संघीय कानून "इलेक्ट्रॉनिक हस्ताक्षर पर" (63-FZ) के साथ क्या गलत है, और इसे कैसे ठीक किया जाए

काम पर ड्राइंग मशीन, © axisdraw.com

रूस में एक इलेक्ट्रॉनिक हस्ताक्षर पहली बार जनवरी 2002 में “पहला इलेक्ट्रॉनिक डिजिटल हस्ताक्षर” ( 1-FZ ) को अपनाया गया था। फिर, 9 साल बाद, अप्रैल 2011 में, एक नया कानून "इलेक्ट्रॉनिक हस्ताक्षर पर" ( 63-FZ ) दिखाई दिया। एक और 8 साल बाद, 2019 की गर्मियों की शुरुआत में, मीडिया में चिलिंग प्रकाशनों के बारे में दिखाई देने लगा कि कैसे वे इलेक्ट्रॉनिक हस्ताक्षरों का उपयोग करके अपार्टमेंट चुराते हैं , कैसे धोखेबाज़ नागरिकों के लिए फर्जी कंपनियां पंजीकृत करते हैं , और इसी तरह आगे भी ।

आइए अनावश्यक भावनाओं के बिना मौजूदा समस्याओं को समझने की कोशिश करें और सोचें कि उन्हें कैसे ठीक किया जाए।

प्रस्तावना

• यह लेख केवल उन्नत योग्य इलेक्ट्रॉनिक हस्ताक्षरों (बाद में इलेक्ट्रॉनिक हस्ताक्षर के रूप में संदर्भित) पर केंद्रित होगा।
• जहाँ भी प्रमाणन प्राधिकरणों को संदर्भित किया जाता है, वे मान्यताप्राप्त प्रमाणीकरण प्राधिकारी होते हैं।
• धारणा को सरल बनाने के लिए, लेख आंशिक रूप से सख्त कानूनी अवधारणाओं के बजाय "लोकप्रिय" शब्दों का उपयोग करता है।

भाग 1 - विधान मुद्दे

समस्या नंबर 1 - प्रमाणन अधिकारियों द्वारा ग्राहकों की पहचान

© Yandex.Pictures

सूचना सुरक्षा के दृष्टिकोण से, लेख की शुरुआत में सूचीबद्ध सभी घटनाएं अपने ग्राहकों के प्रमाणन केंद्रों के कर्मचारियों द्वारा अपर्याप्त पहचान के परिणामस्वरूप हुईं। लेकिन यह उन संगठनों में क्यों हो रहा है जिनके लिए रूस के एफएसबी लाइसेंस और संचार मंत्रालय से उनके काम के लिए मान्यता की आवश्यकता है ?

इसका उत्तर सरल है: प्रमाणीकरण प्राधिकारी बेची गई इलेक्ट्रॉनिक हस्ताक्षर की संख्या से कमाते हैं। तंग ग्राहक पहचान प्रक्रियाओं से उनके मुनाफे में कमी आएगी।

सभी लोग चाहते हैं कि सब कुछ सरल, तेज, मुफ्त और सहज हो। जब ऐसा व्यक्ति प्रमाणन केंद्र से संपर्क करता है, तो वह तुरंत इलेक्ट्रॉनिक हस्ताक्षर प्राप्त करना चाहता है, ताकि वे चोरी न हों, और बिना किसी पासवर्ड या अन्य बकवास के। हस्ताक्षर प्राप्त करने वाला व्यक्ति, एक नियम के रूप में, यह खुद के लिए नहीं, बल्कि उस कंपनी के निदेशक या एकाउंटेंट के लिए प्राप्त करता है जहां वह काम करता है। हस्ताक्षर प्राप्त करने के अलावा, एक व्यक्ति के पास बहुत सारी चीजें हैं। यदि किसी व्यक्ति को बताया जाता है कि जिस पावर ऑफ अटॉर्नी के द्वारा वह हस्ताक्षर प्राप्त करना चाहता है, उसे नोटरीकृत किया जाना चाहिए, तो व्यक्ति इसे एक भयानक नौकरशाही मानता है। अगली बार, जब कोई व्यक्ति एक नया इलेक्ट्रॉनिक हस्ताक्षर प्राप्त करना चाहता है, तो वह दूसरे, अधिक "क्लाइंट-ओरिएंटेड" प्रमाणन केंद्र पर आवेदन करने का प्रयास करेगा।

इस प्रकार, हमें एक ऐसी स्थिति मिलती है जब ग्राहक की सख्त पहचान के लिए सही प्रमाणन केंद्र होना लाभदायक नहीं होता है। हमेशा इस मुद्दे से संबंधित एक और प्रमाणित केंद्र कम श्रद्धा से होगा, जो आलसी ग्राहकों को आकर्षित करेगा।

साइबर अपराधियों द्वारा नकली प्रमाण पत्र जारी करना किसी विशेष प्रमाणन केंद्र की समस्या नहीं है, बल्कि संघीय कानून के स्तर का एक व्यवस्थित संकट है। आप इससे भी अधिक कह सकते हैं - यह पीकेआई तकनीक की एक वैश्विक समस्या (उदाहरण यहां और यहां ) है, जो कानून को रेखांकित करती है।

समस्या नंबर 2 - इलेक्ट्रॉनिक हस्ताक्षर के उपयोग को प्रतिबंधित करना

इलेक्ट्रॉनिक हस्ताक्षर, किसी भी अन्य तकनीक की तरह, कुछ विकास चक्रों से गुजरते हैं। वर्तमान कानून "इलेक्ट्रॉनिक हस्ताक्षर पर" प्रौद्योगिकी लोकप्रियकरण के चरण का कानून है (इलेक्ट्रॉनिक हस्ताक्षर पहले से ही समाज द्वारा उपयोग किए जाते हैं, लेकिन उनकी पैठ अभी भी सार्वभौमिक से बहुत दूर है)। इसके परिणामस्वरूप, इलेक्ट्रॉनिक हस्ताक्षर की सुरक्षा की तुलना में कानून व्यापक चरित्र की ओर उन्मुख है।

इलेक्ट्रॉनिक हस्ताक्षर के उपयोग को प्रतिबंधित करने का एकमात्र तंत्र कला के अनुच्छेद 4 में दिया गया है । 11 63-एफजेड । यह विशेष रूप से बताता है कि हस्ताक्षरित कुंजी प्रमाणपत्र में निर्दिष्ट प्रतिबंधों के अनुसार एक योग्य इलेक्ट्रॉनिक हस्ताक्षर का उपयोग किया जाना चाहिए। दुर्भाग्य से, यह शब्दांकन इलेक्ट्रॉनिक हस्ताक्षर जारी करने और उपयोग पर पूरी तरह से प्रतिबंध नहीं लगाता है, जिसके परिणामस्वरूप जिन नागरिकों ने इसे जारी नहीं किया है, वे इलेक्ट्रॉनिक हस्ताक्षर से पीड़ित हैं (उदाहरण के लिए, लेख की शुरुआत में उद्धृत घटनाओं का शिकार)।

विशेष रूप से इलेक्ट्रॉनिक हस्ताक्षर के उपयोग पर प्रतिबंधों की तीव्र समस्या अधिकारियों को चिंतित करती है।

फिलहाल, वे नियोक्ता के हितों की खातिर व्यक्तिगत सुरक्षा का त्याग करने के लिए मजबूर हैं। यह, विशेष रूप से, इस तथ्य में प्रकट होता है कि कंपनी की जरूरतों को पूरा करने के लिए उन्हें जारी किए गए इलेक्ट्रॉनिक हस्ताक्षर का उपयोग उनके व्यक्तिगत हितों के खिलाफ किया जा सकता है, उदाहरण के लिए, रोसेरेस्टार में एक अपार्टमेंट को अवैध रूप से फिर से पंजीकृत करने के लिए।

समस्या इस तथ्य से जटिल है कि किसी अधिकारी के इलेक्ट्रॉनिक हस्ताक्षर तक पहुंचने वाले लोगों की संख्या को सीमित करना मुश्किल है और व्यावहारिक रूप से हस्ताक्षर के स्वामी की इच्छा पर निर्भर नहीं करता है। ऐसे लोगों के उदाहरण जिन्हें किसी अधिकारी के इलेक्ट्रॉनिक हस्ताक्षर के लिए उपलब्ध कराया जा सकता है, में शामिल हैं:

• क्रिप्टोग्राफ़िक सूचना सुरक्षा के साधन (CIP), इलेक्ट्रॉनिक हस्ताक्षर कुंजियों सहित क्रिप्टोग्राफ़िक कुंजियाँ जारी करने के लिए जिम्मेदार हैं;
• इलेक्ट्रॉनिक हस्ताक्षर का उपयोग करने के लिए सूचना प्रणाली स्थापित करने वाले आईटी कार्यकर्ता;
• संगठन का एक लेखा परीक्षा आयोजित करने वाले लेखा परीक्षक (उदाहरण के लिए, पेन्टेस्टर्स);
• संगठन के संबंध में नियंत्रण उपायों को करने वाले राज्य नियंत्रण निकायों के कर्मचारी;
• नियोक्ता कंपनी के खिलाफ परिचालन जांच उपायों का संचालन करने वाले कानून प्रवर्तन अधिकारी;
• दिवालियापन प्रबंधकों की एक टीम जो कंपनी का प्रबंधन करती है अगर उसने दिवालियापन कार्यवाही शुरू की है;
• और, दुख की बात है, अन्य व्यक्तियों।

समस्या 3 - प्राप्त इलेक्ट्रॉनिक हस्ताक्षर रिलीज़ सूचना

(c) m / f "प्रोस्टोकवाशिनो से तीन"

इलेक्ट्रॉनिक हस्ताक्षर का दुरुपयोग करने वाली घटनाएं इंटरनेट क्लाइंट बैंक प्रणाली के माध्यम से साइबर अपराधियों द्वारा किए गए साइबर चोरी के समान हैं। दोनों मामलों में, हमलावरों ने पीड़ित की प्रमाणीकरण जानकारी को जब्त कर लिया, उसकी ओर से कानूनी रूप से महत्वपूर्ण कार्रवाई की: उन्होंने खाते से पैसे निकाले, ऋण जारी किए, एक-दिवसीय फर्मों को पंजीकृत किया, आदि।

साइबर चोरी से होने वाले नुकसान को कम करने के प्रभावी तरीकों में से एक यह है कि बैंकों को अपने ग्राहकों को अपनी सुरक्षा के लिए लड़ने का अवसर प्रदान किया जाए। खाता लेनदेन पर अधिसूचना की सेवा का उपयोग करने वाला कोई भी ग्राहक (उदाहरण के लिए, एसएमएस-सूचना देने वाला) स्वतंत्र रूप से अनधिकृत ऑपरेशन का पता लगा सकता है और नुकसान को कम करने के लिए खाते को ब्लॉक कर सकता है।

इलेक्ट्रॉनिक हस्ताक्षर पर वर्तमान कानून सुरक्षा के ऐसे रूपों को प्रदान नहीं करता है। उनके नाम पर इलेक्ट्रॉनिक हस्ताक्षर के मुद्दे के मालिक को सूचित करने के लिए कोई तंत्र नहीं हैं।

समस्या संख्या 4 - CIPF का उपयोग करने के नियम

(c) यैंडेक्स.चित्र

इलेक्ट्रॉनिक हस्ताक्षर के उपयोग को नियंत्रित करने वाले वर्तमान कानूनी ढांचे में एक सुरक्षा आवश्यकता होती है जो अंततः विपरीत प्रभाव डाल सकती है और हस्ताक्षर को चुनौती देने के लिए एक मिसाल कायम कर सकती है। इसे क्रम में लेते हैं।

पारस 2. खण्ड 4, अनुच्छेद 5 63-- एक योग्य इलेक्ट्रॉनिक हस्ताक्षर के लिए आवश्यकताओं को स्थापित करता है: "इलेक्ट्रॉनिक हस्ताक्षर का उपयोग इलेक्ट्रॉनिक हस्ताक्षर बनाने और सत्यापित करने के लिए किया जाता है , जिसमें इस संघीय कानून के अनुसार स्थापित आवश्यकताओं के अनुपालन की पुष्टि होती है ।"

27 दिसंबर, 2011 एन 796 दिनांकित रूसी संघ के संघीय सुरक्षा सेवा के आदेश में इलेक्ट्रॉनिक हस्ताक्षर के लिए निर्दिष्ट आवश्यकताओं को परिभाषित किया गया है। इस दस्तावेज़ के अनुच्छेद 6 में कहा गया है कि इलेक्ट्रॉनिक हस्ताक्षर का अर्थ है (और यह एक क्रिप्टोग्राफ़िक सूचना सुरक्षा उपाय है) को PKZ-2005 के अनुसार संचालित किया जाना चाहिए। वहां, बदले में, यह दर्ज किया गया कि इलेक्ट्रॉनिक हस्ताक्षर साधन (CIP) को उनके (तकनीकी दस्तावेज) उपयोग करने के नियमों के अनुसार संचालित किया जाना चाहिए।

यह तुरंत इस सवाल को उठाता है कि क्या इलेक्ट्रॉनिक हस्ताक्षर को योग्य माना जाएगा यदि यह प्रमाणित क्रिप्टोग्राफिक सूचना सुरक्षा प्रमाणपत्र का उपयोग करके बनाया गया है, जो उपयोग की शर्तों (तकनीकी दस्तावेज) के पूर्ण अनुपालन में संचालित नहीं है।

विधान में इस प्रश्न का निश्चित उत्तर नहीं है। नतीजतन, रूसी कानूनी कार्यवाही की प्रतिस्पर्धा को देखते हुए, समान रूप से विरोधाभासी फैसले ऐसे मामलों में किए जाएंगे, जो अंततः इलेक्ट्रॉनिक हस्ताक्षर में विश्वास में कमी का कारण बन सकते हैं और यह प्रतिशोध के हमलों के प्रति अधिक संवेदनशील बना सकते हैं।

इस समस्या को समझने के लिए, हम उस स्थिति पर विचार करते हैं जो अक्सर तब होती है जब प्रमाणीकरण केंद्रों पर हस्ताक्षर कुंजियों के योग्य प्रमाण पत्र प्राप्त होते हैं। इसका सार यह है कि प्रमाण पत्र की वैधता अवधि 5 वर्ष और निजी कुंजी (विस्तार PrivateKeyUsagePeriod OID 2.5.29.16) की वैधता अवधि 1 वर्ष और 3 महीने पर निर्धारित की जा सकती है। सवाल यह उठता है कि क्या इस तरह के प्रमाणपत्र के अस्तित्व के 3 साल के लिए बनाए गए इलेक्ट्रॉनिक हस्ताक्षर को योग्य माना जाएगा।

समस्या संख्या 5 - इलेक्ट्रॉनिक हस्ताक्षर का मानकीकरण

(c) यैंडेक्स.चित्र

यदि आपने कभी राज्य के साथ कानूनी रूप से महत्वपूर्ण इलेक्ट्रॉनिक दस्तावेज़ प्रबंधन के कार्यान्वयन के लिए कंप्यूटर के कॉन्फ़िगरेशन का सामना किया है। अंगों, आप शायद नरक कि याद उठता है। क्रिप्टो प्रदाताओं, ब्राउज़रों और प्लगइन्स के जुगलिंग संस्करण, जिसके परिणामस्वरूप सिस्टम किसी भी तरह काम करना शुरू कर देता है, खुद को वैज्ञानिक स्पष्टीकरण के लिए उधार नहीं देता है। यह क्रिया एक शोमैन के नृत्य की तरह है, जो एक रात में एक तूफान, पृथ्वी और आग की आत्माओं को आह्वान करता है।

उसी समय, एक सफल सेटअप की खुशी जल्दी से एक भयानक अवसाद से बदल जाती है जब यह पता चलता है कि जिस कर्मचारी के लिए सेटअप किया गया था उसे दूसरे राज्य में रिपोर्ट भेजने की आवश्यकता है। अधिकार। और फिर इसकी अपनी क्रिप्टोग्राफिक सूचना सुरक्षा प्रणाली है, इसकी अपनी चाबियाँ हैं और सामान्य तौर पर, इसकी अपनी। खैर, निश्चित रूप से, केक पर चेरी तथ्य यह है कि एक कंप्यूटर पर दो प्रमाणित क्रिप्टोग्राफिक सूचना सुरक्षा प्रमाण पत्र, सिद्धांत रूप में, साथ नहीं मिलते हैं।

इस प्रकार, योग्य इलेक्ट्रॉनिक हस्ताक्षर उत्पन्न करने और सत्यापित करने के लिए उपयोग की जाने वाली क्रिप्टोग्राफिक सूचना सुरक्षा प्रणालियों के बीच मानकीकरण और संगतता की कमी को वर्तमान कानून की समस्याओं में सुरक्षित रूप से जोड़ा जा सकता है।

09.02.2012 एन 111 के रूसी संघ की सरकार का फरमान "कार्यकारी अधिकारियों और स्थानीय अधिकारियों द्वारा एक दूसरे के साथ इलेक्ट्रॉनिक बातचीत के आयोजन में उपयोग किए जाने वाले इलेक्ट्रॉनिक हस्ताक्षर पर, साथ ही इसके उपयोग के लिए प्रक्रिया पर, साथ ही इलेक्ट्रॉनिक हस्ताक्षर के साधनों की अनुकूलता सुनिश्चित करने के लिए आवश्यकताओं को स्थापित करने पर गणना नहीं करता है, चूंकि यह केवल अंतर-सहयोग सहयोग पर लागू होता है, और वास्तव में कोई भी विवरण नहीं देता है।

अंक 6 - पुराने हस्ताक्षर

(c) यैंडेक्स.चित्र

आइए पूछते हैं कि 30 वर्षों में इलेक्ट्रॉनिक हस्ताक्षर और 100 वर्षों में हस्ताक्षरित दस्तावेज़ का क्या होगा? तारीखें कहाँ से हैं? यह सरल है: अचल संपत्ति लेनदेन संपत्ति के दीर्घकालिक स्वामित्व की विशेषता है। इसीलिए 30 साल और 100 साल की सीमा नहीं है। उदाहरण के लिए, अलेक्जेंडर II ने अलास्का को 1867 में, यानी 152 साल पहले बेचा था।

लेकिन इलेक्ट्रॉनिक हस्ताक्षर पर वापस। प्रौद्योगिकी के दृष्टिकोण से, इसकी ताकत इसे अंतर्निहित क्रिप्टोग्राफिक एल्गोरिदम के गणितीय गुणों पर आधारित है। इसी समय, एल्गोरिदम की स्थिरता केवल उन्हें हैक करने के प्रभावी तरीकों की अज्ञानता पर आधारित है। इस तथ्य से बहुत दूर कि ये विधियां नहीं हैं, या कि वे 37 मिनट के बाद दिखाई नहीं देंगे। उदाहरण के लिए, अलास्का की बिक्री के युग में, विजनर के सिफर को अजेय माना जाता था, और अब छात्र इसे पहली क्रिप्टोग्राफी प्रयोगशालाओं में तोड़ रहे हैं।

रूस में इलेक्ट्रॉनिक हस्ताक्षर के लिए उपयोग किए जाने वाले क्रिप्टोग्राफिक एल्गोरिदम का वर्तमान स्टैक GOST R 34.10-2012 , GOST R 34.11-2012 , GOST 34.12-2015 और मानकीकरण और उपग्रह एल्गोरिदम के लिए असीमित संख्या में सिफारिशों पर आधारित है । 30 साल में उनका क्या होगा? यह माना जाता है कि अभी उनके साथ सब कुछ महान नहीं है ।

एल्गोरिदम और इलेक्ट्रॉनिक हस्ताक्षर में भेद्यता समस्या विशुद्ध रूप से काल्पनिक नहीं है। विश्व अभ्यास ने पहले ही समान चीजों का सामना किया है, उदाहरण के लिए, आरओसीए भेद्यता ।

इस प्रकार, कानून की एक और समस्या इलेक्ट्रॉनिक दस्तावेजों के दीर्घकालिक कानूनी महत्व को बनाए रखने के उद्देश्य से नियमन की कमी है।

समस्या संख्या 7 - "भविष्य में वापस हमला"

(c) अलेक्जेंडर रोवे द्वारा फिल्मी किस्से

यह हमला, शायद, इलेक्ट्रॉनिक दस्तावेज़ प्रबंधन के दिल में एक बड़ी हिस्सेदारी है, जो दस्तावेजों को प्रमाणित करने के लिए केवल एक इलेक्ट्रॉनिक हस्ताक्षर का उपयोग करता है।

समस्या यह है कि, इलेक्ट्रॉनिक हस्ताक्षर के गठन की तारीख में हेरफेर करके, हमलावर एक नकली हस्ताक्षर की मान्यता और वैधता के इनकार दोनों को प्राप्त कर सकता है।

2 —

vs.

« », . , « » ( ).

, , .

, .

№ 1 (« »)

. , — , — «». , . , .

:

1. ( ), — , , .
2. . . , - , .
3. , , , . , , , .

. , , , . , :

• -, (, , ...) - : , .
• -, , .
• -, , / .

, . . , . , , , .

. , :

1. ( ).
2. , :
   • , ( );
   • , , .
3. ( ) 3 ( ) .

, . , . , , :

1. . , .
2. . , .
3. . , ( ?).

. , , — .

, SIM-, «».

№ 2 (« »)

पीकेआई तकनीक में इलेक्ट्रॉनिक हस्ताक्षर जारी करने और उपयोग को सीमित करने के तरीके शामिल नहीं हैं। यह समझा गया था कि अगर किसी व्यक्ति को इसकी आवश्यकता नहीं है, तो वह बस इसे आकर्षित नहीं करता है। यदि इलेक्ट्रॉनिक हस्ताक्षर चोरी हो गया था, तो उसके मालिक तुरंत प्रमाणन केंद्र से संपर्क करते हैं और अवरुद्ध होने के लिए कहते हैं। हस्ताक्षर की सत्यापन कुंजी के प्रमाण पत्र की प्रमाण पत्र की सूची को जोड़कर हस्ताक्षर को अवरुद्ध किया गया है (प्रमाणपत्र निरस्तीकरण सूची, इसके बाद - सीआरएल ) अवरुद्ध करने की तारीख और कारण के साथ।

दस्तावेज़ के तहत इलेक्ट्रॉनिक हस्ताक्षर के सत्यापन के समय, इसके गठन की तारीख का विश्लेषण किया जाता है। यदि यह तारीख बाद में अवरुद्ध करने की तारीख से अधिक या बराबर है, तो ऐसे दस्तावेज़ पर हस्ताक्षर अमान्य है।

इस प्रकार, CRL जारी किए गए इलेक्ट्रॉनिक हस्ताक्षरों पर भरोसा करने के लिए जिम्मेदार PKI प्रौद्योगिकी का एक केंद्रीय तत्व है। CRL के माध्यम से "असंबंधित" इलेक्ट्रॉनिक हस्ताक्षरों को प्रभावित करने का कोई अवसर नहीं है।

इसलिए, कानून में मानी गई समस्या को ठीक करने के लिए, पीकेआई तकनीक को और विकसित करने की आवश्यकता है। इसके अलावा, इन सुधारों को मौजूदा और काम कर रहे इलेक्ट्रॉनिक दस्तावेज़ प्रबंधन प्रणालियों के साथ पिछड़ी अनुकूलता को ध्यान में रखते हुए किया जाना चाहिए।

यदि शास्त्रीय PKI में ट्रस्ट ट्री रूट प्रमाणीकरण प्राधिकरण से विकसित हुआ, तो राज्य PKI के मामले में, राज्य ट्रस्ट का केंद्रीय स्रोत है। यह एक ट्रस्ट इंफ्रास्ट्रक्चर प्रदान करता है जिसके भीतर मान्यताप्राप्त प्रमाणन प्राधिकरण मौजूद हैं।

अपने अधिकृत निकाय के व्यक्ति के राज्य को नागरिकों से आवेदन स्वीकार करना चाहिए (उदाहरण के लिए, MFC या "राज्य सेवाओं" के माध्यम से) जिसमें इलेक्ट्रॉनिक हस्ताक्षर के उपयोग पर प्रतिबंध और प्रतिबंध शामिल हैं। प्राप्त आंकड़ों को राज्य सूचना संसाधन में समेकित किया जाना चाहिए - "इलेक्ट्रॉनिक हस्ताक्षर के उपयोग पर प्रतिबंधों और प्रतिबंधों का एकीकृत रजिस्टर"।

कानून के स्तर पर, प्रमाणीकरण अधिकारियों को इलेक्ट्रॉनिक हस्ताक्षर जारी करने के समय स्थापित प्रतिबंधों के लिए इस संसाधन को सत्यापित करने के लिए बाध्य होना चाहिए।

यदि रजिस्ट्री इलेक्ट्रॉनिक हस्ताक्षर जारी करने पर रोक लगाती है, तो प्रमाणन केंद्र को आवेदकों को जारी करने से इनकार करना चाहिए। यदि रजिस्ट्री में इलेक्ट्रॉनिक हस्ताक्षर के उपयोग पर प्रतिबंध है, तो उन्हें जारी किए गए प्रमाण पत्र कुंजी इलेक्ट्रॉनिक हस्ताक्षर में शामिल किया जाना चाहिए।

इलेक्ट्रॉनिक हस्ताक्षर के उपयोग पर प्रतिबंध के बारे में अधिक बात करने की आवश्यकता है।
तथ्य यह है कि, कला के पैरा 4 में उनके उल्लेख के बावजूद । 11 63-एफजेड , वास्तव में यह तंत्र काम नहीं कर रहा है, क्योंकि वर्तमान विधायी ढांचे में इसके संचालन के सिद्धांत का खुलासा करने वाले दस्तावेज शामिल नहीं हैं।

हम इस खामी को सही करेंगे और इलेक्ट्रॉनिक हस्ताक्षर के उपयोग पर प्रतिबंध लागू करने के संभावित विकल्पों में से एक पर विचार करेंगे।

पहला कदम हमें एक मॉडल विकसित करने की आवश्यकता है जो इलेक्ट्रॉनिक हस्ताक्षर के उपयोग पर प्रतिबंध का वर्णन करेगा। इन उद्देश्यों के लिए सबसे उपयुक्त एक विवेकाधीन एक्सेस मॉडल होगा जिसे एक्सेस कंट्रोल लिस्ट ( एसीएल ) का उपयोग करके वर्णित किया गया है।

इलेक्ट्रॉनिक हस्ताक्षर के लिए अभिगम नियंत्रण सूची में उन क्षेत्रों की एक सूची होनी चाहिए जिसमें इलेक्ट्रॉनिक हस्ताक्षर को दस्तावेजों के प्रमाणीकरण के लिए उपयोग करने की अनुमति है या जिसमें हस्ताक्षर का उपयोग करने के लिए निषिद्ध है। समस्या यह है कि इन "क्षेत्रों" पर विचार किया जाए।

आदर्श रूप में, यह सूचना प्रणाली होनी चाहिए जिसके भीतर इलेक्ट्रॉनिक दस्तावेज़ प्रबंधन किया जाता है। लेकिन यह आदर्श अप्राप्य है, क्योंकि इसके लिए राज्य के भीतर सूचना प्रणालियों की वैश्विक रजिस्ट्री के निर्माण और रखरखाव की आवश्यकता होगी। यदि राज्य या नगरपालिका सूचना प्रणाली को अभी भी किसी भी तरह से ध्यान में रखा जा सकता है, तो वाणिज्यिक संगठनों की सूचना प्रणाली सिद्धांत रूप में लेखांकन के लिए उत्तरदायी नहीं हैं - कई कंपनियां खुद नहीं जानती हैं कि कौन सी प्रणाली उनके लिए काम करती है।

एक विकल्प के रूप में, आप कानूनी संबंधों के विषयों के स्तर पर इलेक्ट्रॉनिक हस्ताक्षर के उपयोग के बीच अंतर कर सकते हैं, अर्थात्, इलेक्ट्रॉनिक हस्ताक्षर में ही संकेत देते हैं कि कौन सी कंपनियां (साथ ही व्यक्ति या राज्य निकाय) इसका उपयोग कर सकती हैं और जिसके लिए नहीं। टीआईएन और ओजीआर मान के संयोजन के अनुसार, कानूनी संस्थाओं के एकीकृत राज्य रजिस्टर से डेटा का उपयोग करके कानूनी संस्थाओं की पहचान की जा सकती है। एक व्यक्ति को टिन और एसएनआईएलएस के संयोजन से पहचाना जा सकता है।

एक्सेस कंट्रोल का उपरोक्त तंत्र (राज्य रजिस्ट्री से प्रतिबंध) राज्य द्वारा गठित ट्रस्ट स्पेस में वैश्विक है। किसी भी इलेक्ट्रॉनिक हस्ताक्षर को जारी करते समय सभी प्रमाणन अधिकारियों द्वारा उपरोक्त प्रतिबंधों को ध्यान में रखा जाना चाहिए।

प्रमाणन केंद्र में आवेदन करते समय, आवेदक अतिरिक्त (निजी) प्रतिबंध लगा सकता है जो इलेक्ट्रॉनिक हस्ताक्षर के उपयोग के दायरे को कम करता है। यह कार्रवाई के विभिन्न क्षेत्रों के साथ इलेक्ट्रॉनिक हस्ताक्षर जारी करना सुनिश्चित करेगा, जो अधिकारियों के हस्ताक्षर के संरक्षण के लिए प्रासंगिक होगा।

इलेक्ट्रॉनिक हस्ताक्षरों के उपयोग पर वैश्विक प्रतिबंध लगाने से सभी वैध इलेक्ट्रॉनिक हस्ताक्षरों को वापस बुलाना चाहिए, जिसका दायरा अनुमति के दायरे से बाहर है।

समस्या नंबर 3 का समाधान ("इलेक्ट्रॉनिक हस्ताक्षर मुद्दे की सूचना प्राप्त करना")

नागरिकों को उन पर इलेक्ट्रॉनिक हस्ताक्षर जारी करने के बारे में सूचित करना शायद इस लेख में दिए गए सभी कार्यों में सबसे सरल है। इसे निम्नानुसार हल किया जा सकता है:

1. प्रमाणन प्राधिकारी, एक इलेक्ट्रॉनिक हस्ताक्षर जारी करते हुए, अधिकृत राज्य निकाय को प्रमाणपत्र की एक प्रति भेजते हैं।
2. अधिकृत निकाय सभी प्राप्त प्रमाणपत्रों को राज्य सूचना संसाधन में समेकित करता है - "इलेक्ट्रॉनिक हस्ताक्षर सत्यापन कुंजी के योग्य प्रमाणपत्रों का एकीकृत रजिस्टर"।
3. कानून के विषय: कानूनी संस्थाएं या व्यक्ति - राज्य सेवा पोर्टल से उन पर इलेक्ट्रॉनिक हस्ताक्षर के मुद्दे के बारे में पता लगाने में सक्षम होंगे। पोर्टल की दक्षता में सुधार करने के लिए, आप इन घटनाओं के लिए सूचनाओं की सदस्यता के लिए सुधार कर सकते हैं।

बेशक, सभी ने स्टेट सर्विसेज को कनेक्ट नहीं किया है, लेकिन एक ही समय में उन्हें कनेक्ट करने के लिए कोई भी परेशान नहीं करता है, और सभी एक अच्छा कारण होगा।

समस्या नंबर 4 का समाधान ("CIPF का उपयोग करने के लिए नियम")

© Yandex.Pictures

आधुनिक क्रिप्टोग्राफिक सूचना सुरक्षा उपकरण केवल पर्याप्त सुरक्षा प्रदान कर सकते हैं यदि तकनीकी दस्तावेज में कई सख्त प्रतिबंध निर्धारित हैं। उदाहरण के लिए, विंडोज-आधारित कंप्यूटर पर चलने वाले सभी क्रिप्टोग्राफिक सूचना सुरक्षा उपकरणों के लिए, शटडाउन पर पृष्ठ फ़ाइल को खाली करने के लिए आवश्यकता निर्धारित की जाती है। इस आवश्यकता का पालन करने में विफलता के कारण कंप्यूटर बंद होने के दौरान इलेक्ट्रॉनिक हस्ताक्षर कुंजी की चोरी का खतरा होता है।

इन आवश्यकताओं को लागू करने के लिए या नहीं - पूरी तरह से हस्ताक्षरकर्ता की जिम्मेदारी के क्षेत्र में। इन आवश्यकताओं के अनुपालन पर उचित राज्य नियंत्रण (चूंकि राज्य एक ट्रस्ट प्रदाता है) का उपयोग करना आम तौर पर असंभव है। लेकिन एक ही समय में, यदि हस्ताक्षर पहले ही डाल दिया गया है, तो इसके गठन की विधि किसी भी तरह से इसकी मान्यता और स्थिति को प्रभावित नहीं करना चाहिए।

इसलिए, विधायी ढांचे को इस तरह से आधुनिक बनाया जाना चाहिए, ताकि हस्ताक्षरकर्ता की कार्रवाई (या निष्क्रियता) के कारण उसकी स्थिति पर हस्ताक्षर करने या बदलने से इनकार करने के जोखिम को कम किया जा सके। क्रिप्टोग्राफिक सूचना संरक्षण उपायों ( पीकेजेड -2005 , एफएपीएसआई 152 ) के उपयोग को नियंत्रित करने वाले मूलभूत दस्तावेजों के अप्रचलित होने के बाद से इस तरह के बदलाव लंबे समय से अधिक हैं।

समस्या नंबर 5 का समाधान ("इलेक्ट्रॉनिक हस्ताक्षर का मानकीकरण")

© Yandex.Pictures

इलेक्ट्रॉनिक हस्ताक्षर के मानकीकरण का मतलब यह सुनिश्चित करना चाहिए कि उपभोक्ताओं को परवाह नहीं है कि कौन से मानकीकृत क्रिप्टोग्राफिक सूचना सुरक्षा उपकरण का उपयोग किया जाता है।

मानकीकरण होना चाहिए:

1. वास्तुकला और CIPF की संरचना।
2. एप्लाइड प्रोग्राम इंटरफेसेस (एपीआई) CIPF फ़ंक्शंस को आमंत्रित करने और एक क्रिप्टो सुविधा (SFC) के कामकाज के वातावरण के साथ बातचीत करने के लिए उपयोग किया जाता है।
3. प्रमुख जानकारी, सार्वजनिक कुंजी निर्देशिका, विश्वसनीय और निरस्त प्रमाण पत्र, इनपुट और आउटपुट संदेशों की सूची।
4. प्रमुख वाहक।
5. संबंधित एल्गोरिदम और प्रोटोकॉल।
6. क्रिप्टोग्राफिक एल्गोरिदम और प्रोटोकॉल के पैरामीटर।

फिलहाल, CIPF को 6 वर्गों में प्रमाणित किया गया है: KS1, KS2, KS2, KV1, KV2, KA1। प्रत्येक वर्ग केवल खतरों को परिभाषित करता है कि क्रिप्टोग्राफिक सूचना सुरक्षा प्रणाली का सामना करना होगा, लेकिन कोई अनुकूलता आवश्यकताओं को स्थापित नहीं करता है। परिणामस्वरूप, केसी 1 की दो क्रिप्टोकरेंसी, एक दूसरे के साथ बिल्कुल असंगत हैं।

तदनुसार, मानकीकरण के ढांचे के भीतर, संबंधित वर्गों के सीआईपीएफ प्रोफाइल विकसित किए जाने चाहिए, लेकिन संगतता पर प्रतिबंध और एक विशिष्ट ऑपरेटिंग वातावरण के संदर्भ में। उदाहरण के लिए, "विंडोज 10 ऑपरेटिंग सिस्टम में काम करने के लिए मानकीकृत क्रिप्टोग्राफिक प्रदाता KC1।"

समस्याओं का समाधान नंबर 6 ("पुराने हस्ताक्षर") और नंबर 7 ("भविष्य में वापस हमला")

© Yandex.Pictures

“पुराने” हस्ताक्षरों, हैक किए गए क्रिप्टोग्राफ़िक एल्गोरिदम और हस्ताक्षर दस्तावेजों की तारीखों के साथ धोखाधड़ी की समस्याओं को केवल इलेक्ट्रॉनिक हस्ताक्षर की सहायता से हल नहीं किया जा सकता है।

इन कमियों को खत्म करने के लिए, इलेक्ट्रॉनिक हस्ताक्षरों के प्रतिबंध के उपयोग से अमूर्त करना और सामान्य रूप से कानूनी रूप से महत्वपूर्ण इलेक्ट्रॉनिक दस्तावेज़ प्रबंधन के दृष्टिकोण से समस्या को देखना आवश्यक है।

यहां, एक विश्वसनीय तृतीय पक्ष की सेवाओं द्वारा प्रदान की गई सुरक्षा को इलेक्ट्रॉनिक हस्ताक्षर द्वारा प्रदान की गई सुरक्षा में जोड़ा जा सकता है। केवल इन सेवाओं की मदद से संकेतित समस्याओं को समाप्त करना संभव है।

विश्वसनीय तृतीय पक्ष सेवाओं के उदाहरणों में शामिल हैं:

• एक टाइम स्टैम्प सेवा जो आपको इलेक्ट्रॉनिक हस्ताक्षर के निर्माण की तारीख निर्धारित करने की अनुमति देती है;
• एक गारंटीकृत संदेश वितरण सेवा जो आपको इलेक्ट्रॉनिक दस्तावेज़ प्रबंधन में प्रतिभागियों के बीच दस्तावेजों के हस्तांतरण के तथ्य को मज़बूती से स्थापित करने की अनुमति देती है;
• इलेक्ट्रॉनिक नोटरी सेवा, जो नोटरी के कार्यों को लागू करती है, लेकिन इलेक्ट्रॉनिक दस्तावेजों के संदर्भ में;
• इलेक्ट्रॉनिक दस्तावेजों के संग्रह और दीर्घकालिक भंडारण की सेवा, जो इलेक्ट्रॉनिक हस्ताक्षर उत्पन्न करने के लिए उपयोग किए जाने वाले क्रिप्टोग्राफिक एल्गोरिदम की ताकत के नुकसान की स्थिति में भी दस्तावेज़ के कानूनी महत्व को सुनिश्चित करने की अनुमति देता है;
• और अन्य

जाहिर है, इन सेवाओं का उपयोग मुफ्त नहीं होगा। अनिवार्य आवश्यकताओं के रूप में उनका व्यापक परिचय देश की अर्थव्यवस्था में कानूनी रूप से महत्वपूर्ण इलेक्ट्रॉनिक दस्तावेज़ प्रबंधन के लोकप्रियकरण और बड़े पैमाने पर उपयोग को प्रतिकूल रूप से प्रभावित कर सकता है। यहां, एक विभेदित दृष्टिकोण की आवश्यकता होती है, जिसमें हस्ताक्षरित दस्तावेजों के महत्व के आधार पर, इन सेवाओं का अनिवार्य उपयोग स्थापित किया जाता है। विशेष रूप से महत्वपूर्ण दस्तावेजों के उदाहरणों में अचल संपत्ति लेनदेन, अदालत के फैसले, विधायी कार्य आदि पर दस्तावेज शामिल हैं।

अंतभाषण

इसलिए, हमने मौजूदा कानून "इलेक्ट्रॉनिक हस्ताक्षर" में कुछ समस्याओं के साथ मुलाकात की। कई समस्याएं हैं, लेकिन इस लेख में भी हम उन सभी पर विचार करने में सक्षम नहीं थे। हमने केवल एक के बारे में बात की, हालांकि, इलेक्ट्रॉनिक हस्ताक्षर का सबसे महत्वपूर्ण रूप है - एक योग्य बढ़ाया इलेक्ट्रॉनिक हस्ताक्षर।

यह पूछना महत्वपूर्ण है कि क्या इलेक्ट्रॉनिक हस्ताक्षर नुकसान से अधिक अच्छा करते हैं।

विशेष रूप से, कई नागरिक इलेक्ट्रॉनिक हस्ताक्षर द्वारा अविश्वास करते हैं, यह देखते हुए कि डिजिटल दुनिया में जो कुछ भी हो रहा है वह आसानी से नकली हो सकता है। आंशिक रूप से ही सही, लेकिन विकल्प क्या है? हस्तलिखित हस्ताक्षर और कागज दस्तावेज़?

यदि इस समय इलेक्ट्रॉनिक हस्ताक्षर का उपयोग करने वाले अपार्टमेंट की चोरी के केवल दो मामलों के बारे में जाना जाता है, तो पारंपरिक पेपर दस्तावेजों का उपयोग करने वाले समान चोरी की संख्या इस संख्या को एक हजार के कारक से अधिक हो जाएगी।

हस्तलिखित हस्ताक्षर के स्थायित्व का हमारा विचार भ्रम है और आत्म-धोखे पर सीमाएं हैं। न केवल हाथों के अधिक या कम विकसित मोटर कौशल के साथ किसी भी व्यक्ति द्वारा इसे फीका किया जा सकता है, इसलिए इसे पहले से ही एक मशीन का उपयोग करके पुन: पेश किया जा सकता है।

दुर्भाग्य से, कोई स्थिर सुरक्षा नहीं है। यह इलेक्ट्रॉनिक और हस्तलिखित हस्ताक्षर दोनों के लिए सही है।

अधिक बड़े पैमाने पर इलेक्ट्रॉनिक हस्ताक्षर का उपयोग किया जाएगा, अधिक बार वे इसे गलत साबित करने की कोशिश करेंगे (इसका उपयोग करना अवैध है)। यह अपरिहार्य है। लेकिन फिर भी, इलेक्ट्रॉनिक हस्ताक्षर के वैध उपयोग का प्रतिशत अवैध के प्रतिशत से काफी आगे है, और कानून का सकारात्मक प्रभाव नकारात्मक से अधिक है।

कानून में "छेद" को जल्दी से पैच करना महत्वपूर्ण है, लगातार अपराध करने वाले साइबर अपराधियों के लिए लागत का बार उठाते हुए। एक ही समय में, कुंडी खुद को लागू करने में आसान और प्रभावी होना चाहिए।

अतिरिक्त सामग्री

• सूचना सुरक्षा पर रूसी कानून की निर्देशिका - रूस में सूचना सुरक्षा को नियंत्रित करने वाले मुख्य कानून और नियम, जिनमें इलेक्ट्रॉनिक हस्ताक्षर शामिल हैं।
• CIPF थ्रेट मॉडल - CIPF के संबंध में खतरों का वर्णन करता है और इलेक्ट्रॉनिक हस्ताक्षर की गैर-अस्वीकृति।
• नतालिया खरमत्सोवा का ब्लॉग "जो आगे नहीं बढ़ता है, वापस चला जाता है" - इलेक्ट्रॉनिक हस्ताक्षर और इलेक्ट्रॉनिक दस्तावेज़ प्रबंधन के मुद्दों पर बहुत सारी सामग्री।