Всем привет! Последнее время в автоматизации документооборота все большую роль играет цифровая подпись, о которой очень много говорят, но к сожалению намного меньше используют.
И вот возникает такой вопрос, в связи с проектированием одной системы:
Кто отвечает за то что закрытый ключ украден и незаконно использован с помошью уязвимостей, например Win9x? С одной стороны пользователь не может нести ответственность, потому что (keyloggerы, pwl, грязный хак и проч.) С другой стороны кто тогда несет ответвенность — программист?
Кстати кто-нибудь внедрял систему документооборота, заменяющую поток бумажных заявлений, служебных записок, платежек и прочего), когда руководство ставило цифровую подпись и бухгалтерия это принимала? Поделитесь, пожалуйста, впечатлениями и опытом

Hello, "VinMike"
> Всем привет! Последнее время в автоматизации документооборота все большую роль играет цифровая подпись, о которой очень много говорят, но к сожалению намного меньше используют.
> И вот возникает такой вопрос, в связи с проектированием одной системы:
> Кто отвечает за то что закрытый ключ украден и незаконно использован с помошью уязвимостей, например Win9x? С одной стороны пользователь не может нести ответственность, потому что (keyloggerы, pwl, грязный хак и проч.) С другой стороны кто тогда несет ответвенность — программист?

Если уязвимость в Win9x, то бьют системных администраторов за несвоевременную установку SecurityUpdate-ов.
Саму же систему можно спроектировать так, что-бы программист никогда не имел доступа к закрытому ключу пользователя

Hello, VinMike!
You wrote on Sat, 11 Oct 2003 12:57:28 GMT:

V> Всем привет! Последнее время в автоматизации документооборота все
V> большую роль играет цифровая подпись, о которой очень много говорят,
V> но к сожалению намного меньше используют. И вот возникает такой
V> вопрос, в связи с проектированием одной системы: Кто отвечает за то
V> что закрытый ключ украден и незаконно использован с помошью
V> уязвимостей, например Win9x?

Того, кто принял решение использовать для такой задачи Win9x, а не NT.
Причем бить за это надо очень больно, ибо единственный способ защитить
Win9x — это выдернуть сетевой шнур, отрезать монитор, клавиатуру и мышку.
Прочие способы защиты неоправданы, ибо получение приемлемого уровня
защищенности по стоимости превышает апгрейд до NT/2k/XP
--
Алeкcaндр Гoлдун

Здравствуйте, Александр Гoлдун, Вы писали:
АГ>Того, кто принял решение использовать для такой задачи Win9x, а не NT.
АГ>Причем бить за это надо очень больно, ибо единственный способ защитить
АГ>Win9x — это выдернуть сетевой шнур, отрезать монитор, клавиатуру и мышку.
АГ>Прочие способы защиты неоправданы, ибо получение приемлемого уровня
АГ>защищенности по стоимости превышает апгрейд до NT/2k/XP
Спасибо, я так и думал.
Но вот все таки интересно, в законе о цифровой подписи, кfжатся говорится, что если все разработано и подписано по проавилам, то подписавший не может отвертеться, сказав что подписывал не он.
Но если скажем главбуху предъявляют электронный документ подписанный его цифр. подписью, но он утверждает что это не он, и у него не знает как но украли, то реально ли человека в нашей России привлечь к ответсенности? Ведь систем хоть на Win2004 но 100%надежных не бывает, а как в этом случае доказывается факт или не факт взлома, ведь комп это не сейф.

Здравствуйте, VinMike, Вы писали:

VM>Но вот все таки интересно, в законе о цифровой подписи, кfжатся говорится, что если все разработано и подписано по проавилам, то подписавший не может отвертеться, сказав что подписывал не он.
А можно ссылочку на этот закон? Просто, насколько я знаю, это — законопроект.

Здравствуйте, Sinclair, Вы писали:
S>А можно ссылочку на этот закон? Просто, насколько я знаю, это — законопроект.

Президент РФ подписал закон об электронной цифровой подписи
Президент РФ Владимир Путин подписал федеральный закон "Об электронной цифровой подписи", направленный на обеспечение правовых условий использования электронной цифровой подписи в электронных документах, при соблюдении которых электронная цифровая подпись в электронном документе признается равнозначной собственноручной подписи в документе на бумажном носителе, сообщает пресс-служба главы российского государства.
10.01.2002 !!!

Быстрый поиск дал нечно похожее не его текст (кстати, где публикуются законы официально?):
здесь
или здесь

Здравствуйте, VinMike, Вы писали:

VM>Здравствуйте, Sinclair, Вы писали:
S>>А можно ссылочку на этот закон? Просто, насколько я знаю, это — законопроект.
Ок, на первый взгляд ответственность за утечку приватного ключа возлагается на владельца. Ибо нигде не налагается ограничений на средства, применяемые для собственно подписывания документа (а именно они уязвимы), кроме запрета на использование несертифицированных средств в федеральных огранах (статья 5 часть 3). Есть ограничение только на средства создания ключей (статья 5 часть 2):

При создании ключей электронных цифровых подписей для использования в информационной системе общего пользования должны применяться только сертифицированные средства электронной цифровой подписи. Возмещение убытков, причиненных в связи с созданием ключей электронных цифровых подписей несертифицированными средствами электронной цифровой подписи, может быть возложено на создателей и распространителей этих средств в соответствии с законодательством Российской Федерации.

Таким образом, если у нас есть [q]положительный результат проверки соответствующим сертифицированным средством электронной цифровой подписи с использованием сертификата ключа подписи принадлежности электронной цифровой подписи в электронном документе владельцу сертификата ключа подписи и отсутствия искажений в подписанном данной электронной цифровой подписью электронном документе[q], то все — по этому закону человек обязан отвечать.
Я думаю, что на практике наличие доказательств нахождения закрытого ключа в других руках может избавить от ответственности по подписанному документу, вот только получить их будет очень затруднительно.

Здравствуйте, Sinclair, Вы писали:
S>...по этому закону человек обязан отвечать.
А если этот главбух во время подписания этого документа находился на операционном столе и этому факту есть неопровержимые доказательства. Кто должен отвечать: человек или организация?

Здравствуйте, WinCE, Вы писали:
WCE>А если этот главбух во время подписания этого документа находился на операционном столе и этому факту есть неопровержимые доказательства. Кто должен отвечать: человек или организация?
Я, честно говоря, не имею юридического образования. Вот здесь, вроде, есть квалифицированный кадр
И вот что он пишет:

Другой пример медлительности наших научных кругов — подготовка проектов законов об "электронной цифровой подписи" и "электронном документе". Они готовились чуть ли не 10 лет и только этой зимой закон об ЭЦП принят Госдумой и подписан Президентом. Не случайно в выступлениях звучала мысль о том, что эти законы устарели еще до их принятия. В настоящее время нужен комплексный подход к решению проблем информатизации и информационной безопасности и этому мог бы служить единый закон об "электронном документообороте", но его пока нет и в проекте. Кстати, по данному вопросу специалистами из Екатеринбурга В.Мяснянкиным и А.Межутковым была написана и выложена в Интернет интересная статья "Электронная подпись или тернистый путь избавления от бумаги". Всем интересующимся данным вопросом советую ознакомиться

Здравствуйте, Sinclair, Вы писали:
S>Я, честно говоря, не имею юридического образования. Вот здесь, вроде, есть квалифицированный кадр
S>И вот что он пишет:
S>

..."электронной цифровой подписи" и "электронном документе"...

Я как человек, имеющий диплом юрфака университета, скажу что "электронная подпись" и "электронный документ" не привносят ничего нового и не подрывают такие понятия права как юридический факт, оферта, акцепт, сделка, обязательство, ответственность и ее условия, и т.п. Вопросы законодательного урегулирования понятий "электронная подпись" и "электронный документ" в большей степени касаются процедур закрепления юридических фактов и иже с ними. В праве существует понятие воля стороны, направленная на установление правоотношения, например на заключение сделки. Форма сделки и наличие подписи здесь не самое главное, хотя они в значительной степени облегчают определить такую волю.

Если же веруться к заданному мною риторическому вопросу, то в случае с бухгалтером все риски imho должна нести организация, а не бухгалтер. Он может отвечать только при совершении им правонарушения, совершенного им в том числе по халатности — например оставил электронный ключ в общедоступном месте, но не должен был этого делать. Но если бухлатрера забрали по скорой и он был не в состоянии соображать, что таблетку с эл. ключем нужно закрыть в сейфе, а ключ от сейфа отдать директору, то ...

Здравствуйте, Sinclair, Вы писали:

S>...Вот здесь, вроде, есть квалифицированный кадр
2Sinclair: Спасибо за ссылку.

Здравствуйте, WinCE, Вы писали:

WCE>Я как человек, имеющий диплом юрфака университета, скажу что "электронная подпись" и "электронный документ" не привносят ничего нового и не подрывают такие понятия права как юридический факт, оферта, акцепт, сделка, обязательство, ответственность и ее условия, и т.п. Вопросы законодательного урегулирования понятий "электронная подпись" и "электронный документ" в большей степени касаются процедур закрепления юридических фактов и иже с ними. В праве существует понятие воля стороны, направленная на установление правоотношения, например на заключение сделки. Форма сделки и наличие подписи здесь не самое главное, хотя они в значительной степени облегчают определить такую волю.
Дело в том, что, в отличие от обычной подписи, электронную подпись можно украсть и использовать независимо от ее владельца. По-моему, это достаточно существенный факт.
WCE>Если же веруться к заданному мною риторическому вопросу, то в случае с бухгалтером все риски imho должна нести организация, а не бухгалтер. Он может отвечать только при совершении им правонарушения, совершенного им в том числе по халатности — например оставил электронный ключ в общедоступном месте, но не должен был этого делать. Но если бухлатрера забрали по скорой и он был не в состоянии соображать, что таблетку с эл. ключем нужно закрыть в сейфе, а ключ от сейфа отдать директору, то ...
Интуитивно понятно, что ты прав. Но хотелось бы уточнить. Давай забъем на подписи — они все уникальны (какждый экземпляр в смысле). Вот печать, она же тоже является неким там способом удостоверить подлинность документа. Так? Вот ежели печать будет украдена и поставлена на документе, утверждающей определенные обязательства некоторого юридического лица перед другим юридическим лицом, то кто несет ответственность? Добавим также, что печать вернули назад, и на момент предъявления претензий она уже присутствует. Как будет развиваться дело в этом случае?

Здравствуйте, Sinclair, Вы писали:
S>Дело в том, что, в отличие от обычной подписи, электронную подпись можно украсть и использовать независимо от ее владельца. По-моему, это достаточно существенный факт.
Ну и кто в этом случае должен отвечать (прежде всего возмещать ущерб)? Мою позицию смотри дальше.
S>Интуитивно понятно, что ты прав. Но хотелось бы уточнить. Давай забъем на подписи — они все уникальны (какждый экземпляр в смысле). Вот печать, она же тоже является неким там способом удостоверить подлинность документа. Так? Вот ежели печать будет украдена и поставлена на документе, утверждающей определенные обязательства некоторого юридического лица перед другим юридическим лицом, то кто несет ответственность? Добавим также, что печать вернули назад, и на момент предъявления претензий она уже присутствует. Как будет развиваться дело в этом случае?
Я так понимаю, что уголовно-правовой аспект проблемы мы не рассматриваем. Рассматриваем только риски гибели (потери) имущества, а также имущественную ответственность участников сделки и третьих лиц. Так?
В гражданском праве существует принцип предусмотрительности при совершении юридически значимых актов, как то совершение сделок, пользовании вещью (напр. автомобилем) и т.п. Согласно этому принципу риск случайной гибели вещи несет собственник вещи, если оно действовало непредусмотрительно. Тобишь риск потерь лежит на юридическом лице, у которого, например, похитили деньги или ее работник разбил автомобиль. Ведь, если должностные лица юридического лица путем мошеннических действий с помощью цифровой подписи присвоили деньги коммерческого банка, то отвечать перед банком будет не юридическое лицо, а эти физические лица. Это выплывает из принципов и норм права, к тому же так сложилась практика. Нет правонарушения — нет ответственности. Можно говорить об ответственности такого юридического лица перед банком только при условии, что со стороны юридического лица было совершено правонарушение. Если вкратце, меня учили так.

Здравствуйте, WinCE, Вы писали:

Ок, хорошо. Пусть это будет физическое лицо. Если я украл печать из, скажем, банка и поставил ее на некий документ, согласно которому банк должен мне много-много денег? И вот я прихожу в банк, а мне их менеждер отказывает (потому как типа у них там в компьютере нифига такого документа нет). Мы идем в суд. Печать — настоящая. Их юрист говорит "мамой клянусь — мы ее не ставили", а я говорю — "так вот же она". Что дальше будет?
Допустим, факт кражи мною печати доказать не удалось.

Здравствуйте, Sinclair, Вы писали:

S>Здравствуйте, WinCE, Вы писали:

S>Ок, хорошо. Пусть это будет физическое лицо. Если я украл печать из, скажем, банка и поставил ее на некий документ, согласно которому банк должен мне много-много денег? И вот я прихожу в банк, а мне их менеждер отказывает (потому как типа у них там в компьютере нифига такого документа нет). Мы идем в суд. Печать — настоящая. Их юрист говорит "мамой клянусь — мы ее не ставили", а я говорю — "так вот же она". Что дальше будет?
S>Допустим, факт кражи мною печати доказать не удалось.
Например, если этот документ с печатью банка оформляет сделку сторон, то банк болжен доказать, что такой сделки не было. Или она була заключена в состоянии заблуждения, обмана, насилия и т.п. Тогда сделка признается судом ничтожной и стороны возвращаются в первоначальное состояние — каждый возвращает полученное в результате сделки (двухсторонняя реституция) или имущество может быть обращено в доход государства. К чему веду. Подпись документа цифровой подписью еще не означает, что нельзя признать ничтожной сделку (оферту, акцепт), которую он удостоверяет. Подпись лишь создает презумпцию наличия легитимного документа, пока это не будет опровергнуто. В основе сделки лежит наличие на момент ее заключения воли сторон на совершение этой сделки. Если воли не было (обман, насилие, заблуждение стороны и т.п), то сделка законом признается ничтожной. Даже если она подписана цифровой подписью.

Здравствуйте, WinCE, Вы писали:
Ну, все, тогда ОК. Я, правда, так чую, что у кого адвокат пошустрее (и, соотв. подороже), у того и заблуждения оказываются возникшими на момент сделки. Ну, то есть в смысле, что однозначного ответа нет.

В таком случае, действительно, утеря приватного ключа электронной подписи, будучи доказанной, повлечет признание сделки ничтожной, и формальное соответствие документа критериям его подлинности никого не спасет.

Впоследствии компания, утерявшая ключ, сможет подать в суд на производителей защищенного хранилилища, если утеря ключа произошла по их вине (пользователи выполнили все инструкции по эксплуатации). Впрочем, с этой точки зрения, все зависит от лицензионного соглашения. Если ты хранишь приватные ключики в репозитории, который пришел к тебе "as is", то никакой ущерб (например, судебные и прочие издержки) тебе не возместят. В лучшем случае вернут обратно твои 12 баксов, за которые ты купил некачественный продукт. А те ребята, которые готовы прийти в суд и доказать, что взлом их хранилища может произойти только по халатности пользователя, будут брать за свой софт (и хард) на порядок больше денег.

Еще к этому всему можно пристегнуть страховые компании. Если я застрахую свою сделку (или бизнес) от ущерба, возникшего в рещультате утери приватного ключа, то мне по барабану, что написано в лицензионном соглашении. Только страховая премия должна будет зависеть от того, чьи средства используются и сертифицированы ли они.

Здравствуйте, Sinclair, Вы писали:
S>Здравствуйте, WinCE, Вы писали:
S>Ну, все, тогда ОК. Я, правда, так чую, что у кого адвокат пошустрее (и, соотв. подороже), у того и заблуждения оказываются возникшими на момент сделки. Ну, то есть в смысле, что однозначного ответа нет.
Так ведь право обслуживает общественные отношения между людьми. А закон что дышло...

S>Впоследствии компания, утерявшая ключ, сможет подать в суд на производителей защищенного хранилилища, если утеря ключа произошла по их вине (пользователи выполнили все инструкции по эксплуатации). Впрочем, с этой точки зрения, все зависит от лицензионного соглашения. Если ты хранишь приватные ключики в репозитории, который пришел к тебе "as is", то никакой ущерб (например, судебные и прочие издержки) тебе не возместят. В лучшем случае вернут обратно твои 12 баксов, за которые ты купил некачественный продукт. А те ребята, которые готовы прийти в суд и доказать, что взлом их хранилища может произойти только по халатности пользователя, будут брать за свой софт (и хард) на порядок больше денег.
Это да. Потому буржуи в своих лицензионных соглашениях дают только гарантию "as is".

S>Еще к этому всему можно пристегнуть страховые компании. Если я застрахую свою сделку (или бизнес) от ущерба, возникшего в рещультате утери приватного ключа, то мне по барабану, что написано в лицензионном соглашении. Только страховая премия должна будет зависеть от того, чьи средства используются и сертифицированы ли они.
Страховая компания скорей всего реально не будет страховать такие риски. Ведь ее могу попросту кинуть.

Здравствуйте, WinCE, Вы писали:

WCE>Здравствуйте, Sinclair, Вы писали:
S>>Здравствуйте, WinCE, Вы писали:
S>>Ну, все, тогда ОК. Я, правда, так чую, что у кого адвокат пошустрее (и, соотв. подороже), у того и заблуждения оказываются возникшими на момент сделки. Ну, то есть в смысле, что однозначного ответа нет.
WCE>Так ведь право обслуживает общественные отношения между людьми. А закон что дышло...

S>>Впоследствии компания, утерявшая ключ, сможет подать в суд на производителей защищенного хранилилища, если утеря ключа произошла по их вине (пользователи выполнили все инструкции по эксплуатации). Впрочем, с этой точки зрения, все зависит от лицензионного соглашения. Если ты хранишь приватные ключики в репозитории, который пришел к тебе "as is", то никакой ущерб (например, судебные и прочие издержки) тебе не возместят. В лучшем случае вернут обратно твои 12 баксов, за которые ты купил некачественный продукт. А те ребята, которые готовы прийти в суд и доказать, что взлом их хранилища может произойти только по халатности пользователя, будут брать за свой софт (и хард) на порядок больше денег.
WCE>Это да. Потому буржуи в своих лицензионных соглашениях дают только гарантию "as is".
Ну, ас фар эс ай кнов, это они в ширпотребе такие гарантии дают. Просто мы не работаем с софтом такого класса, при котором имеет смысл в цену закладывать гарантии.
WCE>Страховая компания скорей всего реально не будет страховать такие риски. Ведь ее могу попросту кинуть.
Ну почему же. Когда ты получаешь сертификат на Signio, тебе сразу предлагают купить страховку твоего бизнеса от связанного с ним кидалова. Не так уж дорого — там типа в базовом комплекте лимит ответственности 25000 бакенов, а чуть доплати — и будут хоть 100000, хоть 1000000.

Здравствуйте, Sinclair, Вы писали:
WCE>>Страховая компания скорей всего реально не будет страховать такие риски. Ведь ее могу попросту кинуть.
S>Ну почему же. Когда ты получаешь сертификат на Signio, тебе сразу предлагают купить страховку твоего бизнеса от связанного с ним кидалова. Не так уж дорого — там типа в базовом комплекте лимит ответственности 25000 бакенов, а чуть доплати — и будут хоть 100000, хоть 1000000.
Думаю, что они страхуют лишь от подделки ключей, от атак типа "man in middle", т.е. от того, что связано с алгоритмами. При соблюдении мною всех требований по работе с ПО, реализуюее эти алгоритмы. А если у меня украдут ключи или с моего же компьютера переведут куда либо мои деньги, то боюсь, что это не будет являеться страховым случаем. Если же они и от этого страхуют, то я уже сейчас знаю несколько способов как можно кинуть страховую компанию.