaniem w ten sam sposób dla instytucji państwowej?
W obecnej wersji projektu ustawy nie określono, kto i za co ponosi odpowiedzialność za wydanie kwalifikowanego certyfikatu podpisu elektronicznego, jeśli ten podpis był wykorzystany w działaniach oszukańczych. Co więcej, nawet w Kodeksie karnym nie ma odpowiedniego artykułu, który pozwalałby na pociągnięcie do odpowiedzialności karnej za wydanie certyfikatu podpisu elektronicznego na podstawie skradzionych danych osobowych.
Osobnym problemem jest przeciążenie państwowych centrów certyfikacji, które koniecznie wystąpi przy nowych przepisach, co uczyni świadczenie usług dla obywateli i osób prawnych bardzo wolnym i skomplikowanym.
Funkcja serwisowa centrów certyfikacji w ogóle nie jest rozważana w projekcie ustawy. Czy zostaną utworzone działy obsługi abonentów w proponowanych dużych państwowych centrach certyfikacji, ile czasu to zajmie i jakie nakłady finansowe będą wymagane, kto będzie zajmował się obsługą klientów, dopóki taka infrastruktura będzie tworzona – nie jest jasne. Oczywiste jest, że zniknięcie konkurencji w tej dziedzinie może łatwo prowadzić do stagnacji w branży.
Zatem na wyjściu otrzymujemy monopolizację rynku centrów certyfikacji przez instytucje państwowe, przeciążenie tych struktur, co spowolni całą działalność związaną z elektronicznym obiegiem dokumentów, brak wsparcia dla końcowego użytkownika w przypadku oszustwa oraz całkowite zniszczenie obecnego rynku centrów certyfikacji wraz z istniejącą infrastrukturą (około 15 000 miejsc pracy w całym kraju).
Kto zatem ucierpi? Ucierpią w wyniku przyjęcia takiego projektu ustawy ci sami, którzy cierpią i teraz, czyli końcowi użytkownicy i centra certyfikacji.
Biznes, kwitnący na kradzieżach danych osobowych, nadal będzie rozkwitał w pełnej krasie. Czy nie nadszedł czas, aby organy ścigania i ustawodawcy zwrócili uwagę na ten problem i naprawdę poważnie odpowiedzieli na wyzwania cyfrowej epoki? Możliwości kradzieży danych osobowych i ich późniejszego przestępczego wykorzystania wzrosły wielokrotnie w ciągu ostatnich 10-15 lat. Wzrosł również poziom przygotowania przestępców. Należy na to zareagować, wprowadzając surowe środki odpowiedzialności za wszelkie nielegalne działania dotyczące cudzych danych osobowych zarówno dla firm i ich pracowników, jak i osób prywatnych. Aby rzeczywiście rozwiązać problem przestępczego wykorzystania certyfikatów podpisu elektronicznego, konieczne jest stworzenie projektu ustawy, który przewidywałby odpowiedzialność, w tym karną, za takie działania. A nie projektu, który po prostu przekształca przepływy finansowe, komplikuje procedurę dla użytkownika końcowego i w końcu nie zapewnia nikomu żadnej ochrony.
Źródło: habr.com
