Предатор или плен? Ко ће штитити сертификационе центре

Шта се дешава?

Тема лажних радњи извршених коришћењем сертификата за електронски потпис је недавно добила широку пажњу јавности. Федерални медији су поставили за правило да периодично причају хорор приче о случајевима злоупотребе електронског потписа. Најчешћи злочин у овој области је регистрација правног лица. лица или индивидуални предузетници у име несумњивог држављанина Руске Федерације. Још један популаран метод преваре је трансакција која укључује промену власништва над некретнином (ово је када неко прода ваш стан у ваше име неком другом, а ви чак ни не знате).

Али немојмо се заносити описивањем могућих незаконитих радњи дигиталним потписима, како не бисмо давали креативне идеје преварантима. Хајде да покушамо да схватимо зашто је овај проблем постао толико раширен и шта заиста треба учинити да се он искорени. А за то морамо јасно разумети шта су сертификациони центри, како тачно раде и да ли су страшни колико нам их приказују у медијима и изјавама заинтересованих.

Одакле потичу потписи?

Дакле, ви сте корисник. Потребан вам је сертификат за електронски потпис. Није битно за које задатке и у ком сте статусу (компанија, појединац, индивидуални предузетник) - алгоритам за добијање сертификата је стандардни. И контактирате центар за сертификацију да бисте купили сертификат за електронски потпис.

Сертификациони центар је компанија којој руско законодавство намеће низ строгих захтева.

Да би имао право на издавање побољшаног квалификованог електронског потписа, центар за сертификацију мора да прође посебну процедуру акредитације код Министарства телекомуникација и масовних комуникација. Процедура акредитације захтева поштовање низа строгих правила којих није у стању да испоштује свака компанија.

Конкретно, ЦА мора имати лиценцу која му даје право да развија, производи и дистрибуира алате за шифровање (криптографске), информационе и телекомуникационе системе. Ову дозволу издаје ФСБ након што подносилац захтева прође низ строгих провера.

Запослени у ЦА морају имати високо стручно образовање из области информационих технологија или информационе безбедности.

Закон такође обавезује ЦА да осигурају своју одговорност за „губитке проузроковане трећим лицима као резултат њиховог поверења у информације наведене у сертификату кључа за верификацију електронског потписа који је издао такав ЦА, или информације садржане у регистру сертификата који води такав ЦА ” у износу не мањем од 30 милиона рубаља.

Као што видите, није све тако једноставно.

Укупно, тренутно у земљи постоји око 500 ЦА који имају право да издају ЕЦЕС (побољшани сертификат квалификованог електронског потписа). Ово укључује не само приватне центре за сертификацију, већ и ЦА у оквиру различитих владиних агенција (укључујући Федералну пореску службу, Руску Федерацију, итд.), Банке, платформе за трговање, укључујући и државне.

Сертификат електронског потписа креиран је коришћењем алгоритама за шифровање које је сертификован од стране ФСБ Руске Федерације. Омогућава правним и физичким лицима да размјењују правно значајна документа електронским путем. Према званичним подацима ЦА, већину (95%) ЕПЦ издају правна лица. лица, остало – појединци. лица.

Након што контактирате ЦА, дешава се следеће:

1. ЦА проверава идентитет особе која је поднела захтев за сертификат за електронски потпис;
   Тек након потврде идентитета и верификације свих докумената, ЦА производи и издаје сертификат, који укључује информације о власнику сертификата и његовом јавном верификационом кључу;
2. ЦА управља животним циклусом сертификата: обезбеђује његово издавање, суспензију (укључујући и на захтев власника), обнављање и истицање.
3. Друга функција ЦА је сервис. Није довољно само издати сертификат. Корисници редовно траже све врсте савета о поступку издавања и коришћења потписа, савете о пријави и избору врсте сертификата. Велики ЦА, као што су ЦА компаније Бусинесс Нетворк, пружају услуге техничке подршке, креирају различите софтвере, унапређују пословне процесе, прате промене у областима примене сертификата итд. Конкуришући једни са другима, ЦА раде на квалитету ИТ услуге, развој ове области.

Козак нешто погрешно руковао!

Хајде да размотримо 1. корак горе наведеног алгоритма за добијање електронских потписа. Шта значи „оверити идентитет“ особе која је поднела захтев за сертификат? То значи да особа на чије име се издаје сертификат мора лично да се појави или у канцеларији ЦА или на месту издавања које има уговор о партнерству са ЦА и тамо предочи оригинале својих докумената. Конкретно, пасош држављанина Руске Федерације. У неким случајевима, када су у питању потписи за правна лица. физичких лица и предузетника, поступак идентификације је још компликованији и захтева подношење додатних докумената.

Управо у овој фази, односно на самом почетку, када ствари нису стигле ни до издавања сертификата за потписивање, лежи најважнији проблем. А кључна реч овде је „пасош“.

Цурење личних података у земљи достигло је заиста индустријске размере. Постоје онлајн ресурси на којима можете добити скениране копије важећих пасоша руских држављана за мало новца или чак бесплатно. Али скенови пасоша у нашој земљи, оптерећени постсовјетским наслеђем стила „покажи документе“, могу се прикупљати од грађана свуда – не само у банкама или другим финансијским институцијама, већ иу хотелима, школама, универзитетима, ваздухопловству и билетарнице, дечији центри, сервиси за мобилне претплатнике - где год од вас захтевају да покажете пасош за услугу, односно скоро свуда. Са развојем дигиталних технологија, овај широки канал приступа личним подацима узели су у промет криминалистички радници.

„Услуге“ за крађу личних података одређених људи су такође веома честе.

Осим тога, постоји читава армија тзв. „номиналности“ – људи, обично веома млади, или веома сиромашни и слабо образовани, или једноставно дегенерисани, којима нападачи обећавају скромну награду да дођу у ЦА или место издавања са својим пасошем и тамо наложе потпис у свом име као, на пример, директор компаније. Непотребно је рећи да таква особа тада нема никакве везе са активностима компаније и не може пружити никакву стварну помоћ истрази када се превара открије.

Дакле, скенирање пасоша није проблем. Али за идентификацију вам је потребан оригинални пасош, како је то могуће, питаће пажљиви читалац? А да бисте заобишли овај проблем, у свету постоје бескрупулозне тачке испоруке. Упркос строгој процедури селекције, криминални ликови периодично добијају статус тачке питања, а затим почињу да врше незаконите радње са личним подацима грађана.

Ова два фактора у комбинацији дају нам читав талас проблема са криминализацијом употребе електронских уређаја који сада имамо.

Постоји ли сигурност у бројевима?

Целу ову, без претеривања, армију превараната сада филтрирају само центри за сертификацију. Сваки ЦА има своје безбедносне службе. Свако ко се пријави за потпис пажљиво се проверава у фази идентификације. Свако ко жели да сарађује у статусу тачке издавања за одређени ЦА се такође пажљиво проверава како у фази закључивања уговора о партнерству тако и накнадно, у процесу пословне интеракције.

Другачије и не може, јер непоштена сертификација прети ЦА затварањем – законодавство у овој области је строго.

Али немогуће је прихватити неизмерност, а неке од бескрупулозних тачака издавања и даље „цуре“ у партнере ЦА. А „номинован“ можда уопште нема разлога да одбије издавање сертификата - на крају крајева, он се пријављује на ЦА потпуно легално.

Такође, ако се открије превара која укључује потпис на име одређене особе, само центар за сертификацију ће помоћи у решавању проблема. Пошто сертификациони центар у овом случају поништава сертификат потписа, спроводи интерну истрагу, прати цео ланац издавања сертификата и може да достави суду потребну документацију о лажним радњама приликом издавања кључа за електронски потпис. Само материјали из центра за сертификацију помоћи ће на суду да се случај реши у корист стварно оштећене стране: особе на чије је име лажно издат потпис.

Међутим, ни овде општа дигитална неписменост не иде у прилог жртвама. Не иду сви до краја да заштите своје интересе. Али незаконите радње са дигиталним потписом морају се оспорити на суду. А сертификациони центри су главна помоћ у томе.

Убити све ЦА?

И тако је у нашој држави одлучено да се унесу измене у процедуру рада ЦА и услове за њих. Група посланика и сенатора израдила је одговарајући закон, који је Државна дума већ усвојила у првом читању 7. новембра 2019.

Документ предвиђа опсежну реформу система сертификата електронског потписа. Конкретно, претпоставља се да ће правна лица и индивидуални предузетници (ИП) моћи да добију побољшани квалификовани електронски потпис (ЕЦЕС) само од Федералне пореске службе, а финансијске организације од Централне банке. Центри за сертификацију (ЦА) акредитовани од Министарства телекомуникација и масовних комуникација, који сада издају електронске потписе, моћи ће да их издају само физичким лицима.

Истовремено, планирано је да се захтеви за такве ЦА знатно пооштре. Минимални износ нето имовине акредитованог центра за сертификацију треба повећати са 7 милиона рубаља. до 1 милијарде рубаља, а минимални износ финансијске подршке - од 30 милиона рубаља. до 200 милиона рубаља. Ако центар за сертификацију има филијале у најмање две трећине руских региона, онда се минимални износ нето имовине може смањити на 500 милиона рубаља.

Период акредитације сертификационих центара се скраћује са пет на три године. Уводи се административна одговорност за прекршаје у раду сертификационих центара техничке природе.

Све ово требало би да смањи обим превара са електронским потписима, сматрају аутори предлога закона.

Какав је резултат?

Као што можете лако видети, нови закон ни на који начин не решава проблем криминалне употребе докумената грађана Руске Федерације и крађе личних података. Није битно ко ће издати потпис ЦА или Федералне пореске службе, идентитет власника потписа ће и даље морати да буде оверен, а рачун не предвиђа никакве новине по овом питању. Ако је бескрупулозно место за издавање радило по криминалним шемама за обичан ЦА, шта ће вас онда спречити да урадите исто за државни?

Садашња верзија закона тренутно не предвиђа ко ће сносити какву одговорност за издавање УКЕП-а ако је овај потпис коришћен у лажним радњама. Штавише, чак ни у Кривичном законику не постоји одговарајући члан који би омогућио кривично гоњење за издавање сертификата за електронски потпис на основу украдених личних података.

Посебан проблем представља преоптерећеност државних ЦА, што ће свакако настати по новим правилима и успорити и отежати пружање услуга грађанима и правним лицима.

Услужна функција ЦА се уопште не разматра у рачуну. Није јасно да ли ће у предложеним великим државним ЦА бити формирана одељења за корисничку подршку, колико ће то трајати и која ће материјална улагања бити потребна, и ко ће пружати услуге корисницима док се таква инфраструктура ствара. Очигледно је да нестанак конкуренције у овој области лако може довести до стагнације индустрије.

Односно, резултат је монополизација тржишта ЦА од стране владиних агенција, преоптерећеност ових структура успоравањем свих ЕДИ активности, недостатак подршке крајњем кориснику у случају преваре и потпуно уништење тренутног тржишта ЦА заједно са постојећом инфраструктуром. (ово је око 15 радних места у целој земљи).

Ко ће бити повређен? Услед усвајања оваквог предлога закона страдаће они који сада трпе, односно крајњи корисници и сертификациони органи.

А посао који напредује на крађи идентитета наставиће да цвета. Није ли време да агенције за спровођење закона и законодавци скрену пажњу на овај проблем и заиста озбиљно одговоре на изазове дигиталног доба? Могућности за крађу личних података и њихову каснију криминалну употребу су се вишеструко повећале у последњих 10-15 година. Порастао је и ниво обучености криминалаца. На ово треба одговорити увођењем строгих мера одговорности за било које незаконите радње са личним подацима других људи, како за компаније и њихове запослене, тако и за појединце. А да би се заиста решио проблем криминалне употребе сертификата електронског потписа, потребно је направити предлог закона који би предвидео одговорност, укључујући и кривичну, за такве радње. А не предлог закона који једноставно прераспоређује финансијске токове, отежава процедуру крајњем кориснику и никоме на крају не даје никакву заштиту.

Извор: ввв.хабр.цом