«Самооборона» на рынке электронной подписи: как противостоять мошенникам – Единый портал ЭП

Что делать, если потеряли электронную подпись

Если вы потеряли ключ от подписи или его украли, сразу обратитесь в удостоверяющий центр или МФЦ, который выдавал вам сертификат. Центр отзовет ваш сертификат, чтобы его не могли использовать мошенники. Еще обязательно сообщите об этом контрагентам, чтобы они знали, что вашей утерянной подписью могут воспользоваться злоумышленники.

Восстановить утерянный сертификат или ключ ЭП невозможно. Нужно получать новый: собирать документы и идти в удостоверяющий центр.

Что же может пойти не так?

Наверное, внимательные читатели уже увидели, что описанная выше схема представляет собой сферическую ЭП в вакууме.

И действительно, в теории взломать или подделать такую подпись можно несколькими способами. Самый лакомый способ для взломщика-криптоаналитика – это по открытому ключу угадать закрытый. Тогда злоумышленнику сразу открываются сказочные перспективы – ведь он сможет действовать от лица истинного владельца подписи и даже управлять его имуществом.

Однако обычно такой взлом не возможен ввиду того, что подбор закрытого ключа по открытому – вычислительно нерешаемая задача. При генерации пары ключей широко применяются факторизация или дискретное логарифмирование, что оставляет взломщику мало надежды.

Ещё одно уязвимое место – это хэш-функция. Здесь возможны сразу несколько направлений атак. Если алгоритм хэширования не достаточно надёжный, то взломщик может подобрать какой-нибудь свой документ, применение хэш-функции к которому даст тот же результат, что и её применение к исходному документу.

Или же злоумышленник может сгенерировать два документа, дающие одинаковый хэш, после чего при необходимости сможет подменить один документ другим. Названные ситуации считаются коллизиями хэш-функций. Однако жизнь взломщика хэш-функции всё же не так легка: мало того, что подставной документ должен представлять из себя читаемый текст, а не быть бессмысленным набором бит, так еще и придумано достаточно криптостойких алгоритмов хэширования.

Что такое электронная подпись

Электронная подпись гарантирует, что документ подписал владелец электронной подписи. А неквалифицированная и квалифицированная подписи покажут, изменился ли документ после подписания.

«правила выживания» в цифровом мире

Предприняв указанные выше превентивные меры, участникам современного общества, так или иначе связанным с процессами электронного взаимодействия, следует придерживаться и общих правил обеспечения безопасности:

1. Будьте осторожны: бережно храните документы, старайтесь не допустить потери или кражи;
2. Умейте говорить «нет»: оставляйте сканы документов только там, где этого требует закон (например, откажите охранникам, которые пытаются снять копию с паспорта, вместо того чтобы переписать данные для оформления пропуска);
3. Будьте внимательны: периодически проверяйте записи о собственниках юридических лиц на сайте ФНС в разделе «Электронные сервисы» – «Риски бизнеса: проверь себя и контрагента» (ссылка представлена выше), обращайте внимание на ФИО, указанные на счетах за ЖКХ, не превращая это в навязчивую манию;
4. Никому не доверяйте свою ЭП: подробнее об этом можно прочитать в статье «Почему так важно не допускать использования Вашей ЭП другими лицами?»)

«самооборона» на рынке электронной подписи: как противостоять мошенникам

05 июля 2021

В СМИ активно обсуждаются возможные преступные схемы, основанные на неправомерном получении и использовании электронной подписи (ЭП). Что скрывается за громкими заголовками? Какие варианты мошенничества существуют? Как обезопасить себя? Что делать, если инцидент произошел?

Редакция Единого портала Электронной подписи ознакомилась с зачастую противоположными мнениями экспертов рынка и представителей СМИ с целью формирования объективной оценки сложившейся ситуации.

ПЭП в виде присоединяемой к электронному документу информации

Простая электронная подпись представляет собой набор данных, генерируемых программой или информационной системой совместно с пользователем или по его команде и присоединяемых к электронному документу.

Варианты преступных схем с использованием электронной подписи

Наиболее активное обсуждение в последнее время велось по нескольким вариантам мошенничества с ЭП: отъем недвижимости физических лиц и открытие компаний на ничего не подозревающих граждан. Для каждого из подобных действий существуют собственные варианты защиты.

Виды простой электронной подписи

Таким образом, условно можно разделить простую ЭП на 2 вида:

Где можно использовать электронную подпись

Действовать по факту

Если же ситуация с мошеннической передачей прав на собственность все же произошла, то необходимо обратиться за юридической поддержкой и подать заявление в полицию о совершенном преступлении и обратиться в суд с иском о признании недействительности сделки.

Держать на контроле

Записи о собственниках юридических лиц общедоступны и открыты, ознакомиться с ними можно на официальном портале ФНС в разделе «Электронные сервисы» – «Риски бизнеса: проверь себя и контрагента» 

Дополнительная информация

Адрес отправителя входящего электронного письма можно считать простой ЭП отправителя?

Ответ: Да, если участники электронного взаимодействия заключили соответствующее соглашение (о признании получения электронного сообщения с определенного адреса электронной почты подписанием документа ПЭП), а также при соблюдении одного из условий, представленных в статье 9 63-ФЗ, которые можно найти в материале выше.

Задать прочие вопросы по теме ПЭП можно в специализированной рубрике Единого портала Электронной подписи «Вопрос эксперту».

Зачем нужна электронная подпись

Электронная подпись понадобится тем, кто собирается использовать в работе электронные документы, сдавать отчетность и получать услуги в интернете.

Все эти операции призваны облегчить жизнь представителям бизнеса — экономить на документообороте, меньше бегать по инстанциям, получать государственные услуги удаленно и т. п.

О том, как еще обычный человек может использовать электронную подпись на практике, мы рассказывали в другой статье.

Интерфакс – сервер раскрытия информации

Информационные системы, в том числе использующие пэп

Ведомства и госучреждения

Информационный шум: «хайп» сми или реальная проблема рынка?

Ряд громких заголовков на тему того, что из-за цифровизации люди лишаются жилья — это прием, при помощи которого средства массовой информации за счет якобы шок-контента пытаются привлечь к себе внимание. Ведь перекос в сторону повышенной опасности электронных методов взаимодействия наряду с «бумажными сделками» искусственный, вызванный новизной темы.

Вместе с  этим не стоит умалять важность обозначенной проблемы: выпуск электронной подписи в результате развертывания мошеннической схемы и дальнейшее ее использование преступниками может повлечь за собой серьезные последствия для «владельца ЭП».

Использование пэп с точки зрения законодательства

В соответствии с 9 статьей упомянутого выше федерального закона, чтобы электронный документ считался подписанным простой электронной подписью, кроме самого «факта ее использования», должно выполняться одно из условий:

1. ПЭП содержится в самом электронном документе;
2. Ключ ПЭП применяется в соответствии с правилами, установленными оператором информационной системы (ИС), при использовании которой осуществляются создание и (или) отправка электронного документа, в котором содержится информация, указывающая на лицо, от имени которого он был создан и (или) отправлен.

Как выйти на след преступников, если в наличии имеется файл подписанный эп?

Используя программные средства, из подписанного ЭП файла можно извлечь квалифицированный сертификат ключа проверки электронной подписи (КСКПЭП). Он содержит данные о дате и времени создания, удостоверяющем центре, выпустившим ЭП, а также прочую информацию, которая будет полезна следствию в раскрытии преступления.

Следует упомянуть, что многие УЦ, стремясь обезопасить себя и своих клиентов от мошеннических схем, ведут фото и видео фиксацию процесса выдачи электронных подписей. Эта мера предосторожности также поможет правоохранительным органам идентифицировать мошенников.

Как начать работать с квалифицированной электронной подписью

Чтобы начать работать с электронной подписью, необходимо подготовить свое рабочее место и приобрести сертификат подписи. Сертификат выдают быстро — в течение часа.

Еще для работы с квалифицированной подписью надо будет установить программу для криптозащиты информации (СКЗИ). Самые распространенные средства криптозащиты в России — это «Криптопро CSP», Signal-com CSP, «Лисси CSP», Vipnet CSP. Все они примерно одинаковые.

Какое конкретно СКЗИ потребуется и какие настройки будут нужны, вам скажут в удостоверяющем центре или МФЦ.

Как перевыпустить сертификат

Срок действия сертификата электронной подписи — год. Когда он подойдет к концу, выпустите новый сертификат. Для этого обратитесь с заявлением в удостоверяющий центр или МФЦ. Если в документах ничего не изменилось, нести их снова не нужно. Если какие-то документы поменялись, нужно принести оригиналы только этих документов.

Как подписать документ электронной подписью

Ваше СКЗИ добавляет в контекстное меню вашей операционной системы — Виндоус или Мак-ос — свой специальный раздел. Таким образом, можно подписать любой документ просто нажатием правой кнопки мыши. На сайте каждого СКЗИ можно найти подробную инструкцию, как подписывать документ.

Например, так работает процесс подписания с помощью программы «Крипто-АРМ»:

1. Кликните правой кнопкой мыши по документу.
2. Найдите пункт меню «Крипто-АРМ» и нажмите «Подписать».
3. После этого запускается мастер создания электронной подписи, который подробно объяснит все дальнейшие шаги.
4. В итоге рядом с документом появится новый файл документ.doc.sig — это и есть файл электронной подписи.

В результате документ становится недоступным для изменения, а рядом с ним в папке появится файл подписи в формате документ.doc.sig.

В «Гугл-докс» плагины для электронной подписи можно найти во вкладке «Дополнения».

Как получить электронную подпись

Как приобрести подпись физическому лицу

Физическим лицам проще всего получить подпись в ближайшем МФЦ: рядом может не быть удостоверяющих центров, а МФЦ найдется всегда. Для этого надо записаться на прием и подготовить следующие документы:

1. Заявление на изготовление квалифицированного сертификата — шаблон дадут в МФЦ.
2. Паспорт.
3. СНИЛС.
4. Свидетельство о присвоении ИНН.

В Москве электронная подпись для граждан стоит 900—950 рублей. Вместе с носителем цена составит 1500—1600 Р. Отдельно носитель будет стоить от 1500 рублей. Эта цена отличается в зависимости от тарифа удостоверяющего центра и того, насколько защищенную подпись вы хотите использовать.

Как приобрести подпись юридическому лицу и ип

Юридические лица получают квалифицированные сертификаты подписи в удостоверяющем центре или МФЦ.

Как проверить подлинность подписи

Чтобы проверить подлинность подписи и неизменность документа, воспользуйтесь любым из бесплатных сервисов:

1. Портал «Криптопро».
2. Сайт госуслуг.
3. Сервис «Контур-крипто».

Как устроена эп

Файл электронной подписи генерирует специальная программа — средство криптографической защиты информации (СКЗИ). Когда вы подпишете документ электронной подписью, эта программа просканирует документ. В итоге она создаст уникальное сочетание данных документа — хэш-сумму.

Сертификат закрытого ключа хранится у владельца на любом удобном носителе: на компьютере, внешнем диске или токене — специальной защищенной флешке, которую можно носить с собой. Еще подпись может быть на диске, смарт-карте, симке, в облачном хранилище и т. д.

Просмотреть подпись можно с помощью сертификата открытого ключа — электронного документа, в котором есть следующая информация:

1. Кто владеет подписью.
2. Какие у него полномочия.
3. Какая организация выдала подпись и какие у нее полномочия.

Программа СКЗИ проверяет хэш-сумму и сравнивает ее с содержанием документа. Если все совпало, документ не меняли и подпись цела. Несовпадения означают, что документ изменили после того, как подписали. Тогда подпись автоматически считается недействительной и документ теряет юридическую силу.

Настоящим и будущим владельцам электронных подписей такском

До 1 июля 2021 года – удостоверяющий центр «Такском» выпускает электронные подписи для ЮЛ, ИП и физлиц.

До 1 января 2022 года – действительны оформленные в удостоверяющем центре «Такском» электронные подписи. 

О будущем удостоверяющего центра такском

Удостоверяющий центр Такском намерен к 1 июля 2021 года пройти в Минкомсвязи аккредитацию по новым правилам.

После получения новой аккредитации центр продолжит выпуск квалифицированных электронных подписей для физических лиц – для сотрудников ЮЛ, ИП и для простых граждан.

Вместе с тем удостоверяющий центр «Такском» находится в процессе оформления статуса доверенного лица ФНС. Получив статус, центр станет официальным представителем налоговой по выпуску квалифицированных электронных подписей для физлиц и руководителей – ЮЛ и ИП.

Требования закона 63-ФЗ не затронут деятельность компании «Такском» как оператора фискальных данных, электронной отчётности и документооборота.

Электронные подписи с выездным оформлением

Оперативный выпуск ЭП без посещения офиса – эту удобную и актуальную услугу предлагает «Такском». Специалист сам приедет к вам в офис или домой, идентифицирует вашу личность и оформит вам новую ЭП для любых целей.

Выездные сотрудники носят маски и перчатки, регулярно проходят медосмотр.

Услуга действует в Москве и в Московской области, в Санкт-Петербурге и в Ленинградской области, в Екатеринбурге.

Подключаем человеческий фактор, бюрократию и частные организации

В самом начале мы говорили о свойствах, которыми должна обладать качественная электронная подпись. Из них под действием уже упомянутых выше атак пока страдали только её целостность и неотказуемость. Однако в реалиях нашего мира наибольшее количество нарушений происходит из-за подмены авторства.

В России получение ЭП регулируется законом № 63-ФЗ «Об электронной подписи». Для её оформления нужно получить сертификат от удостоверяющего центра (УЦ) на выбор. В УЦ нужно предоставить необходимые документы и заплатить некоторую сумму, после чего забрать свой сертификат и заветный eToken с закрытым ключом.

Вот на получении сертификатов-то и возникает простор для всевозможных махинаций. Все УЦ являются коммерческими организациями, они обязательно аккредитованы Министерством цифрового развития и имеют лицензию от ФСБ. Однако чего не сделаешь ради прибыли – для УЦ порой желания клиентов выше установленных правил выдачи сертификата.

Например, из-за этого сегодня возможно получить ЭП на другое лицо, пользуясь утечками персональных данных или некомпетентностью УЦ. Это приводит к довольно печальным последствиям – вплоть до переоформления квартиры или регистрации фиктивных организаций с целью взятия кредитов.

Предотвратить

Редакция Единого портала Электронной подписи обратилась в ФНС России за официальными разъяснениями. Рекомендации ведомства, касательно того, как обезопасить себя от мошеннических схем, в том числе с использованием электронной подписи, представлены ниже.

В случае, если гражданин России опасается незаконного использования своих паспортных данных третьими лицами, он вправе (п.6 ст.9 129-ФЗ) направить в регистрирующий орган письменное Возражение относительно предстоящей государственной регистрации изменений устава юридического лица или предстоящего внесения сведений в единый государственный реестр юридических лиц (ЕГРЮЛ) по форме, утвержденной уполномоченным Правительством РФ федеральным органом исполнительной власти.

Форма Возражения утверждена Приказом № ММВ-7-14/72@ и доступна на официальном сайте ФНС и в правовых системах «Гарант» и «Консультант Плюс» (Приложение №2 к Приказу, форма № 38001).

Заполненное письменное Возражение можно направить в регистрирующий орган 3 способами:

1 — почтой — почтовым отправлением с объявленной ценностью при пересылке с описью вложения, в котором подлинность подпись заинтересованного физического лица должна быть засвидетельствована в нотариальном порядке;

2 — лично через регистрирующий орган или МФЦ — при непосредственном предъявлении физическим лицом заявления должен быть предъявлен документ, удостоверяющий его личность (паспорт);

3 — онлайн — электронный документ (в виде файла формата Excel, TIF, PDF), подписанный УКЭП, направляется через интернет с использованием специализированного бесплатного программного обеспечения, размещенного на официальном сайте ФНС в разделе «Подача документов в электронном виде на государственную регистрацию».

Порядок направления в регистрирующий орган при государственной регистрации юридических лиц, крестьянских (фермерских) хозяйств и физических лиц в качестве индивидуальных предпринимателей электронных документов с использованием информационно-телекоммуникационных сетей общего пользования, в том числе сети Интернет, включая единый портал государственных и муниципальных услуг утвержден Приказом ФНС России № ЯК-7-6/489@.

Применение хэш-функций

В связи с тем, что шифрование закрытым ключом документа большого размера – довольно сложный и долгий процесс, обычно к тексту документа сначала применяют более быстрое и простое хэш-шифрование. Полученный сравнительно короткий результат шифруют закрытым ключом, получая саму цифровую подпись. Вместе с ней открытый текст документа передаётся получателю.

Тот должен всего лишь хэшировать текст документа той же хэш-функцией, после чего расшифровать открытым ключом подпись и сравнить оба результата. Если они совпадают – то документ мог быть подписан только отправителем (вот она и неотказуемость) и не был испорчен, дополнен или подменён в процессе пересылки (а это целостность).

А дляпоследнего свойства – авторства – необходимо, чтобы пара ключей подписавшего была закреплена за ним. На практике для этого используются так называемые удостоверяющие центры, которые по запросу выдают сертификат на пару ключей, а также гарантируют единственность обладания ими.

Схемы с открытием юридических лиц

Для государственной регистрации бизнеса документы в налоговую можно подать и в бумажном виде, и онлайн при помощи специального программного обеспечения или сервиса разработанного ФНС России, воспользовавшись УКЭП заявителя либо нотариуса.

Цифровизацию не остановить. как с этим жить?

Невозможно представить откат к исключительно бумажному миру, в котором привычно все, включая и мошеннические схемы. Общество эволюционирует, цифровизируется, двигается вперед, а вместе с этим появляются и новые риски, и способы их минимизировать.

Юридическая значимость пэп

В 63-ФЗ предусмотрены условия придания действиям, совершаемым с простой электронной подписью, юридической значимости. Это возможно в случаях, установленных федеральными законами, принимаемыми в соответствии с ними нормативными правовыми актами или соглашением между участниками электронного взаимодействия.

При этом НПА и соглашения должны соответствовать требованиям, перечисленным в части 2 статьи 9 63-ФЗ, и предусматривать:

В качестве заключения

Призываем участников цифровой экономики не подвергаться панике. Как уже говорилось выше, мошеннические схемы были распространены и в старом «бумажном» мире, закономерно, что они пытаются укорениться и в электронном. Ввиду того, что цифровая экономика обладает большей прозрачностью, шансы вычислить преступников и предотвратить аналогичные действия стали выше.

Конечно, это слабое утешение для тех, кто стал жертвой онлайн мошенников и вынужден тратить свое время и нервы на то, чтобы добиться правды. В связи с этим выражаем надежду, что готовящиеся поправки к 63-ФЗ «Об электронной подписи» сделают цифровую среду более безопасной. Будем держать вас в курсе!

Заключение

В статье вкратце было рассмотрено, как работает электронная подпись. Видно, что алгоритм достаточно устойчив и почти не имеет слабых мест. Однако, как и во многих случаях, самое слабое место этого метода – человеческий фактор, оставляющий большой простор для действий злоумышленников.