O que está acontecendo?
O tema das fraudes realizadas por meio de certificados de assinatura eletrônica ganhou ampla ressonância pública recentemente. A imprensa federal adotou a prática de periodicamente contar histórias assustadoras sobre casos de uso indevido de assinaturas eletrônicas. O crime mais comum nesta área é o registro de uma pessoa jurídica ou microempresa em nome de um cidadão russo sem que ele suspeite. Outra forma popular de fraude é a transação que altera os direitos de propriedade sobre imóveis (isso acontece quando alguém vende seu apartamento em seu nome, e você nem sabe).
Mas não vamos nos deixar levar por descrições de possíveis atos ilícitos com assinaturas eletrônicas, para não fornecer ideias criativas para os golpistas. Vamos tentar entender por que esse problema assumiu tais proporções e o que realmente deve ser feito para erradicá-lo. Para isso, precisamos entender claramente o que são centros de certificação, como eles funcionam e se são realmente tão assustadores quanto estão retratados na mídia e nas declarações de partes interessadas.
De onde vêm as assinaturas?
Então, você é um usuário. Você precisa de um certificado de assinatura eletrônica. Não importa para quais tarefas, e qual é o seu status (empresa, pessoa física, microempresa) – o algoritmo para obter o certificado é padrão. E você se dirige a um centro de certificação com o objetivo de comprar um certificado de assinatura eletrônica.
O centro de certificação é uma empresa que a legislação russa impõe uma série de exigências rigorosas.
Para ter o direito de emitir uma assinatura eletrônica qualificada e aprimorada, o centro de certificação deve passar por um procedimento especial de acreditação no Ministério das Comunicações. O procedimento de acreditação implica em cumprir uma série de regras rígidas, que nem toda empresa consegue atender.
Em particular, o centro de certificação deve ter uma licença que lhe confere o direito de desenvolver, produzir e distribuir meios de criptografia, sistemas de informação e telecomunicações. Essa licença é concedida pelo FSB após o candidato passar por uma série de verificações rigorosas.
Os funcionários do centro de certificação devem ter formação superior na área de tecnologia da informação ou segurança da informação.
A lei também obriga os CAs a segurarem sua responsabilidade por «danos causados a terceiros em decorrência de sua confiança nas informações mencionadas no certificado de chave de verificação de assinatura eletrônica emitido por tal CA, ou nas informações contidas no registro de certificados mantido por tal CA» em uma quantia não inferior a 30 milhões de rublos.
Como você pode ver, não é tudo tão simples.
Atualmente, existem cerca de 500 CAs no país com o direito de emitir um UCAS (certificado de assinatura eletrônica qualificada e reforçada). Isso inclui não apenas centros de certificação privados, mas também CAs em várias estruturas governamentais (incluindo FNS, PRF e outras), bancos, mercados, incluindo os estatais.
O certificado de assinatura eletrônica é criado por meio de algoritmos de criptografia certificados pelo FSB da Federação Russa. Ele permite que pessoas jurídicas e físicas troquem documentos juridicamente significativos em formato eletrônico. Segundo dados oficiais dos CAs, a maior parte (95%) dos KEPS é emitida para pessoas jurídicas, o restante para pessoas físicas.
Depois que você entra em contato com o CA, o seguinte acontece:
- O CA verifica a identidade da pessoa que solicitou o certificado de assinatura eletrônica;
Somente após a confirmação da identidade e a verificação de todos os documentos o CA elabora e emite o certificado, que inclui informações sobre o proprietário do certificado e sua chave pública de verificação; - O CA gerencia o ciclo de vida do certificado: assegura sua emissão, suspensão (inclusive a pedido do proprietário), renovação, e término da validade.
- Outra função do CA é a prestação de serviços. Apenas emitir um certificado não é suficiente. Os usuários frequentemente precisam de vários esclarecimentos sobre o processo de emissão e uso da assinatura, consultoria sobre a aplicação e escolha do tipo de certificado. Grandes CAs, como o CA da empresa ‘Rede Empresarial’, oferecem serviços de suporte técnico, desenvolvem diversos softwares, melhoram processos empresariais, monitoram mudanças nas áreas de aplicação dos certificados, etc. Competindo entre si, os CAs trabalham na qualidade da prestação de serviços de TI, desenvolvendo esse setor.
O Cossaco foi enviado!
Vamos considerar o ponto 1 do algoritmo acima para a obtenção de uma assinatura eletrônica. O que significa "identificar a pessoa" que solicitou o certificado? Isso significa que a pessoa cujo nome é emitido o certificado deve comparecer pessoalmente ao escritório da AC ou a um ponto de emissão que tenha um acordo de parceria com a AC e apresentar ali as cópias originais de seus documentos. Em particular, o passaporte do cidadão russo. Em alguns casos, quando se trata de assinaturas para pessoas jurídicas e individuais, o procedimento de autenticação é ainda mais complexo e requer a apresentação de documentos adicionais.
É exatamente nesta etapa, ou seja, no início, quando ainda nem se chegou à emissão do certificado, que reside o maior problema. E a palavra-chave aqui é: "passaporte".
A fuga de dados pessoais no país adquiriu proporções verdadeiramente industriais. Existem recursos na internet onde você pode obter cópias digitais de passaportes de cidadãos russos por pequenos valores ou até mesmo gratuitamente. E de fato, cópias de passaportes em nosso país, sobrecarregado pelo legado pós-soviético no estilo "apresente seus documentos", podem ser coletadas de cidadãos em todos os lugares – não apenas em bancos ou outras instituições financeiras, mas também em hotéis, escolas, universidades, bilheteiras de aviação e ferrovias, centros infantis, pontos de atendimento de operadoras de celular – em todos os lugares onde é necessário apresentar um passaporte para atendimento, ou seja, praticamente em todo lugar. Com o desenvolvimento das tecnologias digitais, esse amplo canal de acesso a dados pessoais tem sido explorado por indivíduos do setor criminoso.
Também são bastante comuns os “serviços” de roubo de dados pessoais de pessoas específicas.
Além disso, existe um verdadeiro exército de chamados "nominais" – pessoas, geralmente muito jovens, ou muito pobres e com pouca educação, ou simplesmente arruinadas, que os criminosos prometem uma pequena recompensa para que compareçam à AC ou a um ponto de emissão e solicitem uma assinatura em seu nome como, por exemplo, diretor de uma empresa. Preciso dizer que tal pessoa não tem depois nenhuma relação com a atividade da empresa e não pode oferecer nenhuma ajuda real à investigação quando a fraude é descoberta.
Portanto, a digitalização do passaporte não é um problema. Mas para a verificação, é necessário o original do passaporte, como assim, perguntará o leitor atento? Para contornar esse problema, existem pontos de emissão desonestos. Apesar do rigoroso processo de seleção, criminosos conseguem status de pontos de emissão e, em seguida, começam a realizar ações ilegais com os dados pessoais dos cidadãos.
A combinação desses dois fatores nos traz o imenso volume de problemas com a criminalização do uso da assinatura eletrônica que temos atualmente.
Um só não é um guerreiro?
Toda essa, sem exagero, armada de golpistas é filtrada apenas pelos centros de certificação. Em qualquer CC, existem serviços de segurança próprios. Todos que solicitam uma assinatura são rigorosamente verificados na etapa de verificação de identidade. Todos que desejam colaborar como ponto de emissão para um CC específico também são cuidadosamente verificados tanto na fase de assinatura do contrato de parceria quanto posteriormente, durante a interação comercial.
Não pode ser de outra forma, pois a certificação desonesta ameaça o fechamento do CC – a legislação nesse setor é rígida.
Mas é impossível abarcar tudo, e uma parte dos pontos de emissão desonestos ainda "vaza" como parceiros para o CC. E o "nominal" pode não ter motivo algum para recusar a emissão do certificado – afinal, ele contata o CC de maneira completamente legal.
Além disso, se uma fraude com a assinatura em nome de uma pessoa específica vier à tona, apenas o centro de certificação poderá resolver o problema. Já que o centro de certificação neste caso revoga o certificado da assinatura, conduz uma investigação interna, rastreando toda a cadeia de emissão do certificado, e pode fornecer ao tribunal os documentos necessários sobre as ações fraudulentas na emissão da chave da assinatura eletrônica. Somente os materiais do centro de certificação ajudarão no tribunal a decidir o caso a favor da parte realmente lesada: a pessoa em nome da qual a assinatura foi emitida fraudulentamente.
No entanto, a falta de alfabetização digital geral não ajuda os afetados. Nem todos vão até o fim para proteger seus interesses. As ações ilegais com a assinatura eletrônica devem ser contestadas no tribunal. E os centros de certificação são o principal apoio nesse processo.
Eliminar todos os CCs?
Assim, foi decidido em nosso país fazer alterações na ordem de funcionamento dos Centros de Certificação e nos requisitos a serem atendidos. Um grupo de deputados e senadores desenvolveu um projeto de lei correspondente, que já foi até aprovado na primeira leitura pela Duma Estatal em 7 de novembro de 2019.
O documento prevê uma reforma abrangente do sistema de certificados de assinaturas eletrônicas. Ele, em particular, sugere que pessoas jurídicas e empresários individuais (IE) só poderão obter a assinatura eletrônica qualificada e reforçada (AEQR) na Receita Federal, enquanto as instituições financeiras poderão obtê-la no Banco Central. Os Centros de Certificação (CC) credenciados pelo Ministério das Comunicações, que atualmente emitem assinaturas eletrônicas, poderão concedê-las apenas a pessoas físicas.
Ao mesmo tempo, os requisitos para tais CCs devem ser severamente endurecidos. O tamanho mínimo dos ativos líquidos de um Centro de Certificação credenciado deve aumentar de 7 milhões de rublos para 1 bilhão de rublos, e o tamanho mínimo da garantia financeira deve aumentar de 30 milhões de rublos para 200 milhões de rublos. Se o Centro de Certificação tiver filiais em pelo menos dois terços dos regiões russas, o tamanho mínimo dos ativos líquidos poderá ser reduzido para 500 milhões de rublos.
O prazo de credenciamento dos Centros de Certificação é reduzido de cinco para três anos. Para violações na operação dos Centros de Certificação de natureza técnica, será imposta responsabilidade administrativa.
Tudo isso deve reduzir a quantidade de fraudes com assinaturas eletrônicas, acreditam os autores do projeto de lei.
E qual é o resultado?
Como se pode ver facilmente, o novo projeto de lei não considera de forma alguma o problema do uso criminoso de documentos de cidadãos russos e o roubo de dados pessoais. Não importa quem irá emitir a assinatura, seja o CC ou a Receita Federal, a identidade do proprietário da assinatura ainda precisará ser validada, e o projeto de lei não prevê nenhuma inovação a este respeito. Se um ponto de emissão desonesto operava com esquemas criminosos para um CC comum, o que impediria de fazer o mesmo para uma instituição estatal?
Na versão atual do projeto de lei, não está especificado quem e qual responsabilidade será atribuída pela emissão de uma assinatura eletrônica qualificada (UECP), caso essa assinatura tenha sido utilizada em ações fraudulentas. Além disso, nem mesmo no Código Penal existe um artigo adequado que permita a responsabilização criminal pela emissão de um certificado de assinatura eletrônica baseado em dados pessoais roubados.
Um problema separado é a sobrecarga dos centros de certificação governamentais, que inevitavelmente surgirá com as novas regras, tornando a prestação de serviços para cidadãos e pessoas jurídicas muito lenta e complexa.
A função de serviço dos centros de certificação não é considerada no projeto de lei. Se serão criados departamentos de atendimento ao assinante nos grandes centros de certificação governamentais propostos, quanto tempo isso levará e quais investimentos serão necessários, quem cuidará do atendimento ao cliente enquanto essa infraestrutura estiver sendo criada – isso não está claro. É evidente que a extinção da concorrência nesse setor pode facilmente levar à estagnação da indústria.
Portanto, o resultado será a monopolização do mercado de centros de certificação por estruturas governamentais, a sobrecarga dessas estruturas com uma desaceleração de toda a atividade relacionada à troca eletrônica de documentos (EDO), a falta de suporte ao usuário final em caso de fraude e a completa destruição do atual mercado de centros de certificação, junto com a infraestrutura existente (aproximadamente 15.000 postos de trabalho em todo o país).
Quem será prejudicado? Serão prejudicados, como resultado da adoção desse projeto de lei, aqueles que já sofrem atualmente, ou seja, os usuários finais e os centros de certificação.
Um negócio que prospera com o roubo de dados pessoais continuará a florescer. Não está na hora de as autoridades policiais e os legisladores prestarem atenção a esse problema e responderem de forma séria aos desafios da era digital? As oportunidades para o roubo de dados pessoais e seu uso criminoso cresceram exponencialmente nos últimos 10 a 15 anos. O nível de preparação dos criminosos também aumentou. É preciso reagir, implementando medidas rigorosas de responsabilidade por quaisquer atos ilegais envolvendo dados pessoais, tanto para empresas e seus funcionários quanto para indivíduos. E para realmente resolver o problema do uso criminoso de certificados de assinatura eletrônica, é necessário criar uma proposta de lei que preveja responsabilidade, incluindo penalidades criminais, por tais ações. Não uma proposta de lei que apenas redistribui fluxos financeiros, complica o procedimento para o usuário final e, no final, não oferece proteção a ninguém.
Fonte: habr.com
