Que se passe-t-il ?
Tema goljufij, ki se izvajajo s pomočjo potrdila o elektronskem podpisu, je v zadnjem času pridobila širok javni odmev. Zvezni mediji so si zadali za pravilo, da občasno pripovedujejo strašne zgodbe o primerih nezakonite uporabe elektronskega podpisa. Najpogostejši zločin na tem področju je registracija pravne osebe ali samostojnega podjetnika na ime nič hudega slutečega državljana RF. Poglejte tudi, kako pogosta je goljufija pri transakcijah, pri katerih pride do spremembe lastništva nad nepremičnino (to pomeni, da vašo stanovanje nekdo proda v vaše ime, vi pa ne veste).
Toda ne bomo preveč razglabljali o možnih nezakonitih dejanjih s potrdili o elektronskem podpisu, da ne bi podajali ustvarjalnih idej goljufom. Raje poskusimo ugotoviti, zakaj je ta problem pridobil take razsežnosti, in kaj je tisto, kar je dejansko potrebno za njegovo odpravo. Za to moramo jasno razumeti, kaj so overitveni centri, kako natančno delujejo in ali so tako strašni, kot nam jih prikazujejo v medijih in izjavah zainteresiranih strani.
Od kod prihajajo podpisi?
Torej, ste uporabnik. Potrebujete potrdilo o elektronskem podpisu. Ni važno za katere naloge in v kakšnem statusu ste (podjetje, fizična oseba, samostojni podjetnik) — postopek pridobivanja potrdila je standarden. Obrnete se na overitveni center z namenom, da kupite potrdilo EP.
Overitveni center je podjetje, kateremu ruska zakonodaja postavlja vrsto strogih zahtev.
Da bi imel pravico izdati okrepljen kvalificiran elektronski podpis, mora overitveni center prestati poseben postopek akreditacije pri Ministrstvu za komunikacije. Postopek akreditacije predpostavlja izpolnitev niza strogih pravil, ki jih ne more izpolniti vsako podjetje.
Zlasti mora imeti UC licenco, ki mu omogoča dejavnosti na področju razvoja, proizvodnje in distribucije šifrirnih (kriptografskih) sredstev, informacijski in telekomunikacijski sistemov. To licenco izdaja FSB po tem, ko kandidat prestane serijo strogih preiskav.
Delavci UC morajo imeti visokošolsko izobrazbo na področju informacijske tehnologije ali informacijske varnosti.
Zakon prav tako nalaga, da mora CA zavarovati svojo odgovornost za "škodo, povzročeno tretjim osebam zaradi njihovega zaupanja v informacije, navedene v certifikatu za preverjanje elektronskega podpisa, ki ga izdaja taka CA, ali informacije, ki jih vsebuje register certifikatov, ki ga vodi taka CA" v znesku najmanj 30 milijonov rubljev.
Kot vidite, ni vse tako preprosto.
V državi trenutno deluje približno 500 CA, ki imajo pravico izdati VKEP (certifikat za pojačani kvalificirani elektronski podpis). Sem sodijo ne le zasebni overiteljski centri, temveč tudi CA v različnih državnih strukturah (vključno z FNS, PRF in drugimi), bankah, trgovskih platformah, vključno s tistimi v državni lasti.
Certifikat elektronskega podpisa se ustvari s pomočjo šifrirnih algoritmov, certificiranih s strani FSB RF. Omogoča pravnim in fizičnim osebam izmenjavo pravno veljavnih dokumentov v elektronski obliki. Po uradnih podatkih CA, večina (95%) KEP izda pravnim osebam, preostalo pa fizičnim osebam.
Po tem, ko se obrnete na CA, se zgodi naslednje:
- CA potrdi identiteto osebe, ki je zaprosila za certifikat elektronskega podpisa;
Šele po potrditvi identitete in preverjanju vseh dokumentov CA izdela in izda certifikat, ki vključuje podatke o lastniku certifika in njegov javni ključ za preverjanje; - CA upravlja življenjski cikel certifikata: zagotavlja njegovo izdajo, začasno ustavitev (tudi na prošnjo lastnika), obnovitev, zaključek veljavnosti.
- Še ena funkcija CA je storitvena. Malo je preprosto izdati certifikat. Uporabnikom so redno potrebne različne konzultacije glede postopka izdaje in uporabe podpisa, konzultacije o uporabi in izbiri vrste certifikata. Veliki CA, kot je CA podjetja "Poslovna mreža", nudijo tehnično podporo, razvijajo različne programe, izboljšujejo poslovne procese, spremljajo spremembe na področju uporabe certifikatov itd. V medsebojnem konkuriranju CA delajo na kakovosti IT storitev in razvijajo to področje.
Kazachok je poslan!
Poglejmo točko 1 zgoraj navedenega algoritma za pridobitev ETP. Kaj pomeni "potrditev identitete" osebe, ki se je obrnila za certifikat? To pomeni, da se mora oseba, na katere ime se izda certifikat, osebno oglasiti bodisi v pisarni UZ bodisi na mestu izdaje, ki ima partnersko pogodbo z UZ, ter tam predložiti izvirnike svojih dokumentov. Zlasti – potni list državljana Ruske federacije. V nekaterih primerih, ko gre za podpise pravnih oseb in s.p., je postopek potrjevanja še bolj zapleten in zahteva predložitev dodatnih dokumentov.
prav tukaj, torej na samem začetku, ko do izdaje certifikata še ni prišlo do podpisov, se skriva najpomembnejša težava. Ključno besedo tukaj je: "potni list".
Uhajanje osebnih podatkov v državi je doseglo resnično industrijske razsežnosti. Obstajajo spletni viri, kjer lahko za majhen znesek ali celo brezplačno pridobite skeniran kopi aktivnih potnih listov državljanov Ruske federacije. In prav skeni potnih listov v naši državi, obremenjeni s post-sovjetskim kulturnim zapuščino v slogu "predložite dokumente", lahko zbiramo od državljanov povsod – ne le v bankah ali drugih finančnih institucijah, temveč tudi v hotelih, šolah, univerzah, letaliških in železniških blagajnah, otroških centrih, na mestih za storitve mobilnih operaterjev – povsod, kjer zahtevajo predložitev potnega lista za storitev, torej skoraj povsod. Z razvojem digitalnih tehnologij je ta širok kanal dostopa do osebnih podatkov prevzela kriminalna sfera.
Poleg tega so zelo razširjene "storitev" kraje osebnih podatkov konkretnih posameznikov.
Poleg tega obstaja cela vojska t.i. "nominatov" – ljudi, ki so praviloma zelo mladi, ali zelo revni in slabo izobraženi, ali pa preprosto na socialnem dnu, katerim zločinci obljubljajo skromno nagrado, da se z svojim potnim listom osebno pojavijo v UZ ali na mestu izdaje in tam naročijo podpis na svoje ime, na primer kot direktor podjetja. Ali je potrebno reči, da takšna oseba nato nima nobene zveze z delovanjem podjetja in ne more nuditi nobene prave pomoči organom pregona, ko se prevara razkrije.
Torej, skeniranje potnega lista – ni težava. Vendar pa za potrditev potrebujemo izvirnik potnega lista, kako to? Pa da bi se izognili temu problemu, na svetu obstajajo nevestne izdaje. Kljub strogemu postopku izbire, status izdaje občasno pridobijo kriminalne osebe in nato začnejo izvajati nezakonite dejavnosti z osebnimi podatki državljanov.
Ta dva dejavnika v kombinaciji prinašata vse tiste težave s kriminalizacijo uporabe EP, ki jih danes imamo.
Eden na področju ni vojvoda?
Vso to, brez pretiravanja, armado prevarantov trenutno filtrirajo samo overitveni centri. V vsakem oc vključujejo lastne varnostne službe. Vse, ki zaprosijo za podpis, natančno preverijo v fazi overitve identitete. Prav tako vse, ki želijo sodelovati v statusu izdaje za določen oc, preverijo tako pri sklenitvi partnerske pogodbe, kot tudi kasneje, v procesu poslovnega sodelovanja.
Drugače ne more biti, saj nevestna overitev ogroža zaprtje oc - zakonodaja na tem področju je stroga.
Toda objeti neobjavljivega ni mogoče, in del nevestnih izdaj kljub temu "odzvana" med partnerji oc. In "nominat" morda sploh nima razloga, da bi zavrnil izdajo certifikata – saj se obrača na oc povsem zakonito.
prav tako, v primeru, da se razkrije prevara s podpisom na ime določene osebe, lahko samo overitveni center reši problem. Ker overitveni center v tem primeru prekliče certifikat podpisa, izvede interno preiskavo, sledi celotni verigi izdaje certifikata in lahko sodišču zagotovi potrebne dokumente o prevarantskih dejanjih pri izdaji ključa elektronskega podpisa. Le materiali iz overitvenega centra lahko sodišču pomagajo rešiti zadevo v korist dejansko poškodovane strani: osebe, na ime katere je bilo s prevaro izdano podpis.
Vendar pa splošna digitalna nepismenost v tem primeru ne koristi poškodovanim. Ne vsak se bo potrudil do konca, da bi zaščitil svoje interese. Nezakonite aktivnosti z EP je nujno izpodbijati na sodišču. In overitveni centri so pri tem glavna pomoč.
Uničiti vse oc?
In our country, it has been decided to make changes to the operation of certification centers (CC) and their requirements. A group of deputies and senators developed the corresponding bill, which was even passed by the State Duma in the first reading on November 7, 2019.
The document provides for a massive reform of the electronic signature certificate system. In particular, it stipulates that legal entities and individual entrepreneurs (IE) will only be able to obtain a qualified electronic signature (QES) from the Federal Tax Service (FTS), while financial organizations will obtain it from the Central Bank. Accredited certification centers (CC) recognized by the Ministry of Digital Development, which currently issue electronic signatures, will only be able to issue them to individuals.
At the same time, the requirements for such CCs are planned to be significantly tightened. The minimum size of net assets for an accredited certification center will be increased from 7 million rubles to 1 billion rubles, and the minimum amount of financial security will rise from 30 million rubles to 200 million rubles. If a certification center has branches in at least two-thirds of Russian regions, the minimum size of net assets may be reduced to 500 million rubles.
The accreditation period for certification centers is reduced from five to three years. Administrative responsibility will be imposed for technical violations in the activities of certification centers.
All this is expected to reduce the amount of fraud with electronic signatures, according to the authors of the bill.
What are the results?
As can be easily seen, the new bill does not address the problem of the criminal use of documents of Russian citizens or the theft of personal data. It does not matter who will issue the signature, the certification center or the FTS; the identity of the signature owner will still need to be verified, and the bill does not provide any innovations on this issue. If a dishonest issuing point operated according to criminal schemes for a regular CC, what will prevent them from doing the same for a government one?
Trenutna verzija zakona sada ne propisuje tko i kakvu odgovornost snosi za izdavanje kvalificirane elektroničke potpisa, ako je taj potpis korišten u prevarama. Štoviše, čak ni u Kaznenom zakonu nema odgovarajuće odredbe koja bi omogućila kazneno gonjenje za izdavanje certifikata elektroničke potpisa na osnovi ukradenih osobnih podataka.
Poseban problem je preopterećenje državnih ovlaštenih certifikacijskih tijela, koje će nužno nastati s novim pravilima i učiniti pružanje usluga građanima i pravnim osobama vrlo sporim i složenim.
Servisna funkcija ovlaštenih certifikacijskih tijela uopće se ne razmatra u prijedlogu zakona. Hoće li se stvoriti odjeli za korisničku podršku pri predloženim velikim državnim ovlaštenim certifikacijskim tijelima, koliko će to trajati i kakva će materijalna ulaganja biti potrebna, tko će se brinuti o korisnicima dok se ta infrastruktura bude stvarala – nije jasno. Očito je da nestanak konkurencije u ovoj oblasti lako može dovesti do stagnacije u industriji.
Drugim riječima, na izlazu dobijamo monopolizaciju tržišta ovlaštenih certifikacijskih tijela državnim strukturama, preopterećenje tih struktura sa usporavanjem cijele aktivnosti vezane uz elektroničko poslovanje, nedostatak podrške krajnjim korisnicima u slučaju prijevara i potpuno uništenje trenutnog tržišta ovlaštenih certifikacijskih tijela zajedno s postojećom infrastrukturom (to je oko 15.000 radnih mjesta u cijeloj zemlji).
Tko će pate? Pateći kao rezultat prihvaćanja takvog zakona bit će isti oni koji pate i sada, tj. krajnji korisnici i ovlaštena certifikacijska tijela.
Poslovanje, ki cveti na kraji osebnih podatkov, bo še naprej cvetelo z vso močjo. Ali ni čas, da se organi pregona in zakonodajalci resno posvetijo temu vprašanju in se ustrezno odzovejo na izzive digitalne dobe? Priložnosti za krajo osebnih podatkov in njihovo nadaljnjo kriminalno uporabo so se v zadnjih 10-15 letih enormno povečale. Povečala se je tudi raven usposobljenosti kriminalcev. Na to je potrebno reagirati z uvedbo stroge odgovornosti za kakršnekoli nezakonite dejavnosti s tujimi osebnimi podatki, tako za podjetja in njihove zaposlene kot tudi za posameznike. Da bi resnično rešili problem kriminalne uporabe certifikatov elektronskih podpisov, je treba pripraviti zakonodajo, ki bi predvidela odgovornost, vključno s kazensko, za take akcije. Ne pa zakonodajo, ki samo prerazporeja finančne tokove, otežuje postopek za končnega uporabnika in na koncu nikomur ne nudi nobene zaščite.
Izvor: habr.com
