Банковским клиентам усилят подписи (Коммерсантъ)

Законодатели готовят поправки, согласно которым граждане смогут давать в электронном виде разрешение на обработку персональных данных банкам и страховщикам только с помощью усиленной электронной подписи. При этом в ходе соответствующего эксперимента на протяжении трех лет использовалась простая электронная подпись, которая имеется более чем у ста миллионов россиян. Изменение этой подписи на усиленную, по мнению участников рынка, снизит конверсию до 10–15%, что делает использование цифрового профиля гражданина неинтересным для коммерческих организаций.

По словам директора технического департамента RTM Group Федора Музалевского, ПЭП ЕСИА выдается фактически в МФЦ. По его словам, можно разрешить и ПЭП ЕСИА для доступа к персональным данным, как минимум, в целях популяризации такого вида подписи. «Слабее она только теоретически, практические векторы атаки на данный вид простой подписи пока не реализованы»,— уверен он. 

Очень странный вывод, простая электронная подпись, это, например, логин-пароль, как можно это сравнивать с криптографией? И теоретически, и практически простая ЭП слабее усиленной.

Небольшой ролик о PKI-Форуме 2022

Росприроднадзор и ЭЦП

В международный день защиты персональных данных порассуждаем об УЦ и персональных данных

Должны ли государственные УЦ брать с получателей сертификатов согласия на обработку персональных данных?

Условия обработки персональных данных описаны в статье 6 152-ФЗ, первый пункт - обработка ПДн осуществляется с согласия субъекта на обработку его ПДн. Смотрим четвертый пункт - обработка ПДн необходима для исполнения полномочий федеральных органов исполнительной власти.

Аккредитация в силу федерального закона - полномочие ФОИВ в части реализации функций аккредитованного УЦ.
По мнению канала, согласно 152-ФЗ согласие может не браться, т.к. ФОИВ осуществляет обработку ПДн для исполнения своего полномочия. При этом объём обрабатываемых ПДн должен соответствовать 63-ФЗ.

И ещё одно рассуждение о ПДн.
1 марта 2022 г. вступил в силу приказ Минцифры России № 1138 (заменил 436 приказ).
Данный приказ говорит, что "Аккредитованный УЦ обязан предоставлять безвозмездно любому лицу по его обращению сведения, содержащиеся в реестре квалифицированных сертификатов, в том числе информацию об аннулировании сертификата". Данная норма появилась не сама по себе, она следует из части 3 статьи 15 63-ФЗ - АУЦ обязан обеспечить любому лицу безвозмездный доступ с использованием информационно-телекоммуникационных сетей, в том числе сети "Интернет", к реестру квалифицированных сертификатов этого аккредитованного удостоверяющего центра в любое время в течение срока деятельности этого удостоверяющего центра, если иное не установлено федеральными законами или принимаемыми в соответствии с ними нормативными правовыми актами.

Должен ли быть данный реестр общедоступным?
Наш канал придерживается мнения, что нет, сведения в реестре сертификатов являются защищаемыми, и данную часть 63-ФЗ нужно рассматривать в совокупности с требованиями федеральных законов 152-ФЗ и 149-ФЗ, т.к. "иное" и установлено данными федеральными законами.

А какие мнения у подписчиков канала?

Информация для операторов ЭДО - ФНС России внесены изменения в Унифицированный формат транспортного контейнера при информационном взаимодействии с приемными комплексами налоговых органов по телекоммуникационным каналам связи с использованием электронной подписи, утвержденный приказом ФНС России от 09.11.2010 № ММВ-7-6/535@

Поправки внесены приказом ФНС России от 26.01.2023 N БС-7-26/55@ в целях обеспечения унификации электронного документооборота между налогоплательщиками и налоговыми органами по телекоммуникационным каналам связи с использованием усиленной квалифицированной электронной подписи (технологический процесс 103.06.02.02.0010 "Прием и обработка документов, представленных в налоговые органы в электронной форме по телекоммуникационным каналам связи с применением усиленной квалифицированной электронной подписи")

"Не прошло и кода: банки и МФО опасаются запрета на кредитование с помощью СМС
Рынок дистанционной выдачи заемных средств ждут радикальные изменения и реформа подхода к кибербезопасности" - большая статья газеты "Известия", в которой затрагивается использование простой электронной подписи

Банкиры и микрофинансисты всерьез опасаются отмены использования простой электронной подписи (ПЭП) — кода подтверждения, который клиент получает в СМС при выдаче кредитов и займов. Такой поворот фактически ставит под вопрос существование рынка дистанционных заимствований, который держится именно на простоте. Об этом «Известиям» сообщили в ряде организаций. 13 января президент поручил рассмотреть возможность создания механизма выплат компенсации клиентам, пострадавшим от мошенников, а уже через четыре дня Верховный суд признал ничтожным кредит, который был заключен дистанционно мошенниками. Опрошенные «Известиями» эксперты считают, что этот прецедент приведет к радикальным переменам на рынке дистанционного кредитования. При этом все они сходятся во мнении, что проблему нужно решать, и решать комплексно. Одним из важнейших элементов может стать самозапрет на кредиты, который планируется сделать нормой закона.

— Сейчас, как и раньше, идет некое противостояние между удобством и безопасностью. ПЭП в виде СМС тоже служит таким камнем преткновения. С одной стороны, в некоторых случаях она может заменять собственноручную подпись, с другой, такой способ может быть скомпрометирован получением несанкционированного доступа к мобильному устройству или дублированием SIM-карты, — сказала эксперт по кибербезопасности.

Небольшой квест для УЦ, использующих ПАК КриптоПро

Когда сказали актуализировать информацию, но не сказали как.

Расписывать тут нечего, по картинке всё видно. Один аккредитованный УЦ вместо того, чтобы актуализировать реквизиты сертификата соответствия на средство УЦ - указал данные реквизиты в средстве ЭП. В итоге расширение заполнено с нарушением 795 приказа ФСБ - в средстве ЭП реквизиты средства УЦ (сертификаты на средство ЭП начинаются с СФ/124), а в средстве УЦ истекший сертификат.

Название УЦ говорить не будем. Сколько было выдано сертификатов с некорректными значениями сказать сложно можно, не менее 50 тыс.