Что такое электронная подпись?
Электронная цифровая подпись позволяет подтвердить авторство электронного документа, будь то реальное лицо или аккаунт в криптовалютной системе. Сегодня в мире применяется технология, основанная на шифровании с открытым ключом, который выдается автору.
Разрабатывать этот механизм начали в 1976 году, а первый российский стандарт электронной цифровой подписи был введен Главным управлением безопасности связи ФАПСИ. В 2002 году его заменили на более надежный стандарт. А в 2022 году ввели новый образец, который действует и сейчас.
Электронная подпись выглядит как USB-флешка. Предполагается, что вы всегда носите ее с собой или храните в недоступном для посторонних месте как печать. Выдают ЭЦП удостоверяющие центры, аккредитованные государством и имеющие лицензию ФСБ России.
Чтобы получить подпись, гражданин может обратиться в центр дистанционно или лично, заполнить анкету и подписать согласие на обработку персональных данных. Специалисты проверяют личность обратившегося к ним гражданина и его полномочия, если подпись выдается на юридическое лицо.
Различают три вида подписей. Простая чаще всего используется физическими лицами. Ее можно поставить на документ путем введения специального кода, который предоставляется удостоверяющим центром. Усиленную неквалифицированную подпись можно получить в результате криптографического преобразования информации.
Внутри флешки хранится сертификат ключа проверки электронной подписи — набор символов, который является вашим идентификатором.
Согласно Гражданскому кодексу РФ, квалифицированная электронная подпись предназначена для определения лица, подписавшего электронный документ, и является аналогом собственноручной подписи. Ключ действует в течение года, а при его оформлении важно личное присутствие заявителя. Далее требуется продление через удостоверяющий центр, при этом необязательно личное присутствие.
Взлом криптоалгоритмов: мифы и реалии
В последнее время мы часто слышим о реальном применении криптографии в компьютерных системах и не только
В последнее время мы часто слышим о реальном применении криптографии в компьютерных системах и не только (даже стандарт сотовой связи GSM предусматривает защиту разговора абонентов при помощи методов симметричной криптографии). Криптография здорово продвинулась за последнее столетие. Придумано много алгоритмов: RSA, DES, алгоритмы на основе схемы Эль Гамаля, эллиптических кривых… Но!
Если есть замок, но нет ключа, дверь можно взломать. Шифр также можно попробовать взломать. Кроме перебора всех возможных вариантов существуют другие способы. Взлом есть взлом. Вернее, взлом всегда «есть» (присутствует). От него не уйти. Да и уходить не надо — зачастую он является отправной точкой прогресса в науке и технике. Взлом полезно анализировать хотя бы для того, чтобы понять, насколько сильна защита. Кроме того, знание истории атак и дыр, а также понимание причин, по которым они имели место, является одним из необходимых условий разработки защищенных систем.
Последнее десятилетие характеризуется резким увеличением числа открытых работ по всем вопросам криптологии, а криптоанализ становится одной из наиболее активно развивающихся областей исследований. Многие криптосистемы, стойкость которых не вызывала особых сомнений, оказались успешно раскрытыми. При этом разработан большой арсенал математических методов, представляющих прямой интерес для криптоаналитика.
Взлом криптографических алгоритмов: анализ
В принципе, любой алгоритм, основанный на ключе, может быть вскрыт «в лоб» — перебором всех ключей. Понятно, что требуемая вычислительная мощность в этом случае возрастает экспоненциально при увеличении длины ключа. Можно ли решить задачу такого рода на домашнем ПК? Утверждается, что если длина ключа — 32 бита, то можно (потребуется около 109 шагов), а если немного больше — потребуются распределенные вычисления.
На сегодняшний день работники крупной компании с большими вычислительными мощностями и/или пользователи глобальной сети совместными усилиями могут методом перебора вскрыть ключ максимальной длиной 64–80 бит. По оценкам, взлом шифра со 128-битным ключом займет не менее 1020 лет. Впрочем, оценки такого рода весьма поверхностны. Так, вскрытие 64-битного ключа (симметричного алгоритма RC5-64) потребовало сравнительно меньших временных затрат, чем предполагалось. Распределенное на несколько сотен тысяч машин сложное математическое задание позволило «взломать» ключ за пять лет против предполагавшихся ста лет.
А как обстоят с этим дела у нас? Вспомним удачный отечественный ГОСТ 28147-89 — это симметричная блочная криптосистема, немного напоминающая известный алгоритм DES (только по сходной структуре итераций, шаг шифрования у него совсем другой). Ключ у него «всего» 256 бит. Учтите, что это 256 случайных бит. Так что для прямой атаки на ключ придется перебрать все 2256 ключей (это куда «круче», чем в случае RSA-1024), что физически не реализуемо: при минимальном энергопотреблении взламывающего вычислителя (оно определяется исходя из квантовой теории) оказывается, что для обеспечения энергией такого вычислителя необходимо рвануть сверхновую.
Однако длина ключа — это еще не полная гарантия защиты. Некоторые шифры можно вскрыть и не перебирая всех возможных комбинаций, а применяя специальный алгоритм (например, с полиномиальной сложностью). Для некоторых «опасных» алгоритмов нет гарантированной оценки нижней грани числа операций, необходимых для вскрытия, и поэтому существует вероятность, что будет придуман некий алгоритм, который позволит достаточно быстро дешифровать сообщения.
Здесь уместно отметить один неудачный отечественный опыт, в результате которого был придуман более простой алгоритм вскрытия шифра, чем ожидалось. В 1994 году был принят первый отечественный стандарт в области электронной цифровой подписи (ЭЦП) — ГОСТ Р34.10-94 «Информационная технология. Криптографическая защита информации. Процедуры выработки и проверки электронной цифровой подписи на базе асимметричного криптографического алгоритма». Он определяет процедуры работы с ЭЦП на основе схемы Эль Гамаля. Невозможность подделки подписи основана на сложности решения задачи дискретного логарифмирования в поле из р элементов. Однако математика не стоит на месте, и недавно был изобретен так называемый метод решета числового поля. С его помощью можно «взломать» ЭЦП, сформированную по схеме Эль Гамаля, по крайней мере в случае 512-битного модуля р.
Думаю, теперь вы понимаете, почему некоторые разработчики предпочитают использовать, казалось бы, уходящие в прошлое методы симметричного шифрования. Они боятся, что сделают ставку на некоторый надежный, по их мнению, асимметричный алгоритм, а математики через некоторое время придумают новый метод и вскроют его (алгоритм). С этой точки зрения симметричные алгоритмы, вероятно, более прогнозируемы (но отнюдь не более надежны). Надо ли говорить, что классические методы шифрования и изучены гораздо больше, а их надежность обоснована неизмеримо лучше, чем надежность методов «современной криптографии».
Раз уж я упомянул отечественные стандарты в области ЭЦП, отмечу еще, что, кроме печально известного ГОСТ Р34.10-94, существует (и юридически действует) ГОСТ Р34.11-01, в котором использован математический аппарат эллиптических кривых (усовершенствование схемы Эль Гамаля). Длина его ключа — 512 бит, но считается, что он значительно превосходит по стойкости RSA-1024, так как задача его перебора гораздо сложнее.
Важно заметить, что степень надежности криптографической системы определяется ее слабейшим звеном. Нельзя упускать из вида ни одного аспекта разработки системы — от выбора алгоритма до политики использования и распространения ключей.
Средства и способы взлома шифров
Наверное, никого не нужно убеждать в том, что взлом криптографических алгоритмов дело нетривиальное. Поэтому атаки могут быть результативны только в случае использования каких-то специальных средств или способов.
Суперкомпьютеры
Из таблицы видно, что даже самые мощные суперкомпьютеры затратят на взлом 70-битного ключа больше десяти лет (при условии идеальности алгоритма и его реализации в смысле наличия «дыр»). И что же получается, 70-битный ключ на 100% защитит всех от взлома? Нет, конечно. Во-первых, производительность суперкомпьютеров неуклонно растет (тут еще можно строить какие-то прогнозы и предусмотреть защиту), а во-вторых, существуют другие способы и средства атак на криптосистемы (здесь с прогнозами сложнее).
Распределенные вычисления
В последнее время, в связи с развитием сетей (в частности, Интернета), стало возможно эффективно использовать метод «грубой силы» (перебора) путем распараллеливания операций. Реализуется такой подход, как правило, следующим образом. Где-то в Интернете устанавливается сервер, с которого любой желающий может загрузить программу, выполняющую расшифрование тестового сообщения путем перебора ключей. Программа обычно поставляется как в виде исходных текстов, так и скомпилированной для наиболее распространенных операционных систем. После запуска программа устанавливает соединение с сервером, получает от него набор ключей для перебора и после окончания работы возвращает результат.
Программа может работать в фоновом режиме, в качестве скринсейвера или активироваться по ночам. Она может заниматься не только «вскрытием» шифров, но и, например, подбором двух текстов, имеющих одинаковое значение хэш-функции, вычисленной указанным алгоритмом.
Метод «распределенного взлома» зачастую используют некоммерческие организации для выяснения криптостойкости алгоритмов (см., например, www. distributed.net). Описанный способ, опирающийся исключительно на энтузиазм участников, уже дал потрясающие результаты. Давайте, к примеру, рассмотрим алгоритм RSA.
В настоящее время RSA активно реализуется как в виде самостоятельных криптографических продуктов, так и в качестве встроенных средств в популярных приложениях. Нам же он будет интересен с точки зрения возможности его вскрытия. Некто Шроппель (Rich Schroeppel) исследовал трудоемкость разложения на множители произведения простых чисел различной длины (на этом, собственно, и основан алгоритм RSA). И вот что получилось (см. табл. 2).
Если верить Шроппелю, ключ длиной 800 бит (при симметричной реализации надо полагать) практически не раскрываем на существующих вычислительных мощностях. И в ближайшем будущем вскрытие такого ключа не прогнозируется.
Что касается традиционного асимметричного алгоритма RSA, то в последние десять лет то и дело появляются слухи о его «вскрытии». Вспомним, что в 2001 году филиппинская газета «Manila Bulletin» сообщила: «Взломан алгоритм шифрования RSA. Филиппинский математик-энтузиаст Лео де Велез разработал новый метод декодирования алгоритма шифрования RSA, основанный всего лишь на трех простых формулах».
Лично мне представляется, что взлом RSA — это решение сложной математической проблемы и нахождение (альтернативного) потайного входа стало бы великим математическим открытием, которое заставило бы полпланеты переделывать свои криптосистемы защиты данных, настраивая их на другие алгоритмы/ключи и т. д.
Также появляются сведения о раскрытии шифра для определенной длины ключа. Например, в конце 1995 года удалось практически реализовать раскрытие шифра RSA для 500-значного ключа. Для этого с помощью Интеpнета было задействовано 1600 компьютеров. Здесь также имеет смысл говорить о длительности вычислений — ведь за три-пять лет (практическое время взлома) зачастую информация устаревает. Сами авторы RSA рекомендуют использовать следующие размеры модуля n:
— 768 бит — для частных лиц;
— 1024 бит — для коммерческой информации;
— 2048 бит — для особо секретной информации.
Хочу обратить внимание читателя на запись в табл. 2: «Требует существенных изменений в технологии». О ней-то мы сейчас и поговорим.
Квантовый компьютер IBM
В августе 2000 года корпорация IBM объявила о разработке первого в мире квантового компьютера. Экспериментальная модель, построенная на пяти атомах, продемонстрировала потенциал систем такого рода, решая определенные задачи со скоростью, значительно превышающей быстродействие обычных компьютеров. Что получится, если количество работающих атомов увеличить до тысячи? А до миллиона? Как признался руководитель группы ученых из IBM, Стэнфордского университета и Университета Калгари Исаак Чуанг (Isaac Chuang), квантовый компьютер можно использовать, в частности, и для взлома криптографических шифров.
Команда Чуанга применяет экспериментальный квантовый компьютер для решения традиционных математических задач, встречающихся в криптографии: поиска периода функции. Квантовый компьютер способен решить любую задачу этого типа за один шаг, в то время как обычному потребовалось бы множество циклов. В отличие от обычного компьютера, который при решении криптографических задач выполняет последовательные сложения нескольких чисел, квантовая машина, используя спин электрона или частиц атомного ядра, может складывать числа одновременно. При определенных типах вычислений, таких как криптографические алгоритмы, квантовый компьютер, состоящий из нескольких сотен атомов, сможет выполнять миллиарды операций единовременно.
Даже боязно как-то становится за криптографию, не правда ли? Пока не ясно, когда можно будет построить полноценный квантовый компьютер. Ну что же, Голубой гигант подарил этому миру немало прорывов в области информационных технологий. Подождем, что у них выйдет на сей раз.
Криптоанализ
Криптоанализом называется область деятельности, направленная на раскрытие чужих зашифрованных сообщений при неизвестном ключе шифрования и/или алгоритме. Трудно определить криптоанализ только как науку. Ему присущи и элементы искусства, и везения, и даже шаманства.
Современная криптография исходит из принципа, что стойкость криптографического преобразования должна обеспечиваться только сохранением в тайне ключа. При проектировании криптографической системы изначально предполагается, что алгоритм является открытым (или как минимум известен вероятному противнику), а ключ, наоборот, надежно защищен. Стойкость алгоритма шифрования обычно оценивают в количестве типовых операций, требующихся для расшифрования зашифрованного сообщения и/или подбора ключа шифрования наилучшим алгоритмом.
Криптоанализ традиционно используется для решения следующих задач:
— восстановление исходной информации по ее криптограмме;
— вычисление закрытого ключа по известному открытому;
— формирование электронной цифровой подписи сообщения без знания закрытого ключа;
— создание фальшивого электронного документа, соответствующего известной подписи.
Помимо классического криптоанализа для атак на криптосистемы могут использоваться недостатки в реализации криптоалгоритмов. Вспомним, для иллюстрации, найденные дыры в парольной системе защиты известного архиватора Pkzip/WinZip.
Какие возможны вообще атаки на системы криптографической защиты данных?
Атака с возможностью экспериментов
В этой ситуации атакующий имеет возможность получить шифрованный документ для любого нужного ему текста, но не знает ключа. Задачей, естественно, является нахождение последнего. Некоторые методы шифрования (в частности, RSA) весьма уязвимы для атак этого типа. При использовании подобных алгоритмов надо тщательно следить, чтобы атакующий не мог зашифровать таковым свой собственный текст. А как это сделаешь, если шифр стандартен на государственном или международном уровне и на него чуть ли не спецификация существует, к тому же общедоступная?
Тут всплывает неявное противоречие. С одной стороны, в любой книжке про криптографию вы прочтете, что целесообразно использовать известные «именные» шифры, стойкость которых проверена специальными организациями и т. д. и т. п. И с этим не поспоришь, нормальный здравомыслящий человек не станет использовать в серьезной системе алгоритм, который придумал давеча Вася Пупкин. С другой стороны, если алгоритм известен всем, то он известен и взломщикам, поэтому они могут тешиться с ним сколько хотят, объединяясь в интернациональные команды, изобретая всяческие хитроумные сетевые и нейронные взламывающие программы…
Атака на шифрованное сообщение
В данном случае атакующий не знает ничего о содержании сообщения, и ему приходится работать лишь с самим шифрованным текстом. На практике часто можно сделать правдоподобные предположения о структуре текста, поскольку многие сообщения имеют стандартные заголовки. Даже обычные письма и документы начинаются с легко предсказуемой информации, например «здравствуйте» или «привет». Также часто можно предположить, что некоторый блок информации содержит заданное слово (например, в документах MS Word содержится строка вроде «Microsoft Word 9.0»).
Атака с подменой ключей
Эта атака зачастую основана на нападении на протокол обмена ключами. Суть в том, что, когда две стороны обмениваются ключами для секретной связи, противник внедряется между ними на линии обмена сообщениями. Далее он выдает каждой стороне свои ключи. В результате обе стороны будет иметь разные ключи, каждый из которых известен противнику. Теперь противник будет расшифровывать каждое сообщение своим ключом и затем зашифровывать его с помощью другого ключа перед отправкой адресату. Стороны будут иметь иллюзию секретной переписки, в то время как на самом деле противник читает все сообщения. Конечно, не все так просто, и против такого приема придумано множество всяческих «противоядий», но задуматься стоит.
Панацея
Как я уже отмечал, симметричные криптосистемы считаются более «стабильными к взлому» по сравнению с криптосистемами с открытым ключом. Более того, самым лучшим способом защиты принимаются симметричные криптосистемы с одноразовым случайным ключом. Ключ должен быть действительно случайным, а не псевдослучайным. Главное и решающее преимущество симметричной криптосистемы на одноразовых ключах — ее независимость от прогресса в математической теории (конечно, у любого симметричного алгоритма есть множество недостатков, главный из которых — управление ключами; но речь сейчас не об этом). То есть — абсолютная надежность и гарантированная стойкость (насколько позволяет сам алгоритм). Не зря же их используют разведчики всего мира (благо их «трафик» невелик). Стойкость же любого другого криптоалгоритма может катастрофически меняться (в меньшую сторону). Оценить стойкость криптоалгоритма можно, только зная самый эффективный способ его взлома. А такие способы имеют свойство все время появляться (изобретаться), так же как и производительность компьютеров — расти.
Причины ненадежности криптографических программ
Попробуем понять, почему же криптографические программы постоянно взламываются. Можно посмотреть на этот вопрос с другой стороны: какие пробелы, приводящие к успешному взлому, чаще всего встречаются в ПО и в организационной части?
Зачастую взлом происходит из-за того, что применяются недостаточно надежные криптоалгоритмы. Почему? У стойких алгоритмов может быть слишком малая скорость работы, может существовать патент на алгоритм, и право его использования нужно покупать. Наконец, создатели программ могут не знать (недостаточно квалифицированы?) или принципиально не хотеть использовать стойкие алгоритмы. Взлом также возможен вследствие слишком малой длины ключа или неверного его хранения, генерации или передачи. Стойкие криптоалгоритмы могут быть неправильно реализованы: например, отсутствует проверка на слабые ключи или использован плохой датчик случайных чисел.
Наконец, существует человеческий фактор. В любой критической системе ошибки человека-оператора являются чуть ли не самыми дорогостоящими и распространенными. В случае криптосистем непрофессиональные действия пользователя сводят на нет самый стойкий криптоалгоритм и самую корректную его реализацию и применение.
Заключение
Конечно, абсолютного (идеального, не вскрываемого и комфортного одновременно) алгоритма нет и быть, вероятно, не может. Однако все же можно пытаться контролировать стойкость используемого алгоритма (в том числе при помощи изучения возможности и истории его взлома). Многое зависит, в конечном счете, от решаемой задачи.
Литература и ссылки по теме
[1] Bruce Schneier, Self-Study Course in Block Cipher Cryptanalysis Cryptologia, v.24, n.1, pp. 18-34, Jan 2000.
[2] В. Зима, А. Молдовян, Н. Молдовян, Безопасность глобальных сетевых технологий. — СПб.: BHV, 2001.
[3] Максим Левин, Безопасность в сетях Internet и intranet. — М.: «Познавательная книга плюс», 2001.
[4] А. В. Бабаш, Г. П. Шанкин, Криптография. Аспекты защиты. — М.: «Солон-Р», 2002.
[5] А. В. Домашев, М. Л. Грунтовик, В. О. Попов, Д. И. Правиков, А. Ю. Щербина, И. В. Прокофьев, Программирование алгоритмов защиты информации. Издатель Могачева С. В. — М.: «Нолидж», 2002.
[6] Много всего о криптоанализе и криптографии: www.ssl.stu. neva.ru/psw/crypto.html.
[7] Некоммерческий проект проверки криптостойкости алгоритмов при помощи распределенных вычислений: www.distributed.net.
Как не «подарить» квартиру
В августе вступил в силу закон, направленный против мошенничества с использованием ЭЦП при сделках с недвижимостью. Вопрос о безопасности заочных сделок с недвижимостью был поднят после широкого освещения случая жителя Москвы Романа Салтовского, который случайно обнаружил, что у принадлежащей ему квартиры в Бабушкинском районе сменился собственник. Этот факт выяснился, когда жилец квартиры заметил, что изменилась фамилия получателя на квитанции по оплате услуг ЖКХ.
После анализа документов, предоставленных на госрегистрацию спорной сделки, Росреестр пришел к выводу, что был совершен переход права на квартиру на основании договора дарения, составленного в простой письменной форме. Документы были поданы сторонами сделки в электронном виде и удостоверены их электронными подписями. При этом, по словам Салтовского, электронную подпись он не оформлял.
Согласно законодательству, граждане России могут подать документы на государственную регистрацию права на объект недвижимости в удаленном порядке. Для этого надо подать заявление, подписанное усиленной квалифицированной электронной подписью собственника, которая предполагает выдачу удостоверяющим центром сертификата ключа проверки.
На практике существует риск получения ключа проверки неправомочным лицом, которое в итоге ворует квартиру. Закон устанавливает, что использовать электронную подпись гражданина можно будет только с его персонального согласия. Запись об этом будет зафиксирована в Росреестре. Люди смогут вообще отказаться от электронной подписи в вопросах регистрации и передачи имущества.
Как ранее сказал спикер Госдумы Вячеслав Володин, этот вступивший в силу закон устанавливает обязательное письменное согласие собственника на государственную регистрацию сделок с недвижимостью в электронной форме. По словам председателя, ко второму чтению документа был внесен ряд важных поправок.
Володин напомнил также, что ужесточение порядка выдачи ключей проверки электронной цифровой подписи обсуждалось в ходе больших парламентских слушаний по развитию цифровой экономики, которые прошли в Государственной Думе 8 июля. «Участники слушаний отмечали, что на практике можно получить сертификат ключа на основании копии паспорта и доверенности в простой письменной форме.
Как обеспечить безопасность электронной подписи
Подделать саму ЭП нельзя. В ее основе лежат криптографические технологии, которые не поддаются взлому. Переживать о том, как защитить свою подпись от подделки, не нужно, потому что мошенники действуют примитивнее — они подделывают документы, чтобы незаконно получить ЭП, или крадут подпись.
Рекомендуем соблюдать правила безопасности, которые помогут избежать мошенничества с цифровой подписью:
Нельзя передавать ЭП другим людям. Бухгалтер, заместитель и другие сотрудники не должны иметь доступа к закрытому ключу подписи, потому что могут подписать документ самовольно. Тогда доказать, что подпись поставил не владелец, а постороннее лицо, будет почти невозможно.
Если увольняется сотрудник, у которого есть ЭП, сертификат подписи надо сразу отозвать. Иначе уволенный работник может списать деньги со счета компании или вообще ликвидировать организацию, если раньше у него были такие полномочия. Отлично, если кадровая служба ведет учет сертификатов сотрудников — так проще следить, кому и когда выдана ЭП.
Токен с подписью и компьютер, где она используется, должны быть защищены паролем. Иначе злоумышленник сможет воспользоваться чужой ЭП, если украдет токен или получит доступ к компьютеру.
Если ЭП хранится на компьютере, он должен быть защищен от вирусов. Подозрительный файл, который пришел на почту, лучше не открывать: он может оказаться шпионской программой, которая скопирует все файлы, в том числе электронную подпись.
Если нужно отойти от компьютера, его лучше блокировать. Это гарантирует, что никто не воспользуется подписью в отсутствие владельца.
Нельзя передавать сканы и реквизиты паспорта ненадежным фирмам или оставлять их на подозрительных сайтах. Если сканы попадут в руки мошенников, они могут получить по ним электронную подпись от чужого имени. Скорее всего, сотрудники удостоверяющего центра увидят подделку и сертификат не выдадут, но лучше не рисковать. Если паспорт пропадет, об этом нужно сразу сообщить в полицию — заявление станет аргументом, если потребуется доказать, что ЭП на документ поставили мошенники.
Электронная подпись не гарантирует защиту компании от мошенников и воров. Но она создает для них серьезное препятствие — завладеть чужой ЭП намного сложнее, чем подделать подпись и печать на бумаге. Кроме того, с электронной подписью шансы остановить преступников и вычислить их намного выше:
Если у вас пропала подпись, то ее можно и нужно сразу же отозвать — тогда злоумышленники не смогут ей воспользоваться.
Проверить, что никто не выпустил на ваше имя электронную подпись, можно на портале Госуслуг — в личном кабинете в разделе «Настройки и безопасность» найдите вкладку «Электронная подпись». Госуслуги покажут, какие подписи были выпущены на вас, когда и каким удостоверяющим центром. Если увидите электронную подпись, которую не получали, обратитесь в техподдержку портала и в УЦ, который указан в этой подписи. УЦ по вашему заявлению отзовет сертификат подписи, и тогда ей больше никто не сможет воспользоваться.
Если мошенник все-таки смог без вашего ведома получить электронную подпись на ваше имя, то найти его будет проще, чем того, кто подделывает рукописные подписи. Ведь из сертификата электронной подписи можно узнать, кто, когда и в каком УЦ его получил. Также все удостоверяющие центры хранят копии документов, по которым выдавалась подпись, а некоторые — при выдаче сертификата делают фото будущего владельца ЭП с паспортом. Благодаря таким зацепкам, правоохранителям будет проще поймать мошенников.
Получите подпись в УЦ Контура — это надежно и безопасно. Мы работаем на рынке больше 17 лет и выдаем сертификаты подписей, соблюдая все меры безопасности, имеем аккредитацию Минкомсвязи и необходимые лицензии ФСБ России.
Получить электронную подпись
Судебная практика по мошенничеству с эп
Дело №А56-35890/2022. Работники ЗАО «Балтийский берег» с января 2022 года по декабрь 2022 года использовали ЭЦП гендиректора для вывода денег из компании, без его ведома.
В итоге, гендиректор оказался должен компании более 254 миллионов рублей. Суды всех инстанций задолженность подтвердили.
Суды подтвердили недобросовестность гендиректора, исходя из следующих его действий (бездействия):
- он фактически устранился от контроля действий его подчиненных, осуществлявших хищение денежных средств;
- не осуществлял правильность и основания проведения расчетов с использованием его ЭЦП;
- не интересовался результатами проведения аудиторских проверок;
- большую часть договоров общества он не заключал;
- текущую финансово-хозяйственную деятельность он не контролировал.
Дело №А56-15334/2022. ООО «Стройинвест», в результате несанкционированного входа в систему «Банк-клиент», потеряло 7,7 млн рублей. Они были списаны со счета. Впоследствии, 890 тысяч были возвращены, а директор остался должен обществу 6,8 млн рублей.
Суд эту задолженность подтвердил, отметив:
«Действуя разумно и добросовестно, получив в период рабочего времени 39 сообщений о входе в систему для осуществления платежных операций, гендиректор, осуществляя функции единоличного исполнительного органа общества, должен был проявить соответствующую заинтересованность и до окончания рабочего времени связаться с сотрудником, у которого, как он утверждает, имелся доступ к носителю ключа ЭП».
Приведем еще два дела, когда ущерб был нанесен из-за использования ЭП уволенных руководителей.
Иск ООО «Валитекс» к «Нэклис-Банк» на сумму свыше 75 млн. руб. (дело № А40-75611/06-47-564) — в иске отказано, платежные поручения были подписаны ЭП бывшего генерального директора. Деньги списывались 8 месяцев.
Иск ООО «АМКО-Капитал» к ОАО «Металлургический коммерческий банк» на сумму свыше 77 млн. руб. — в иске отказано, на платежных поручениях была проставлена подпись бывшего главного бухгалтера (дело №А40-14394/06-47-120).
Это к вопросу о том, почему нужно сразу же отзывать сертификат ЭП уволенного сотрудника, особенно с такими полномочиями.
Требования к удостоверяющим центрам станут строже
Госдума 7 ноября приняла в первом чтении законопроект, разработанный группой депутатов и сенаторов, направленный на повышение безопасности использования электронной подписи. По словам члена Комитета Совета Федерации по экономической политике Владимира Кравченко, предлагается существенно увеличить финансовые требования к удостоверяющим центрам, что приведет к их укрупнению и более качественному выполнению их обязанностей.
«Собственный капитал должен быть увеличен с семи миллионов до 500 миллионов — одного миллиарда, размер страховой ответственности увеличивается с 30 миллионов до 300-500 миллионов рублей, срок аккредитации сокращается с пяти лет до трех лет», — пояснил сенатор.
Собственный капитал должен быть увеличен с семи миллионов до 500 миллионов — одного миллиарда, размер страховой ответственности увеличивается с 30 миллионов до 300-500 миллионов рублей.
Законопроект делегирует полномочия по выдаче квалифицированных подписей Налоговой службе, Банку России и Федеральному казначейству. Вводится институт доверенных третьих сторон — организаций, уполномоченных осуществлять деятельность по проверке электронных подписей в документах.
Комментируя документ, член Комитета Госдумы по финрынку Алексей Изотов отметил, что в ходе работы удостоверяющих центров были выявлены проблемы. Имеются многочисленные правонарушения по совершению операций с использованием электронной подписи.
По данным ФНС, с 1 января 2022 года по август 2022 года зафиксировано более 45 тысяч нарушений, большинство из которых связано с подачей налоговых деклараций и финансовой отчетностью. Также выявлено 5,6 тысячи случаев выпуска электронной подписи по поддельным документам и 4,5 тысячи случаев регистрации фирм-однодневок. Законопроект позволит исправить эту ситуацию.
Также ко второму чтению готовят разработанный Правительством законопроект с изменениями в Закон «Об электронной подписи», направленными на устранение правоприменительной коллизии между его нормами. В первом чтении он принят 25 июля 2022 года.
По данным ФНС, с 1 января 2022 года по август 2022 года зафиксировано более 45 тысяч нарушений с ЭЦП, большинство из которых связано с подачей налоговых деклараций и финансовой отчетностью.
«Документ направлен на обеспечение соблюдения законных интересов граждан и юрлиц, использующих ЭЦП в тех случаях, когда удостоверяющий центр, который эти подписи выдал, прекращает свою деятельность либо срок его аккредитации истек», — сказал замминистра цифрового развития, связи и массовых коммуникаций Олег Пак при обсуждении документа в Госдуме.
Согласно закону об электронной подписи, в случае прекращения деятельности удостоверяющего центра с переходом его функций к другим лицам информация, внесенная в реестр сертификатов, должна быть передана лицу, к которому перешли функции удостоверяющего центра, прекратившего свою деятельность.
В итоге потребители услуг аккредитованного удостоверяющего центра, выполнявшего свои функции в строгом соответствии с законом, но принявшего решение о прекращении деятельности, не вправе воспользоваться своими ключами электронной подписи, так как, согласно части 5 статьи 17 Закона «Об электронной подписи», их сертификаты становятся недействительными.
