Коллеги, к сожалению, не смог пока получить от техподдержек некоторых аккредитованных УЦ аргументированных ответов - почему они закрыли распределенный режим??? Может, кто-то в курсе???

а чего тут пилить? МСЭ 4 класса разве недостаточно? Или требования по безопасности информации ФСТЭК или по персданным не могут выполнить без отключения от паутины?

Отредактировано пользователем 17 августа 2012 г. 18:50:00(UTC)  | Причина: Не указана

Вот в этом и хотелось бы разобраться. О каких дырках идет речь? Организационных или технических? Какие варианты мошеннических действий возможны при распределенной схеме? Мне представляется, что форум КриптоПро - это как раз подходящее место для обсуждения этих проблем.

Основная дырка такова: Отсутвие доказательной аутентификация владельца сертификата. УЦ должен иметь доказательную базу по факту владения лицом соответствущего сертификата ключа проверки электронной подписи (СКПЭП). Как правило, доказательную базу составляют: заявление на изготовление СКПЭП, заверенное владельцем СКПЭП, и копия СКПЭП на бумажном носителе (или акт), подписанная владельцем СКПЭП. Документы подтверждают, как минимум: 1) факт волеизъявления на изготовление, 2) согласие владельца на то, что он идентифицируется данными, указанными в заявлении и заносимыми в сертификат в поле SubjectName, 3) ограничения, устанавливаемые в СКПЭП. Эти документы заверяются владельцем сертификата и, если владелец действует от имению юридического лица, ещё и единоличным исполнительным органом, или лицом действующим по доверенности, юридического лица. А как УЦ при распределённой схеме убедится, что документы заверены именно нужным? Т.е. у УЦ появляется риск, связанный с тем, что УЦ не сможет доказать, что документы заверены. Тогда документы теряют юридическую силу. Тогда и электронная подпись (ЭП) теряет юридическое значение. Тогда УЦ должен отвечать по всем доказанным убыткам третьих лиц, связанным с исполнением и/или принятием к сведению электронных документов с этой ЭП. А эти убытки могут быть ооочень большими...

Вариант мошеничества: лицо Х, встав сколькизкий путь и забыв наказы родителей, с преступным умыслом, получил по распеределённой схеме СКПЭП на лицо Y. Действуя от имени лица Y, лицо Х заключило договор на получение кредитных средств на развитие сельского хозяйства (в рамках существующей программы) и потом совершило деяние, называемое хищение денежных средств. Или действуя от имени лица Y, лицо Х аккредитовалось на электронной торговой площадке, стало участником размещения заказа в электронном аукционе на поставку товаров и/или услуг для государственных нужд и победителем, с последующим отказом от заключения и/или исполнения гоконтракта, тем самым способствовав заненсения лица Y в реестр недобросовестных поставщиков, тем самым нанеся невосполнимый ущерб лицу Y. И ещё много всяких вариантов!

Можно затребовать при регистрации пользователя заверенную копию карточки с образцами подписей руководителей (по аналогии с банками), в регламенте УЦ подробнее описать процедуру. Вообще-то отказ от распределенного режима очень похож на перестраховку на случай пункта 3 статьи 13 63-ФЗ. Хотя ответственность УЦ в этом законе гораздо мягче прописана, чем в 1-ФЗ. Вот и получается ситуация, при которой народ гоняет при каждой плановой смене из Владивостока в Москву на самолете, живет в гостинице, мало-мало кушает при этом.
Если аккредитованный УЦ сможет, имея в штате профессиональных юристов, обеспечить распределенный режим, он получит существенное конкурентное преимущество.