Сходства/различия DVCS и нотариата - Форум по вопросам информационной безопасности

> у нас цитирование идёт одного и того же в разных вариациях - непробуктивный разговор.

Почему же - благодаря AIB мы сдвинулись с мертвой точки :)

> квиток DVCS - это фактический материал, который одна из сторон (или обе но каждая самостоятельно) могут учитывать при принятии решения подписывать конкретный документ или нет.

Т.е. мы пришли к общему знаменателю: результат работы DVCS - некоторые сведения, которые клиент службы может учитывать при принятии решения. А может и не учитывать- решение он принимает самостоятельно.

Как вы себе это представляете? Вот вы отправляете в банк платежное поручение. В случае нормального функцилонирования ЭЦП банк кбеждается в корректности ЭЦП и с этого момента обязан выполнить ваше поручение. В случае DVCS получается цирк с конями: банк отправляет платежку в DVCS, DVCS подтверждает подлинность подписи, а банк, невзирая на это, отказывается признавать подпись (может ведь?) и отказывает вам в проведени операции.

1. Сдвиг произошёл из-за того что вопросы были практические.
2. Про квиток DVCS - совершенно верно, может использовать, а может и нет и никто его заставить это сделать не может, поскольку решение субъекта волеизъявления не подменяется! Об этом я писал уже тут несколько раз !
3. Ни какого танца с бубном и конями не происходит, например в той же Польше их аналог ФНС принимает отчётность изначально сопровождаемую DVC-квитками о действительности подписи. Банк - это такое же юрлицо - оно может вас обокрасть, сделать что то противозаконное или наоборот поступить логично и по закону :-)

Ну, цирк не цирк, просто дополнительные танцы, с точки зреия клиента банка - внутрибанковские. То есть, в случае с банком, если я правильно понял, обстоять будет примерно так:
1. Банк с клиентом договариваются о том, что клиент будет отправлять банку платежки, заверенные ЭЦП, а банк будет обязан проверить ЭЦП и, в случае успешногорезультата проверки, принять платежку.
2. Банк по каким-то своим техническим, религиозным или еще каким убеждениям не хочет проверять ЭЦП сам, и заключает с DVCS договор об аутсорсе проверки подписи, оговаривая разные неустойки и ответственности.
Получив квиток DVC, банк вообще-то не будет обязан на его основании доверять документу. То есть он может, например сделать еще какую-то свою контрольную проверку, или отдать проверить докумет еще одному DVCS, или погадать на кофейной гуще - это уже внутреннее дело банка.

При этом за то, что банк не исполнит надлежащим образом подписанное поручение, банк понесет ответственность перед клиентом в объеме, указанном в договоре с клиентом (и, возможно, в законе). Но в случае, если банк ошибочно совершит (или не совершит) некоторое действие, основывясь на информации от DVCS, он сможет отдельно взыскать убытки с DVCS, в рамках и основываясь на договоре с DCVS.

Я правильно описал ситуацию?

Насколько я понял из красочного вашего описания в это позднее время, то всё совершенно так. Но хочу заметить DVCS рождался на основе решения двух проблем, это:
1. поиметь хоть какие доказательства что проверка ЭЦП вообще выполнялась.
2. При невозможности локально проверить подпись, ну например корейскую ЭЦП или белорусскую, кстати у них алгоритм совсем не ГОСТ , не СНГ ГОСТ и у них в ходу два хэшь алгоритма ... и много всего такого по миру.

> В той же Польше их аналог ФНС принимает отчётность изначально сопровождаемую DVC-квитками о действительности подписи.

Охотно верю. Такое возможно и у нас - если бы ФНС в ведомственном документе приписала бы Такскому функции валидации документов. И даже в моем примере с банком можно решить проблему свободы признания/непризнания DVC просто внеся в договор РКО нормы, связывающие получение DVC с наступлением определенных правовых последствий. Это и называется "создать правовую основу".

Сейчас такой основы нет. Причем, если в административном праве каждое ведомство может просто принять ведомственный нормативный акт, наделяющий свою DVCS какими-то правами и обязанностями, то в гражданском праве прежде, чем породить какие-либо правовые последствия использования DVCS, стороны должны сперва договориться об использовании этой службы одной из сторон.

Но на уровне норм законов такого механизма нет. Механизм аккредитации иностранных УЦ позволил бы обойтись в трансграничном ЭДО вообще без DVCS. И если вы предлагаете эту службу использовать в качестве альтернативы аккредитованным иностранным УЦ, использование DVCS должно иметь правовую основу на том же уровне - на уровне федерального закона..

to malotavr :
1. Вы всё таки забавный собеседник. Толи вы забываете что ранее писалось, толь сознательно наровите по второму кругу разговор завернуть. Повторяю, уж и не припомню в который раз, использование DVCS на сейчас возможно ТОЛЬКО в рамках исключительно договорных отношений (согласование сторон), где каждая из сторон понимает и принимает регламент данной услуги и т.п. это и есть ваша фраза "создать правовую основу". Я совершенно не спорю что такой договор в разных ИС будет разный для Такскома один, для банка другой и т.д.
2. Вы сами себе противоречите, если в первом абзаце вы говорите что если вписав в договор нормы признания DVCS , то будет счастье, то второй абзац вы начинаете словами: "Сейчас такой основы нет" - у кого нет то ??? Заключите договор и будет такая основа. В чём тут проблема? Или вы имеете в виду что не существует в стране нормы прямого действия для поголовного использования DVCS как единственного протокола по проверке ЭЦП? Так этого и не факт что надо делать.
3. Опять вы про аккредитацию :-( вот просто подумайте, если рассматривать сертификат как е-паспорт, то иностранный аккредитованный УЦ это "паспортный стол МВД" который не управляется "МВД", а значит осуществляет не управляемую эмиссию удостоверений личности в РФ. Вы этого добиваетесь? Второе, вы к примеру знаете, что в Белорусь сертификат содержит сразу два открытых ключа? И что вы с таким сертификатом будете делать в РФ? Иностранный УЦ он на то и иностранный что живёт по иностранным законам и легитимен в иностранщине, а у нас задача не УЦ сюда тащить, а создать многодоменное пространство обращения защищенных ЭЦП ЭД. Задачи разные !

to malotavr :
Ещё раз перечитал ваш пост, возможно вы предлагаете вместо двухсторонних договоров, например, банк - клиент или ФНС-Такском делать трёхсторонние ?! Где третьей стороной выступает DVCS - вы это предлагаете?
А зачем так всё усложнять то? Лично мне как клиенту например банка, всё равно будет этот банк мою ЭЦП проверять или нет, если будет конфликт, то через суд докажу что это мной выработанная ЭЦП ! И для меня - как клиента банка отношения банк-DVCS ничтожны, а сам я не хочу заключать договор с DVCS, кто меня заставит?

Вообще-то я бы предпочел, чтобы при использовании ЭП вообще не требовалось участие какой-либо третьей стороны. Один подписал, второй проверил. Но если мы хотим, чтобы DVCS стал действительно довереной третьей стороной, необходимо установить обязанность участников ЭДО признавать DVC в качестве юридического факта и установить ответственность DVСS за ненадлежащее исполнение своих обязанностей.

Сейчас договор между одним из участников ЭДО и DVCS не имеет никакого влияния на сам ЭДО. Это "невлияние" заключается в двух моментах:
1. DVC, выданный в отношении документа, не имеет значения для участников ЭДО (строго говоря, даже для клиента DVCS)
2. DVCS не несет ответственность за свои ошибки, даже если его клиент в результате понесет убытки.

По п. 1 - понятно.
По п. 2 - очень сильно сомневаюсь, что убытки, которые понесет клиент, доверившись ошибочно выданому DVC, могут быть признаны следствием ошибки DVCS и стать основанием для регресса. Если интересно - потом отдельно обосную.

Эти моменты не могут быть устранены договором: и участники ЭДО, и DVCS могут просто не согласиться на условия договора, накладывающие на них какие-либо обязательства. Такие обязательства обычно накладываются нормативными актами, опирающимися на нормы законов.

Я вам навскидку могу назвать три примера, когда в правоотношениях двух субъектов участвует доверенная треться сторона:
- УЦ, подтверждающий ЭЦП
- нотариус, заверяющй документы
- третейский суд, принимающий решения по коммерческим спорам

Во всех трех случаях действие доверенной третьей стороны порождает обязательные правовые последствия:
- подтвержденная ЭЦП признается равнозначной собственоручной подписи независимо от чьего-либо мнения на этот счет;
- подлинность заверенного документа не может быть поставлена под сомнение;
- решение третейского суда обязательно к исполнению сторонами и т.п.

Эти правовые последствия устаовлены нормами закона и не могут быть изменены или отменены участниками правоотношений. Более того, поскольку эти последствия обязательны, эта обязательность становится связующим звеном между ошибкой ДТС и убытками, наступившими из-за того, что пострадавшая сторона получила вследствие этой ошибки определеные обязанности, исполнение которых и привело к убыткам. В случае DVCS ничего подобного нет.

Поэтому, если мы хотим полноценно использовать возможности DVCS, нужны соответствующие нормы законов.

Вот теперь я понимаю о чём вы пишите. Но с чего вы взяли что я в предыдущих десятках постов говорил что DVCS должны верить все участники ЭДО ? Я такого не говорил, я говорил только о том что одна сторона может заключить договор c другой стороной (фирмой оказывающей услугу DVCS) на аутсорсинг услуги по проверки ЭЦП и собиранию доказательной базы, прописать в этом договоре регламент оказания услуги, и ответственность, в том числе и финансовую. Какие тут могут быть "сомнения", что не так?
Совсем другое дело , если вы хотите сделать услугу DVCS прямого действия, т.е. вторая половина вашего письма, то я не против - разрабатывайте на здоровье новый федеральный закон, я вам не помеха и даже может быть и помогу чем нибудь. Но я наверное уже в сотый раз говорю, что на сейчас существует вся правовая основа чтобы использовать DVCS на уровне бизнеса в рамке договорных отношений. Всё, ничего другого я не говорил и не утверждаю!

to malotavr:
Тут ещё немного порассуждал на тему вашего желания поглаболизировать и наверное в тему будет вот такая свеженькая информация: http://www.top-cross.ru/Company/index.html#dvcs-bridge
Если коротко, то DVCS технически можно объединять и соответственно объединять поддерживаемые ими домены доверия. Т.е. как в PKI когда УЦ через мост объединяют, вместо одиноких кросс-связей строится бридж, который сам потом разруливает какой запрос в какой DVCS какой страны направить.

Так что если кто за глобальную нормативку прямого действия возьмётся - имейте ввиду, что есть и вот такая техническая фьюча.