Электронно-цифровая подпись — как это должно быть

Описать схему получения ЭЦП в России сейчас не просто, но в общих чертах это выглядит так:

Юридическое или физическое лицо, изъявившее желание (или принуждённое законами) производить электронный документооборот с государственными организациями, обращается к любому из аккредитованных удостоверяющих центров (частные фирмы), предоставляет центру информацию о себе и в обмен на деньги получает персональный закрытый ключ, который будет котироваться только там, где этот центр разместит открытую копию ключа. Здесь центр может делать (и делает) дополнительную градацию тарифных планов. И если обозначенному лицу понадобится вдруг воспользоваться своей ЭЦП там, где удостоверяющий центр не предоставляет своих услуг, то придётся обращаться к другому центру, генерировать вторую ЭЦП (третью и т.д.). Кстати, ключи для ЭЦП, выданные такими центрами работают только на том программном обеспечении, которое этот центр использует (отнюдь не свободное ПО!), так что к суммам расходов на ЭЦП следует прибавить стоимость коммерческого софта, начиная от операционной системы и заканчивая прикладными решениями.

Но так ли это должно быть и не видится ли здесь привычно-российская коррупционно-лоббистская составляющая?

Предлагаю свой вариант организации ЭЦП.

Во-первых, констатируем факт: государство заинтересовано в переходе на электронный документооборот больше, чем заинтересован в этом бизнес и физические лица.

Во-вторых, для того чтобы идентифицировать подпись, на государственном уровне (а вернее на уровне ФНС, поскольку для регистрации ЭЦП всегда требуется ИНН) должен быть развёрнут сервер ключей так, как это сделано в мире opensource (например, проверка ключей на http://keyserver.ubuntu.com), но с одной оговоркой: попадать на этот сервер ключи должны через любую гос-контору имеющую информацию обо всех россиянах и юридических лицах. Таких контор три: пенсионный фонд, налоговая и полиция.

В третьих, нужно либо расширить список разрешённых систем шифрования (подправить закон немного), либо разработать opensource-приложение для работы с российским стандартом шифрования ГОСТ, дабы у людей ни в коей мере не возникало навязывание покупки дополнительного софта и принуждение к смене операционной системы. Стоимость такой разработки и сопровождения - копеечная для государства.

Это всё, что требуется для нормальных взаимоотношений людей, организаций и государства посредством электронного документооборота.

Допустим, некому субъекту потребовалось отправлять в электронном виде налоговую декларацию. Что он делает?

Заходит на единый портал госуслуг, скачивает и устанавливает программное обеспечение для работы с ЭЦП и шифрованием, генерирует ключ на тот срок, который пожелает, сбрасывает открытую его часть на флешку, берёт свои личные и/или уставные документы и идёт в ближайшее отделение гос-конторы, в которой он проходит идентификацию сотрудниками конторы и его ключ регистрируется на общероссийском сервере ключей тут-же, мгновенно.

Теперь, придя за свой компьютер, этот человек может спокойно подписать и/или зашифровать какой-либо электронный документ и отправить куда требуется.

Ну просто же? Так почему же в России такой бред с электронным документооборотом?

Конечно, с зашифровкой от прочтения другими лицами - сложнее, но ненамного. Государству нужно научить себя отдавать отчёт в целесообразности средств для достижения целей.

Например, если мы говорим о шифровании персональных данных при передаче их в ФСС, ПФР и ФНС, то ничего не мешает этим службам развернуть защищённый web-сервер (https) для приёма сведений, которые нельзя передавать в открытом виде. Или персональные данные в России выше статусом по секретности, чем банковские операции через Интернет-банкинг?

Стоимость такого сервера в упрощённом виде - не более 300 тысяч рублей, включая железо и труд программиста! При этом сервер будет полноценно обслуживать всю Россию.

Примечание: К сожалению, наши чиновники не умеют использовать простые решения современных, быстрых и высококачественных наработок программистов из мира OpenSource. В их варианте такой сервер (вернее - это уже будет группа серверов обязательно на продуктах Microsoft®, поэтому и "не потянет") и труд сотни программистов под всю эту "бан-дуру" наверняка будет стоить более 10 миллионов, и хорошо, если не евро.

То есть, если разумно взглянуть на вещи глазами техника, а не коррумпированного чиновника, то становиться ясным, что не нужно непосредственное шифрование файла - нужно шифрование тракта передачи этого файла. А с этим уж точно никогда проблем не было в сети Интернет со времён царя Гороха.

Если же "ну очень" необходимо в каких-то случаях непосредственное шифрование файла, то есть простое решение на основе вышеозначенного:
Пусть человек создаёт два ключа и идёт с ними в контору для регистрации, один ключ при этом будет доступен всем по России (это ведь его индивидуальная подпись!), второй - только "нужным" гос-службам и будет использоваться им для зашифровки файла.

И в заключение. При такой схеме:

1. Людям будет всё и всегда понятно что делать и как делать. Потому-что просто.
2. Бизнес при этом начнёт активнее пользоваться ЭЦП, что постепенно (и наконец-то!) приведёт к упразднению обмена бумажными актами, счетами и прочими сопутствующими бизнесу документами. Любите природу - берегите лес!
3. Самоуничтожатся "компании-вампиры" от IT, использующие наше "интересное" законодательство в целях получения лёгкой прибыли, и будут вынуждены начать заниматься разработкой нормального программного обеспечения, которое должно приносить пользу людям и бизнесу.
4. И самое важное! Закрытая часть ключа будет только у его владельца, а не у частной лавочки (да хоть бы и государственная была), сгенерировавшей этот самый ключ. Это исключит любые махинации и подлоги, от которых сейчас никто из владельцев ЭЦП не застрахован.

P.S.: Это подправленный копипаст моей заметки на сайте rosix.ru, т.к. хочется услышать мысли других людей на этот счёт.