Quel est le problème avec la loi fédérale sur les signatures électroniques (63-FZ) et comment y remédier

Machine à dessiner au travail, © axisdraw.com

Une signature électronique en Russie est apparue pour la première fois en janvier 2002 avec l'adoption de la première loi «sur la signature numérique électronique» ( 1-FZ ). Puis, 9 ans plus tard, en avril 2011, une nouvelle loi «sur les signatures électroniques» ( 63-FZ ) est apparue. Après encore huit ans, au début de l'été 2019, des publications effrayantes ont commencé à apparaître dans les médias sur la façon dont ils volaient des appartements à l'aide de signatures électroniques , comment les fraudeurs enregistraient des entreprises fictives pour des citoyens sans méfiance , etc. , etc.

Essayons de comprendre les problèmes existants sans émotions inutiles et réfléchissons à la façon de les résoudre.

Préface

• Cet article se concentrera uniquement sur les signatures électroniques qualifiées améliorées (ci-après dénommées signature électronique).
• Partout où les autorités de certification sont mentionnées, ce sont des autorités de certification accréditées.
• Pour simplifier la perception, l'article utilise en partie des termes «populaires» au lieu de concepts juridiques stricts.

Partie 1 - Questions de législation

Problème n ° 1 - Identification des clients par les autorités de certification

© Yandex.Pictures

Du point de vue de la sécurité de l'information, tous les incidents répertoriés au début de l'article se sont produits à la suite d' une identification insuffisante par les employés des centres de certification de leurs clients . Mais pourquoi cela se produit-il dans des organisations qui nécessitent la licence FSB de la Russie et l' accréditation du ministère des Communications pour leur travail?

La réponse est simple: les autorités de certification gagnent grâce au nombre de signatures électroniques vendues. Des procédures d'identification des clients plus strictes réduiront leurs bénéfices.

Tout le monde veut que tout soit simple, rapide, gratuit et sans effort. Lorsqu'une telle personne contacte le centre de certification, elle souhaite recevoir instantanément une signature électronique, afin qu'elle ne soit pas volée, et sans mot de passe ou autre non-sens. La personne qui reçoit la signature, en règle générale, ne la reçoit pas pour elle-même, mais pour le directeur ou le comptable de l'entreprise où elle travaille. En plus d'obtenir une signature, une personne a beaucoup de choses à faire. Si une personne est informée que la procuration par laquelle elle veut recevoir une signature doit être notariée, alors elle considère cela comme une terrible bureaucratie. La prochaine fois, lorsqu'une personne souhaite obtenir une nouvelle signature électronique, elle essaiera de postuler auprès d'un autre centre de certification plus «orienté client».

Ainsi, nous obtenons une situation où il n'est pas rentable d'être le bon centre de certification effectuant une identification stricte du client. Il y aura toujours un autre centre de certification lié à ce problème moins respectueusement, qui attirera les clients paresseux.

La délivrance de faux certificats par des cybercriminels n'est pas le problème d'un centre de certification particulier, mais une crise systémique du niveau de la législation fédérale. Vous pouvez en dire encore plus - il s'agit d'un problème mondial (exemples ici et ici ) de la technologie PKI elle-même, qui sous-tend la loi.

Problème n ° 2 - Restreindre l'utilisation des signatures électroniques

Les signatures électroniques, comme toute autre technologie, subissent certains cycles de développement. La loi actuelle «Sur les signatures électroniques» est la loi du stade de la vulgarisation technologique (les signatures électroniques sont déjà utilisées par la société, mais leur pénétration est encore loin d'être universelle). En conséquence, la loi est davantage orientée vers le caractère de masse que vers la sécurité des signatures électroniques.

Le seul mécanisme permettant de restreindre l'utilisation des signatures électroniques est indiqué au paragraphe 4 de l'art. 11 63-FZ . Il stipule notamment qu'une signature électronique qualifiée doit être utilisée conformément aux restrictions spécifiées dans le certificat de clé de signature. Malheureusement, cette formulation n'interdit pas complètement la délivrance et l'utilisation d'une signature électronique, ce qui fait que les citoyens qui ne l'ont jamais délivrée souffrent d'une signature électronique (par exemple, les victimes des incidents cités au début de l'article).

Le problème particulièrement aigu des restrictions à l'utilisation des signatures électroniques concerne les fonctionnaires.

À l'heure actuelle, ils sont obligés de sacrifier leur sécurité personnelle au nom des intérêts de l'employeur. Cela se manifeste notamment par le fait que la signature électronique qui leur a été délivrée pour répondre aux besoins de l'entreprise peut être utilisée contre leurs intérêts personnels, par exemple pour réenregistrer illégalement un appartement à Rosreestr.

Le problème est aggravé par le fait que le nombre de personnes qui peuvent avoir accès à la signature électronique d'un fonctionnaire est difficile à limiter et ne dépend pratiquement pas de la volonté du propriétaire de la signature. Exemples de personnes pouvant être mises à la disposition d'une signature électronique d'un fonctionnaire:

• les administrateurs des moyens de protection des informations cryptographiques (CIP), chargés d'émettre les clés cryptographiques, y compris les clés de signature électronique;
• Les informaticiens mettent en place des systèmes d'information pour utiliser les signatures électroniques;
• auditeurs effectuant un audit de l'organisation (par exemple, pentesters);
• les employés des organes de contrôle de l'État appliquant des mesures de contrôle à l'égard de l'organisation;
• des agents chargés de l'application des lois menant des enquêtes opérationnelles contre l'entreprise employeur;
• une équipe de gestionnaires de faillite qui gèrent l'entreprise si elle a engagé une procédure de mise en faillite;
• et, malheureusement, d'autres personnes.

Numéro 3 - Avis de décharge de signature électronique reçu

(c) m / f «Trois de Prostokvashino»

Les incidents impliquant l'utilisation abusive de signatures électroniques sont intrinsèquement très similaires aux vols informatiques commis par des cybercriminels via le système Internet client-banque. Dans les deux cas, les agresseurs, ayant saisi les informations d'authentification de la victime, ont illégalement mené des actions légalement importantes en son nom: ils ont retiré de l'argent du compte, accordé des prêts, enregistré des sociétés d'un jour, etc.

L'un des moyens efficaces de réduire les dommages causés par les vols informatiques a été d'offrir aux banques la possibilité pour leurs clients de se battre pour leur propre sécurité. Tout client utilisant le service de notification sur les transactions de compte (par exemple, l'information SMS) peut détecter indépendamment une opération non autorisée et bloquer le compte pour minimiser les dommages.

La loi actuelle sur les signatures électroniques ne prévoit pas de telles formes de protection. Il n'existe aucun mécanisme pour informer le propriétaire de l'émission de signatures électroniques en son nom.

Problème n ° 4 - Règles d'utilisation du FCPE

(c) Yandex.Photos

Le cadre juridique actuel régissant l'utilisation des signatures électroniques contient une exigence de sécurité qui pourrait finalement avoir l'effet inverse et créer un précédent pour contester la signature. Prenons-le dans l'ordre.

P.p. 2. Clause 4, article 5 63- établit les exigences pour une signature électronique qualifiée: "les moyens de signature électronique sont utilisés pour créer et vérifier une signature électronique, avec confirmation de la conformité aux exigences établies conformément à la présente loi fédérale."

Les exigences spécifiées pour la signature électronique sont définies dans l' ordonnance du Service fédéral de sécurité de la Fédération de Russie du 27 décembre 2011 N 796 . Le paragraphe 6 de ce document stipule que les moyens de signature électronique (et il s'agit d'une mesure de protection des informations cryptographiques) doivent être exploités conformément à PKZ-2005 . Là, à son tour, il a été enregistré que les moyens de signature électronique (CIP) devaient être exploités conformément aux règles d'utilisation (documentation technique) .

Cela soulève immédiatement la question de savoir si une signature électronique sera considérée comme qualifiée si elle est réalisée à l'aide d'un certificat de protection des informations cryptographiques certifié, qui n'est pas exploité dans le respect absolu des conditions d'utilisation (documentation technique).

La législation ne contient pas de réponse définitive à cette question. Par conséquent, compte tenu de la compétitivité des procédures judiciaires russes , des décisions diamétralement opposées seront prises dans des cas similaires, ce qui pourrait à terme conduire à une baisse de confiance dans la signature électronique et la rendre plus vulnérable aux attaques de répudiation.

Pour illustrer ce problème, nous considérons la situation qui survient souvent lorsque des certificats de clés de signature qualifiés sont reçus dans les centres de certification. Son essence est que la période de validité du certificat peut être déterminée à 5 ans, et la période de validité de la clé privée (extension PrivateKeyUsagePeriod OID 2.5.29.16) à 1 an et 3 mois. La question se pose de savoir si une signature électronique créée pour la 3ème année d'existence d'un tel certificat sera reconnue comme qualifiée.

Problème n ° 5 - Normalisation de la signature électronique

(c) Yandex.Photos

Si vous avez déjà rencontré la configuration d'ordinateurs pour la mise en œuvre d'une gestion de documents électroniques juridiquement significative avec l'État. organes, vous vous souvenez probablement de l'enfer qui se pose. Jongler avec les versions des fournisseurs de cryptographie, des navigateurs et des plugins, à la suite de quoi le système commence à fonctionner d'une manière ou d'une autre, ne se prête pas à une explication scientifique. Cette action ressemble plus à une danse de chaman invoquant les esprits d'une tempête, de la terre et du feu lors d'un feu de nuit.

Dans le même temps, la joie d'une installation réussie est rapidement remplacée par une terrible dépression quand il s'avère que l'employé pour lequel l'installation a été effectuée doit envoyer des rapports à un autre état. organe. Et puis il y a son propre système de protection des informations cryptographiques, ses propres clés et, en général, le sien. Eh bien, bien sûr, la cerise sur le gâteau est le fait que deux certificats de protection des informations cryptographiques certifiés sur un ordinateur, en principe, ne s'entendent pas.

Ainsi, le manque de normalisation et de compatibilité entre les systèmes de protection des informations cryptographiques utilisés pour générer et vérifier les signatures électroniques qualifiées peut être ajouté en toute sécurité aux problèmes de la loi actuelle.

Le décret du gouvernement de la Fédération de Russie du 09.02.2012 N 111 «sur la signature électronique utilisée par les autorités exécutives et les autorités locales pour organiser l'interaction électronique entre elles, sur la procédure de son utilisation, ainsi que sur l'établissement des exigences pour assurer la compatibilité des moyens de signature électronique» ne compte pas, car il ne s'applique qu'à la coopération interinstitutions et ne donne en fait aucune précision.

Numéro 6 - Anciennes signatures

(c) Yandex.Photos

Demandons-nous ce qui arrivera au document signé par signature électronique dans 30 ans, et dans 100 ans? D'où viennent les dates? C'est simple: les transactions immobilières se caractérisent par la propriété à long terme d'un bien. C'est pourquoi 30 ans et 100 ans ne sont pas la limite. Par exemple, Alexandre II a vendu l'Alaska à l'Amérique en 1867, c'est-à-dire il y a 152 ans.

Mais revenons à la signature électronique. Du point de vue de la technologie, sa force repose sur les propriétés mathématiques des algorithmes cryptographiques qui la sous-tendent. Dans le même temps, la stabilité des algorithmes eux-mêmes ne repose que sur l'ignorance des méthodes efficaces pour les pirater. Loin du fait que ces méthodes ne le sont pas, ou qu'elles n'apparaîtront pas après 37 minutes. Par exemple, à l'ère de la vente de l'Alaska, le chiffre de Vizhener était considéré comme invulnérable, et maintenant les étudiants le cassent dans les premiers laboratoires de cryptographie.

La pile actuelle d'algorithmes cryptographiques utilisés pour la signature électronique en Russie est basée sur GOST R 34.10-2012 , GOST R 34.11-2012 , GOST 34.12-2015 et un nombre illimité de recommandations pour la normalisation et les algorithmes satellitaires . Que va-t-il leur arriver dans 30 ans? On pense que tout ne va pas bien avec eux en ce moment.

Le problème de vulnérabilité des algorithmes et des signatures électroniques n'est pas purement hypothétique. La pratique mondiale a déjà fait face à des choses similaires, par exemple, la vulnérabilité ROCA .

Ainsi, un autre problème de la loi est le manque de réglementation visant à maintenir la signification juridique à long terme des documents électroniques.

Problème numéro 7 - "attaque vers le futur"

(c) contes de cinéma d'Alexander Rowe

Cette attaque est peut-être un enjeu de tremble au cœur de la gestion électronique des documents, qui n'utilise qu'une signature électronique pour certifier les documents.

Le problème est qu'en manipulant la date de formation de la signature électronique, l'attaquant peut obtenir à la fois la reconnaissance d'une fausse signature et le déni de légitimité.

2 —

vs.

« », . , « » ( ).

, , .

, .

№ 1 (« »)

. , — , — «». , . , .

:

1. ( ), — , , .
2. . . , - , .
3. , , , . , , , .

. , , , . , :

• -, (, , ...) - : , .
• -, , .
• -, , / .

, . . , . , , , .

. , :

1. ( ).
2. , :
   • , ( );
   • , , .
3. ( ) 3 ( ) .

, . , . , , :

1. . , .
2. . , .
3. . , ( ?).

. , , — .

, SIM-, «».

№ 2 (« »)

La technologie PKI ne contient aucun moyen de limiter l'émission et l'utilisation de signatures électroniques. Il était entendu que si une personne n'en avait pas besoin, elle ne l'établit tout simplement pas. Si la signature électronique a été volée, son propriétaire contacte immédiatement le centre de certification et demande à être bloqué. La signature est bloquée en ajoutant le certificat de la clé de vérification de la signature à la liste des certificats révoqués (liste de révocation des certificats, ci-après - CRL ) avec la date et la raison du blocage.

Lors de la vérification de la signature électronique sous le document, la date de sa formation est analysée. Si cette date est postérieure ou égale à la date de blocage, alors la signature sur un tel document est invalide.

Ainsi, le CRL est un élément central de la technologie PKI chargé de faire confiance aux signatures électroniques émises. Il n'y a aucune possibilité d'influencer les signatures électroniques «inédites» via CRL.

Par conséquent, pour corriger le problème considéré dans la loi, la technologie PKI doit être développée davantage. De plus, ces améliorations devraient être effectuées en tenant compte de la compatibilité ascendante avec les systèmes de gestion électronique des documents existants et opérationnels.

Si dans l'ICP classique, l'arbre de confiance est issu de l'autorité de certification racine, alors dans le cas de l'ICP d'État, l'État est la source centrale de confiance. Il fournit une infrastructure de confiance au sein de laquelle existent des autorités de certification accréditées.

L'État en la personne de son organisme autorisé devrait accepter les demandes des citoyens (par exemple, par le biais du MFC ou des "Services d'État") contenant des restrictions sur la délivrance et des restrictions sur l'utilisation des signatures électroniques. Les données reçues devraient être consolidées dans la ressource d'information de l'État - «Le registre unifié des restrictions et interdictions sur l'utilisation des signatures électroniques».

Au niveau de la loi, les autorités de certification doivent être obligées de vérifier cette ressource pour les restrictions établies au moment de l'émission d'une signature électronique.

Si le registre interdit la délivrance de signatures électroniques, le centre de certification doit refuser d'émettre des candidats. Si le registre contient des restrictions sur l'utilisation des signatures électroniques, elles doivent être incluses dans la signature électronique de la clé de certificat du certificat émis.

À propos des restrictions sur l'utilisation des signatures électroniques doivent parler plus.
Le fait est que, malgré leur mention au paragraphe 4 de l'art. 11 63-FZ , en fait ce mécanisme ne fonctionne pas, car le cadre législatif actuel ne contient pas de documents divulguant le principe de son fonctionnement.

Nous corrigerons cet inconvénient et envisagerons l'une des options possibles pour mettre en œuvre des restrictions sur l'utilisation des signatures électroniques.

La première étape nous devons développer un modèle qui décrira les restrictions sur l'utilisation des signatures électroniques. Le plus approprié à ces fins serait un modèle d'accès discrétionnaire décrit à l'aide de listes de contrôle d'accès ( ACL ).

La liste de contrôle d'accès pour la signature électronique devrait contenir une liste des domaines dans lesquels la signature électronique peut être utilisée pour la certification de documents ou dans lesquels la signature est interdite. Le problème est de savoir quoi considérer ces «zones».

Idéalement, il devrait s'agir de systèmes d'information au sein desquels la gestion électronique des documents est effectuée. Mais cet idéal est inaccessible, car il nécessitera la création et la maintenance d'un registre mondial des systèmes d'information au sein de l'État. Si les systèmes d'information étatiques ou municipaux peuvent encore être pris en compte d'une manière ou d'une autre, les systèmes d'information des organisations commerciales ne peuvent en principe pas être comptabilisés - de nombreuses entreprises elles-mêmes ne savent pas quels systèmes fonctionnent pour elles.

À titre d'alternative, vous pouvez faire la distinction entre l'utilisation de signatures électroniques au niveau des sujets de relations juridiques, c'est-à-dire indiquer dans la signature électronique elle-même quelles entreprises (ainsi que des particuliers ou des organismes d'État) peuvent l'utiliser et pour lesquelles non. Les entités juridiques peuvent être identifiées à l'aide des données du registre d'État unifié des entités juridiques, par exemple, en fonction de la combinaison des valeurs TIN et OGRN. Un individu peut être identifié par la combinaison de TIN et SNILS.

Le mécanisme de contrôle d'accès ci-dessus (restrictions du registre d'État) est global dans tout l'espace de confiance formé par l'État. Les restrictions ci-dessus doivent être prises en compte par toutes les autorités de certification lors de l'émission de signatures électroniques.

Lors de la demande au centre de certification, le demandeur peut imposer des restrictions supplémentaires (privées) qui restreignent la portée de l'utilisation des signatures électroniques. Cela garantira l'émission de signatures électroniques avec différents domaines d'action, qui seront pertinentes pour la protection des signatures des fonctionnaires.

La fixation de restrictions mondiales sur l'utilisation des signatures électroniques devrait entraîner le rappel de toutes les signatures électroniques valides, dont la portée dépasse la portée de ce qui est autorisé.

Solution au problème n ° 3 («réception d'un avis de problème de signature électronique»)

Informer les citoyens sur la question des signatures électroniques sur eux est peut-être la plus simple de toutes les tâches décrites dans cet article. Il peut être résolu comme suit:

1. Les autorités de certification, délivrant une signature électronique, envoient une copie du certificat à l'organisme d'État autorisé.
2. L'organisme autorisé regroupe tous les certificats reçus dans la ressource d'information de l'État - «Le registre unifié des certificats qualifiés de clés de vérification de signature électronique».
3. Sujets de droit: personnes morales ou personnes physiques - pourront se renseigner sur la question des signatures électroniques sur celles-ci depuis le portail des services de l'État. Pour améliorer l'efficacité du portail, vous pouvez apporter des améliorations pour vous abonner aux notifications de ces événements.

Bien sûr, tout le monde n'a pas connecté les services de l'État, mais en même temps personne ne se soucie de les connecter, d'autant plus qu'il y aura une bonne raison.

Solution au problème n ° 4 («Règles d'utilisation du FCPE»)

© Yandex.Pictures

Les outils modernes de protection des informations cryptographiques ne peuvent fournir une protection adéquate que si un certain nombre de restrictions strictes sont prescrites dans la documentation technique. Par exemple, pour tous les outils de protection des informations cryptographiques exécutés sur un ordinateur Windows, l'exigence est définie pour effacer le fichier d'échange à l'arrêt. Le non-respect de cette exigence entraîne un risque de vol de clés de signature électronique pendant les périodes où l'ordinateur est éteint.

Mettre en œuvre ou non ces exigences - entièrement dans le domaine de responsabilité du signataire. Il est généralement impossible d'exercer un contrôle d'État approprié (puisque l'État est un fournisseur de confiance) sur sa conformité à ces exigences. Mais en même temps, si la signature a déjà été apposée, la méthode de sa formation ne devrait en aucun cas affecter sa reconnaissance et son statut.

Par conséquent, le cadre législatif devrait être modernisé de manière à minimiser le risque de refus de signer ou de changer de statut en raison de l'action (ou de l'inaction) du signataire. De tels changements sont attendus depuis longtemps, car les documents fondamentaux régissant l'utilisation des mesures de protection des informations cryptographiques ( PKZ-2005 , FAPSI 152 ) sont déjà obsolètes.

Solution au problème n ° 5 («Normalisation de la signature électronique»)

© Yandex.Pictures

La normalisation des moyens de signature électronique devrait garantir que les consommateurs ne se soucient pas de l'outil de protection des informations cryptographiques normalisé utilisé.

La normalisation devrait être:

1. Architecture et structure du FCPE.
2. Interfaces de programme appliquées (API) utilisées pour appeler les fonctions CIPF et interagir avec l'environnement de fonctionnement d'une installation de cryptographie (SFC).
3. Formats d'informations clés, répertoires de clés publiques, listes de certificats approuvés et révoqués, messages d'entrée et de sortie.
4. Porte-clés.
5. Algorithmes et protocoles associés.
6. Paramètres des algorithmes et protocoles cryptographiques.

Actuellement, les CIPF sont certifiés en 6 classes: KS1, KS2, KS2, KV1, KV2, KA1. Chaque classe définit uniquement les menaces auxquelles le système de protection des informations cryptographiques doit faire face, mais n'établit aucune exigence de compatibilité. En conséquence, deux crypto-monnaies, par exemple, de la classe KC1 sont absolument incompatibles l'une avec l'autre.

En conséquence, dans le cadre de la normalisation, des profils CIPF des classes correspondantes devraient être développés, mais avec des restrictions de compatibilité et en référence à un environnement d'exploitation spécifique. Par exemple, «Fournisseur cryptographique standardisé KC1, pour fonctionner dans le système d'exploitation Windows 10.»

Résolution des problèmes n ° 6 («anciennes signatures») et n ° 7 («attaque vers le futur»)

© Yandex.Pictures

Les problèmes des «anciennes» signatures, des algorithmes cryptographiques piratés et de la fraude avec les dates de signature des documents ne peuvent être résolus qu'avec l'aide de signatures électroniques.

Pour éliminer ces lacunes, il est nécessaire de s'abstenir de l'utilisation banale des signatures électroniques et d'examiner le problème du point de vue de la gestion électronique des documents juridiquement significative en général.

Ici, la protection fournie par les services d'un tiers de confiance peut être ajoutée à la protection fournie par la signature électronique. Ce n'est qu'avec l'aide de ces services qu'il est possible d'éliminer les problèmes indiqués.

Exemples de services tiers de confiance:

• un service d'horodatage qui vous permet de fixer de manière fiable la date de formation d'une signature électronique;
• un service de livraison de messages garanti qui vous permet d'établir de manière fiable le fait du transfert de documents entre les participants à la gestion électronique des documents;
• service de notaire électronique, qui met en œuvre les fonctions d'un notaire, mais en référence aux documents électroniques;
• le service d'archivage et de stockage à long terme des documents électroniques, qui permet d'assurer la signification juridique du document même dans des conditions de perte de résistance des algorithmes cryptographiques utilisés pour générer des signatures électroniques;
• et autres

De toute évidence, l'utilisation de ces services ne sera pas gratuite. Leur introduction généralisée en tant qu'exigences obligatoires peut nuire à la vulgarisation et à l'utilisation massive de la gestion électronique des documents juridiquement importante dans l'économie du pays. Ici, une approche différenciée est nécessaire, dans laquelle, en fonction de l'importance des documents signés, l'utilisation obligatoire de ces services est établie. Des exemples de documents particulièrement importants comprennent les documents sur les transactions immobilières, les décisions de justice, les actes législatifs, etc.

Postface

Nous avons donc rencontré certains des problèmes de la loi actuelle sur les signatures électroniques. Il y a beaucoup de problèmes, mais même dans cet article, nous n'avons pas pu tous les considérer. Cependant, nous n'avons parlé que d'une forme de signature électronique la plus importante - une signature électronique améliorée qualifiée.

Il est important de se demander si les signatures électroniques font plus de bien que de mal.

Subjectivement, de nombreux citoyens se méfient des signatures électroniques, considérant que tout ce qui se passe dans le monde numérique peut être facilement truqué. En partie à droite, mais quelle est l'alternative? Signature manuscrite et documents papier?

Si, à l'heure actuelle, on ne connaît que deux cas de vol d'appartements utilisant une signature électronique, le nombre de vols similaires commis à l'aide de documents papier traditionnels dépassera ce nombre d'un millier.

Notre idée de la durabilité d'une signature manuscrite est illusoire et frise l'auto-tromperie. Non seulement il peut être truqué par toute personne ayant une motricité fine plus ou moins développée des mains, mais il peut déjà être reproduit à l'aide d'une machine .

Malheureusement, il n'y a pas de protection absolument stable. Cela est vrai pour les signatures électroniques et manuscrites.

Plus la signature électronique sera utilisée massivement, plus ils essaieront de la falsifier (il est illégal de l'utiliser). C'est inévitable. Mais encore, le pourcentage d'utilisation légitime des signatures électroniques est nettement en avance sur le pourcentage d'illégaux, et l'effet positif de la loi dépasse le négatif.

Il est important de combler rapidement les «trous» dans la législation, en élevant constamment la barre des coûts pour que les cybercriminels commettent un crime. Dans le même temps, les loquets eux-mêmes doivent être faciles à mettre en œuvre et efficaces.

Matériel supplémentaire

• Répertoire de la législation russe sur la sécurité de l'information - les lois et règlements de base régissant la sécurité de l'information en Russie, y compris une signature électronique.
• Modèle de menace du FCPE - décrit les menaces liées au FCPE et à la non-répudiation de la signature électronique.
• Le blog de Natalia Khramtsova «Qui ne va pas de l'avant, revient» - beaucoup de documents sur les questions de signature électronique et de gestion électronique des documents.