Законопроект об электронной подписи: поправки ко 2 чтению, октябрь 2010 - Форум по вопросам информационной безопасности

Амир,

вы не могли бы перенести сообщения, начиная с 24105, в отдельную тему - чтобы мы могли обсуждать сходства/различия DVCS и нотариата, не загромождая эту ветку?

По просьбе Малотавра последние сообщения перехали в отдельную тему: http://itsec.ru/forum.php?sub=5391&from=-1

Страсти в обсуждении это хорошо. Всем нам есть, что сказать ... И у всех нас не хватает терпенья друг друга слышать...
Очевидно, что истину следует искать где-то посередине.
Вместе с тем обсуждение было порождено в данной ветке по редакции нового ФЗ "Об электронной подписи".
А слон идет ...

Хотелось бы в общем-то понять : участники обсуждения в целом "ЗА" такой ФЗ или "Против", ну и соответвенно "ПОЧЕМУ",

2Вычислитель
....Хотелось бы в общем-то понять : участники обсуждения в целом "ЗА" такой ФЗ или "Против", ну и соответвенно "ПОЧЕМУ"....


Против - пока там не будет ясного понятия - электронный документ и описания процедуры верификации-нотаризации для придания Э\документу юридической силы.
Нужен НЕ нотариус-юрист а именно должностное лицо в ЭДО - выполняющее функции верификации

Причем к закону необходимы технические регламенты или подзаконные НПА с подобными описаниями всех процедур снизу - доверху вплоть до трансграничья.
А иначе пустое.
Спросите у Кудрина и Ко. - а почему они НЕ признают электронные финансовые документы - только бумажные?
Наверное все идет оттуда

В целом - "за" при условии:
- особого регулирования ЭП в отдельных сферах (органы государственной власти и т.п.)
- прозрачности технического реггулирования (не обязательно техническими регламентами, как предлагает Прохожий, но ответ на вопросы типа "а надо ли нам проводить контроль корректности встраивания" должны содержаться в публичных документах).

Насчет понятия "электронный документ" - хотелось бы, но эта проблема не может быть решена на уровне этого законопроекта. Дело в том, что юридическую значимость межет иметь не только документ, но и последовательность сообщений, которыми обмениваются несколько участников. Каждое из этих сообщений не является документом в привычном нам понимании, но требует однозначной верификации отправителя (см. например, определение простой письменной формы сделки в ГК). Сейчас это слишком размыто, нужно вводить понятийный аппаратуточнять - но это нужно делать очень аккуратно и в рамках поправок в ГК.

to malotavr :
На ваш вопрос: ""а надо ли нам проводить контроль корректности встраивания" должны содержаться в публичных документах", а что сейчас не так разве?
я вот знаю два источника, где нахожу ответ на этот вопрос:
1. Формуляр и документация на конкретный СКЗИ, там отражены условия когда встраивание СКЗИ проходит под контролем ФСБ.
2. http://www.eos.ru/eos_delopr/eos_law/detail.php?ID=59475&SECTION_ID=804
Методические материалы ФСБ от 21 февраля 2008 г. и там есть раздел 5
5 Требования к контролю встраивания криптосредства

5.1. Встраивание криптосредств класса КС1 и КС2 осуществляется без контроля со стороны ФСБ России (если этот контроль не предусмотрен техническим заданием на разработку (модернизацию) информационной системы).

Встраивание криптосредств класса КС3, КВ1, КВ2 и КА1 осуществляется только под контролем со стороны ФСБ России.

5.2. Встраивание криптосредств класса КС1, КС2 или КС3 может осуществляться либо самим пользователем криптосредства при наличии соответствующей лицензии ФСБ России, либо организацией, имеющей соответствующую лицензию ФСБ России.

Встраивание криптосредства класса КВ1, КВ2 или КА1 осуществляется организацией, имеющей соответствующую лицензию ФСБ России.
--------------------------------
Или требуется ещё что то?

Итак, на правах инициатора обсуждения резюмирую: Пока картина ближе к "в целом против", так как даже Малотавр, который в целом "за" говорит о ряде существенных условий, который на сей момент не реализованы и в пакете с законопроектом не рассматриваются.

Очень бы хотелось понять мнение по законопроекту представителей удовтоверяющих центров, с учетом вопроса о вводимой норме, в соответствии с которой УЦ УФО будет корнем для всех аккредитованных УЦ.(статья 9, раздел 2 п.2)

Итак, на правах инициатора обсуждения резюмирую: Пока картина ближе к "в целом против", так как даже Малотавр, который в целом "за" говорит о ряде существенных условий, который на сей момент не реализованы и в пакете с законопроектом не рассматриваются.

Очень бы хотелось понять мнение по законопроекту представителей удовтоверяющих центров, с учетом вопроса о вводимой норме, в соответствии с которой УЦ УФО будет корнем для всех аккредитованных УЦ.(статья 9, раздел 2 п.2)

Амиру:
Предыдущее сообщение продублировалось случайно. Надеюсь модератор удалит дубль... Спасибо!

Послушайте, о чём собственно вопрос.
Причина беспокойства видимо следующая, наиболее распространённая реализация УЦ (компанию называть не буду) может иметь только ОДНОГО текущего издателя на лицензию УЦ, соответственно чтобы выдержать переходный период все УЦ (юрлица с такой реализацией УЦ) либо попали на покупку второго комплекта УЦ либо на отзыв ВСЕХ разом сертификатов энд-юзеров и переизданием с длинной очередью у входа в офис УЦ, Именно это я в своё время говорил Волчинской, пример, СКБ Контур "влетит" по предварительным подсчётам на чуть менее пол лимона баксов. Это как бы первое.
Основное - наверное все не против и это логично, что контора аккредитовавшая должна иметь механизм и отозвать аккредитацию, это можно сделать несколькими способами делигирования доверия в PKI системах:
1. Иерархией - самое простое, но и самое уязвимое, чтобы единым махом разрушить всю систему страны :-)
2. брижд или кроссы, к сожалению, самы распростанённые СКЗИ (фирму называть не буду) проходят только 101 тест из 235 (кажется) на корректность построения цепочки сертификации , в том числе и с учетом кросс-связей. так что при всём изяществе (помнится мы в 2005 году такой красивый мост с Демосом и РосНИИРОС построили .... ) - этот способ отпадает.
3. браузерная - списочная модель, к слову сейчас лот исполняется на эту тему (не буду называть исполнителя) как раз у ОГИЦа легализуется TSL, будет смешно если это "работа в стол" т.е. в мусорку если утвердят иерархию.
Вот коротко - смысл озабоченности , как я его вижу.