Как получить ЭЦП на любого человека

> Судя по всему, началась компания по уничтожению бизнеса частных удостоверяющих центров ...

Которые по фотошопу паспорта и пенсионного удостоверения выдают кому попало сертификат усиленной квалифицированной электронной подписи, и даже оригиналов документов не спрашивают? Туда им и дорога.

> ... ЭП (а не ЭЦП, к слову) ...

Судя по описанию, усиленная квалифицированная ЭП — это и есть ЭЦП.

> > Которые по фотошопу паспорта и пенсионного удостоверения выдают кому попало сертификат усиленной квалифицированной электронной подписи, и даже оригиналов документов не спрашивают? Туда им и дорога.

> проблема в том, что фото в паспорте не сравнили с копией которая у них должна была бы быть.

Собственно, именно это я и написал: по моему глубокому убеждению, те УЦ, которые выпускают (выдают) сертификат ключа ЭП, не получая на руки оригинал удостоверения личности государственного образца для сличения фотографии в нём с личностью будущего владельца сертификата, следует в полном составе топить в бочках с говном. Сертификат ЭП — это, фактически, ещё одно удостоверение личности, его по скан-копии удостоверения личности выпускать нельзя.

> ну и получается, что подпись тоже могли отфотошопить, для упрощённой подделки доверенности.

Ну могли, и что?

> в остальном ЭП разрешено давать по доверенности, доверенность подделали, по ней и получили ЭП.
> о каких оригиналах документов спрашивается, если всё делается по доверенности - хз.

Внимательно ли ты прочёл статью? По доверенности им выдали не ЭП, а токен с сертификатом ключа ЭП и закрытым ключом. А вот выпустили этот сертификат по фотошопу паспорта и пенсионного.

> 1. Предлагаю попробовать самому провернуть тот же финт.

Нафига мне это нужно? Журналист же нашёл аккредитованных мудаков, которые ему выпустили сертификат по поддельным документам, а потом выдали токен с ним и закрытым ключом к нему по липовой доверенности. Одного такого гнилого УЦ вполне достаточно, чтобы полностью скомпрометировать весь институт электронной подписи.

> Удивишься как на самом деле всё непросто делается.

У журналистов всё получилось очень просто.

> Но речь о том, что сначала в течение почти полутора десятков лет (если не больше) создавали рынок аккредитованных УЦ (в которые загоняли чуть ли не пинками - тот же ФНС, например). А теперь решили резко поменять правила игры. Отличный ход.

Лично я — строго за. Ещё бы из закона об ЭП убрали оговорку "... либо полномочия лица, выступающего от имени заявителя", и всё стало совершенно замечательно.

> Особенно если учесть, что у госорганов тупо нет достаточной инфраструктуры для того, чтобы заменить эти аккредитованные УЦ.

Достаточная инфраструктура для УЦ состоит из трёх серверов, одного МСЭ, которые совершенно замечательно влезают в один серверный шкаф, оставляя в нём очень много места, плюс ещё одно АРМ из компьютера, монитора, мыши, клавиатуры и принтера. Ну плюс ещё стабильное подключение к интернету. Стоит недорого, при наличии денег и помещения разворачивается, полагаю, в течение недели. Главное — получить необходимые лицензии.

> > Сертификат ключа ЭП для создания ЭП, сюрприз, не нужен.

> Сюрприз, нужен. Без сертификата электронную подпись не создать, даже имея закрытый ключ.

И для каких криптографических преобразований нужен сертификат при вычислении ЭП?

> 1. Анекдот про деда занешь? "Мой сосед говорит, что в свои 90 каждый день трахает жену. Так и ты говори, кто тебе мешает". Откуда ты знаешь, что журналист не врёт?

Ответственность за распространение заведомо ложных сведений уже отменили?

> Лично ты с УЦ работал? Вот я работал.

И я работал, и у меня там просили предъявить паспорт, прежде чем выдать мне токен с сертификатом ключа ЭП.

> Журналист описал хрень.

Журналист описал, что в двух УЦ их послали нахер, но вот одна паршивая овца-то нашлась! И моё возмущение вызывает именно то, что нашлась.

> 3. А лично я нет, поскольку у государственных органов нет ни соответствующей инфраструктуры, ...

Про инфраструктуру я тебе уже написал, что в неё входит. По сравнению с тратами, например, МВД на их защищённую сеть передачи данных, это какие-то сущие копейки. Более того, никакая защищённая сеть невозможна без PKI, то есть, по факту собственные УЦ в госконторах уже должны быть, вместе с положенными специалистами другое дело, что они не смогут перевыпустить сертификаты всем 10 миллионм организаций разом, это да.

> ... ни соответствующего числа сотрудников, чтобы выдавать ЭП всем желающим физическим и юридическим лицам.

Ну так наймут ещё специалистов, в чём проблема?

> По поводу указанной тобой оговорки - так это надо тогда вообще весь институт представительства из Гражданского кодекса убирать.

Если, как мне тут пишет камрад KRash, сертификат ключа ЭП — это аналог доверенности, то почему эту доверенность выдают по другой доверенности? Что, нотариально заверенную доверенность (это, собственно, и есть аналог сертификата ключа ЭП) на своё имя тоже можно получить по поддельной доверенности от организации?

> В общем я понял, что ты за УЦ не знаешь вообще ничего, но мнение имеешь.

И знаю, и мнение имею.

> Перечисленного тобой ЯВНО недостаточно для организации УЦ, который будет МАССОВО раздавать ЭП

Тут основной смысл не в том, что массово, а в том, с какой интенсивностью он будет их выдавать. Если речь о том, чтобы в какой-то момент времени просто запретить коммерческим УЦ продлять протухшие и выдавать новые сертификаты, отправляя людей за новыми в ведомственные УЦ, то всё будет нормально. За год-полтора все эти 10млн. сертификатов будут потихоньку перевыпущены. А если внезапно взять и отозвать все сертификаты коммерческих УЦ, случится, действительно, небольшая катастрофа.

> Закон написан, в том числе, для больших начальников, которые сами ничего не делают, даже электронную подпись - на это есть специальные люди с доверенностями. И ходить к ним паспорт проверять никого не пускают. Как быть в этом случае?

Если большим начальникам некогда и они сами ничего не делают, они выдают доверенность конкретному человеку. Так? Так вот пускай и выдают бумажную доверенность на право простановки ЭП конкретному человкку который потом сам получит сертификат ЭП на своё имя и будет эту самую ЭП проставлять, а не сдают ему токен на выпущенный на их начальственное имя сертификат и ключ без всякой доверенности. Суть сертификата ключа ЭП заключается в том, что он заверяет принадлежность закрытого ключа ЭП конкретному человеку, который обязан обеспечить невозможность попадания этого своего закрытого ключа в чужие руки. Если это не так, весь смысл усиленной квалифицированной ЭП улетучивается, как дым.

> Так и делается. Но иногда этого недостаточно - нужна ЭП именно руководителя (см. сайт госзакупок, например) или юрлица (обезличенная).

Мы в своё время остановились на распределенной схеме обслуживания с оператором УЦ. Всех руководителей в своей организации мы знали поимённо и в лицо, что избавило их от необходимости отправлять гонцов с доверенностями непосредственно в УЦ.

> > твой шифровальный софт вместе с собственно ЭП запихивает в контейнер всю цепочку сертификатов ключей начиная от сертификата ключа ЭП корневого УЦ и заканчивая сертификатом ключа ЭП подписавшего

> Это не обязательно и не всегда происходит. Иногда в контейнере только ключ, …

Ай! Я писАл про контейнер с ЭП, а не про контейнер с ключом ЭП и его сертификатом.

Если внимательно изучить процедуру простановки ЭП для несимметричного шифрования, то внезапно станет ясно, что сертификат ключа ЭП для этого не нужен, нужен только закрытый ключ, которым не то шифруют, не то расшифровывают криптографический хэш подписываемого документа, получая подпись.

> … но без установленного в системе сертификата нельзя им воспользоваться. Я про винду и криптопро, есличо.

Для аладдиновских еТокенов с RSA лично наблюдал простановку подписи только закрытым ключом безо всякого сертификата. Ключ в токене был виден как orphaned. Доступ к токену осуществлялся через его штатную библиотеку pkcs11. Всё это работало на винде. Как там в КриптоПРО с доступом через CryptoAPI — не знаю.

> > Получение сертификата ключа усиленной квалифицированной ЭП на чужое имя привлекает гораздо меньше внимания, чем личный поход с поддельной доверенностью в налоговую.

> думаешь в налоговых более пристально проверяют ксерокопии паспортов?
> чем там больше внимания то?

Хорошо, тогда другое преимущество поддельного сертификата ЭП перед поддельной доверенностью — распоряжения, заверенные ЭП, можно отдавать, находясь за рубежом, вне досягаемости правоохранительных органов РФ, существенно затрудняя тем самым ведение ОРД. Что характерно, чтобы получить такой сертификат, как выяснилось, надо, всего лишь, сляпать фотошоп паспорта, а это, насколько я понимаю, подделкой документов не является и, соответственно, уголовную ответственность за собой не влечёт.

> А! Ну так-то да, ЭП вычислить можно, только проверить не получится.

И проверить тоже получится. Достаточно один раз отправить проверяющему сертификат подписавшего, а дальше он сможет проверить любое количество его подписей. Пристёгивать сертификат к каждой подписи совершенно необязательно, это делается только для упрощения проверки.