Rovdjurs eller offer? Vem skyddar certifikatutfärdare?

Vad händer?

Temat kring bedrägerier som begås med hjälp av elektroniska signaturer har fått stort offentligt genomslag på sistone. Federala medier har gjort det till en vana att periodiskt berätta skrämmande historier om fall av olaglig användning av elektroniska signaturer. Det vanligaste brottet inom detta område är registreringen av juridiska personer eller enskilda firmor under namnet på intet ont anande ryska medborgare. En annan vanlig metod för bedrägeri är transaktionen som involverar förändringar av äganderätt till fastigheter (det handlar om när någon säljer din lägenhet i ditt namn, och du vet inte om det).

Men låt oss inte fastna i att beskriva potentiella olagliga handlingar med elektroniska signaturer, för att inte ge brottslingar några kreativa idéer. Låt oss i stället försöka förstå varför detta problem har fått sådana dimensioner och vad som faktiskt behöver göras för att utrota det. För detta behöver vi tydligt förstå vad certifikatutfärdare är, hur de exakt fungerar och om de verkligen är så skrämmande som de skildras i medierna och uttalandena från intresserade parter.

Varifrån kommer signaturerna?

Så, du är en användare. Du behöver ett certifikat för elektronisk signatur. Oavsett vilket syfte du har och vilken status du har (företag, privatperson, enskild firma) är processen för att få certifikatet standardiserad. Du vänder dig till en certifikatutfärdare för att köpa ett EP-certifikat.

En certifikatutfärdare är ett företag som rysk lagstiftning ställer strikta krav på.

För att ha rätt att utfärda en kvalificerad elektronisk signatur måste certifikatutfärdaren genomgå en speciell ackrediteringsprocess hos Ministeriet för digital utveckling. Ackrediteringsprocessen innebär att man måste följa en rad stränga regler som inte varje företag kan uppfylla.

Specifikt måste certifikatutfärdaren ha en licens som ger dem rätt att bedriva verksamhet inom utveckling, produktion och distribution av kryptografiska medel, samt informations- och telekommunikationssystem. Denna licens utfärdas av FSB efter att kandidaten har genomgått en serie stränga kontroller.

Anställda vid certifieringsmyndigheter måste ha en högre utbildning inom informationsteknologi eller informationssäkerhet.

Lagen kräver också att certifieringsmyndigheter ska försäkra sitt ansvar för "skador som orsakas tredje part till följd av deras förtroende för informationen som anges i certifikatet för den elektroniska signaturen som utfärdats av en sådan certifieringsmyndighet, eller information som finns i det register över certifikat som upprätthålls av en sådan certifieringsmyndighet" med ett belopp som inte är mindre än 30 miljoner rubel.

Som ni ser är det inte så enkelt.

För närvarande finns det runt 500 certifieringsmyndigheter i landet som har rätt att utfärda kvalificerade elektroniska signaturer (UKEP). Detta inkluderar inte bara privata certifieringsmyndigheter, utan även certifieringsmyndigheter vid olika statliga organ (inklusive FNS, PRF och andra), banker och handelsplattformar, inklusive statliga.

Certifikatet för elektronisk signatur skapas med hjälp av kryptografiska algoritmer certifierade av FSB i Ryssland. Det möjliggör för juridiska och fysiska personer att utbyta juridiskt bindande dokument elektroniskt. Enligt officiella uppgifter från certifieringsmyndigheter utfärdas den största delen (95%) av KEP till juridiska enheter, medan resten går till fysiska enheter.

När du kontaktar en certifieringsmyndighet sker följande:

1. Certifieringsmyndigheten verifierar identiteten hos den person som ansöker om ett certifikat för elektronisk signatur;
   Endast efter att identiteten har bekräftats och alla dokument har kontrollerats utfärdar certifieringsmyndigheten ett certifikat som innehåller uppgifter om certifikatets ägare och dess offentliga verifieringsnyckel;
2. Certifieringsmyndigheten hanterar certifikatets livscykel: säkerställer dess utfärdande, tillfälliga avbrott (inklusive på begäran av ägaren), förnyelse och utgång.
3. En annan funktion för certifieringsmyndigheten är servicefunktioner. Det räcker inte bara att utfärda ett certifikat. Användare behöver regelbundet olika konsultationer kring utfärdande och användning av signaturen, samt konsultationer om tillämpningen och valet av certifikatstyp. Stora certifieringsmyndigheter, som certifieringsmyndigheten för företaget "Affärsnätverk", erbjuder teknisk support, utvecklar olika programvara, förbättrar affärsprocesser, övervakar förändringar inom certifikatens tillämpningsområden och så vidare. Genom att konkurrera med varandra arbetar certifieringsmyndigheter på att förbättra kvaliteten på IT-tjänster och utvecklar detta område.

Kozak, han är en spion!

Låt oss titta på punkt 1 i algoritmen för att erhålla ett elektroniskt certifikat. Vad innebär det att "identifiera identiteten" hos en person som ansöker om certifikatet? Det betyder att personen som certifikatet utfärdas till måste personligen besöka antingen myndighetskontoret eller en utlämningspunkt som har ett partnerskapsavtal med myndigheten och visa upp sina originaldokument. I synnerhet – sitt ryska medborgarskapslegitimation. I vissa fall, när det handlar om signaturer för juridiska personer och individuella företag, är identifieringsprocessen ännu mer komplicerad och kräver att ytterligare dokument visas upp.

Just i detta skede, det vill säga i början, innan certifikatet utfärdas och när signaturerna ännu inte har tagits om hand, ligger det största problemet. Och nyckelordet här är: "pass".

Läckage av personuppgifter i landet har fått riktiga industriella proportioner. Det finns internetresurser där du kan få skannade kopior av giltiga ryska medborgarskapslegitimationer för små pengar eller till och med gratis. Scanningar av pass i vårt land, som tyngs av det post-sovjetiska arvet av "visa upp dokumenten", kan samlas in från medborgarna överallt – inte bara på banker eller andra finansiella institutioner, utan även på hotell, skolor, universitet, flyg- och tågstationer, barncentrer, och på ställen som hanterar mobiltelefonabonnenter – överallt där du måste visa upp passet för att få service, det vill säga praktiskt taget överallt. Med utvecklingen av digital teknik har denna enorma kanal för tillgång till personuppgifter blivit utnyttjad av personer inom den kriminella sfären.

Det är också mycket vanligt med "tjänster" för stöld av personuppgifter från specifika individer.

Dessutom finns det en hel armé av så kallade "nominaler" – personer som vanligtvis är mycket unga, eller mycket fattiga och obildade, eller helt enkelt nedgångna, som brottslingar lovar ett blygsamt arvode för att de ska dyka upp med sina pass hos myndigheten eller vid utlämningspunkten och ange en signatur i sitt namn som till exempel företagets direktör. Behöver jag säga att en sådan person sedan inte har något att göra med företagets verksamhet och inte kan ge något verkligt stöd till utredningen när bedrägeriet avslöjas.

Så, passscan är inget problem. Men för att verifiera behövs en äkta pass, hur kan det vara så, frågar en uppmärksam läsare? För att kringgå detta problem finns det oärliga utställningsställen i världen. Trots den strikta urvalsproceduren får periodvis kriminella individer status som utställningsställen och börjar sedan begå brottsliga handlingar med medborgarnas personuppgifter.

Kombinationen av dessa två faktorer ger oss alla de problem med kriminalisering av användningen av E-signaturer som vi har just nu.

Är en ensam varg inte en krigare?

Hela denna, utan överdrift, armé av bedragare filtreras just nu endast av certifieringscentren. I varje certifieringscentrum finns det egna säkerhetsavdelningar. Alla som vänder sig för att få en signatur kontrolleras noggrant vid identitetsverifieringen. Alla som vill samarbeta i status som utställningsställe för ett specifikt certifieringscenter kontrolleras också noggrant både vid ingående av partnerskapsavtal och därefter, under den affärsmässiga interaktionen.

Det kan inte vara på något annat sätt, för oärlig verifiering hotar att stänga certifieringscentren - lagstiftningen inom detta område är strikt.

Men det är omöjligt att kontrollera allt, och en del oärliga utställningsställen "smyger sig" ändå in som partners till certifieringscentren. Och "nominellt" kan det helt enkelt finnas ingen anledning att vägra utfärdande av certifikat - eftersom det vänder sig till certifieringscentret helt lagligt.

Om en bedrägeri med en signatur i namnet på en specifik person avslöjas, är det endast certifieringscentret som kan hjälpa till att lösa problemet. Eftersom certifieringscentret i det här fallet återkallar signaturcertifikatet, genomför en intern utredning och spårar hela kedjan av certifikatutfärdandet och kan tillhandahålla nödvändig dokumentation om bedrägliga handlingar vid utfärdandet av den elektroniska signaturnyckeln till domstolen. Endast material från certifieringscentret kan hjälpa i domstolen för att lösa ärendet till förmån för den verkligt drabbade sidan: personen vars namn har utnyttjats för att utfärda signaturen.

Men den allmänna digitala analfabetismen arbetar här inte till fördel för de drabbade. Inte alla går hela vägen för att skydda sina intressen. Och bedrövliga handlingar med E-signaturer måste absolut bestridas i domstol. Och certifieringscentren är i detta - det främsta stödet.

Att döda alla certifieringscenter?

Och nu har det beslutats i vårt land att göra förändringar i hur certifieringscenter (UЦ) arbetar och kraven på dem. En grupp av ledamöter och senatorer har utarbetat den motsvarande lagstiftningen, som redan antogs av statsduman i första läsningen den 7 november 2019.

Dokumentet föreskriver en storskalig reform av systemet för certifikat av elektroniska signaturer. Det förutsätter bland annat att juridiska personer och enskilda företagare (IP) endast kan erhålla en förstärkt kvalificerad elektronisk signatur (UКЭП) från FNS, medan finansiella institutioner kan få dem från CБ. De ackrediterade certifieringscentren (UЦ) som nu utfärdar elektroniska signaturer får endast utfärda dem till fysiska personer.

Samtidigt planeras kraven för sådana certifieringscenter att skärpas avsevärt. Den minimi storlek på nettotillgångarna för ett ackrediterat certifieringscenter måste höjas från 7 miljoner rubel till 1 miljard rubel, och den minimi storlek på finansiell säkerhet från 30 miljoner rubel till 200 miljoner rubel. Om ett certifieringscenter har filialer i minst två tredjedelar av de ryska regionerna kan den minimi storlek på nettotillgångarna minskas till 500 miljoner rubel.

Ackrediteringstiden för certifieringscentren minskas från fem till tre år. För tekniska överträdelse i certifieringscentren infördes administrativt ansvar.

Allt detta bör minska antalet bedrägerier med elektroniska signaturer, anser författarna till lagförslaget.

Vad blir resultatet?

Som man lätt kan se, betraktar den nya lagstiftningen på något sätt inte problemet med kriminellt utnyttjande av ryska medborgares dokument och stöld av personuppgifter. Oavsett vem som utfärdar certifikatet – UЦ eller FNS – måste identiteten på certifikatets ägare fortfarande verifieras, och några nyheter i denna fråga föreslår inte lagförslaget. Om en oärlig utfärdande punkt arbetade med kriminella scheman för ett vanligt UЦ, vad skulle då förhindra dem från att göra detsamma för en statlig?

I den nuvarande versionen av lagförslaget anges inte vem som ska hållas ansvarig för utfärdandet av elektroniska underskrifter (UKEP) om denna signatur har använts i bedrägliga åtgärder. Dessutom finns det inte ens en lämplig artikel i brottsbalken som skulle kunna ådra sig straffrättsligt ansvar för utfärdandet av certifikat av elektronisk signatur baserat på stulna personuppgifter.

Ett separat problem är överbelastningen av statliga certifikatutfärdare (UЦ), vilket obevekligen kommer att uppstå med de nya reglerna och göra tillhandahållandet av tjänster till medborgare och juridiska personer mycket långsamt och komplicerat.

Den servicefunktion som UЦ erbjuder beaktas överhuvudtaget inte i lagförslaget. Kommer det att skapas avdelningar för kundtjänst vid de föreslagna stora statliga UЦ, hur länge kommer detta att ta och vilka materiella investeringar krävs, vem kommer att hantera kundtjänsten medan denna infrastruktur skapas – det är oklart. Det är tydligt att försvinnandet av konkurrens inom detta område lätt kan leda till stagnation i branschen.

Det betyder att vi får en monopolisering av UЦ-marknaden av statliga strukturer, överbelastning av dessa strukturer som saktar ner hela verksamheten för elektronisk dokumenthantering (ЕDО), brist på stöd för slutanvändaren i händelse av bedrägeri och en fullständig utradering av den nuvarande marknaden för UЦ tillsammans med den befintliga infrastrukturen (det handlar om cirka 15 000 arbetstillfällen totalt i landet).

Vem kommer att drabbas? De som kommer att drabbas av antagandet av ett sådant lagförslag är samma personer som lider nu, det vill säga slutanvändare och certifikatutfärdare.

Ett företag som blomstrar på stöld av personuppgifter kommer fortsätta att blomstra. Är det inte dags för myndigheterna och lagstiftarna att uppmärksamma detta problem och på allvar svara på utmaningarna i den digitala tidsåldern? Möjligheterna för stöld av personuppgifter och deras efterföljande kriminella användning har ökat mångafalt under de senaste 10-15 åren. Även brottarnas skicklighet har ökat. Det är nödvändigt att reagera genom att införa stränga ansvarsregler för alla olagliga handlingar rörande andra personers uppgifter, både för företag och deras anställda samt för privatpersoner. För att verkligen lösa problemet med kriminell användning av elektroniska signaturcertifikat är det nödvändigt att skapa en lagstiftning som skulle föreskriva ansvar, inklusive straffrättsligt ansvar, för sådana handlingar. Och inte en lagstiftning som bara omfördelar finansiella strömmar, komplicerar processen för slutanvändaren och inte ger någon skydd enligt slutresultatet.

Källa: habr.com