Проблемы идентификации при удалённом электронном взаимодействии
Апрель, 2014
ВВЕДЕНИЕ
Заголовок раздела «ВВЕДЕНИЕ»Развитие госпрограммы “Информационное общество (2011-2020 годы)” выявило необходимость надёжной идентификации сторон удалённого электронного взаимодействия. Методика идентификации граждан, обращающихся за государственными и муниципальными услугами, практически осталась вне области регулирования — пробел может приводить как к злоупотреблениям правами граждан (незаконное получение материнского капитала), так и к прямым злоумышленным действиям от имени ничего не подозревающего гражданина (передача прав его собственности).
ОПРЕДЕЛЕНИЯ
Заголовок раздела «ОПРЕДЕЛЕНИЯ»Идентификатор — уникальный признак субъекта или объекта доступа (номер паспорта, СНИЛС, ИНН). Идентификация — сравнение идентификатора, вводимого участником взаимодействия в информационную систему, с идентификатором этого участника, содержащимся в базовом государственном информационном ресурсе.
СИСТЕМЫ И СПОСОБЫ ИДЕНТИФИКАЦИИ
Заголовок раздела «СИСТЕМЫ И СПОСОБЫ ИДЕНТИФИКАЦИИ»Способы идентификации можно систематизировать по трём независимым группам свойств идентификаторов: принадлежность (универсальный, выдаваемый на федеральном уровне, или корпоративный), распознавание личности владельца (анонимный или персональный), характер доступа (одноразовый или многоразовый). Для повышения достоверности добавляется биометрическая характеристика владельца — личный идентификатор; из 12 возможных комбинаций в физическом и виртуальном мире реализуется всего семь.
ОШИБКИ ИДЕНТИФИКАЦИИ
Заголовок раздела «ОШИБКИ ИДЕНТИФИКАЦИИ»Пример идентификации по двум документам: при вероятности ошибки 10⁻⁴ по первому идентификатору и 10⁻⁶ по второму суммарная вероятность ошибки Р = 10⁻¹⁰; при населении РФ 140 млн человек вероятная суммарная ошибка — 1,4% (справедливо при “доверенных” источниках и процессах). При недостаточной достоверности вводятся дополнительные признаки и поправочные коэффициенты; оценку удобно сводить к вероятностным интервалам (например, ошибка по первому идентификатору в пределах 10⁻⁴–10⁻³, суммарная — граница произведений наибольших значений). Математически заданной точности можно добиться дополнительными идентификаторами даже при недостаточной достоверности по каждому признаку; на практике желательно использовать идентификаторы из разных ведомственных баз (ФМС, ФНС, ПФР) и хотя бы один неотчуждаемый (биометрический) идентификатор — база биометрической идентификации граждан должна находиться в ведении МВД России.
В теории идентификации рассматривают ошибки первого рода (легальный пользователь не идентифицирован — отказ системы идентификации) и второго рода (идентификация злоумышленника под видом легального пользователя — опасный отказ). Для промышленных систем вероятность опасного отказа как минимум на порядок меньше вероятности отказа — это необходимо учитывать при проектировании.
ПРИМЕНЕНИЕ СЕРТИФИКАТА КЛЮЧА ПРОВЕРКИ КВАЛИФИЦИРОВАННОЙ ЭЛЕКТРОННОЙ ПОДПИСИ ДЛЯ ИДЕНТИФИКАЦИИ СУБЪЕКТОВ
Заголовок раздела «ПРИМЕНЕНИЕ СЕРТИФИКАТА КЛЮЧА ПРОВЕРКИ КВАЛИФИЦИРОВАННОЙ ЭЛЕКТРОННОЙ ПОДПИСИ ДЛЯ ИДЕНТИФИКАЦИИ СУБЪЕКТОВ»Один из развивающихся способов идентификации сторон — по сертификату ключа проверки подписи (СКПП), получаемому в центре регистрации (ЦР) удостоверяющего центра (УЦ). На УЦ возложены четыре задачи: установление личности заявителя; формирование и заверение ЭП УЦ цифрового сертификата; выдача СКПП под личную собственноручную подпись; поддержка сертификата весь срок действия. Заполненные без ошибок поля СКПП должностных лиц позволяют однозначно идентифицировать юридическое лицо, однако для идентификации самого владельца заполняются всего три поля: ФИО, электронный адрес и СНИЛС — единственный уникальный идентификатор. Поскольку СКПП — аналог электронного паспорта, установление личности становится одной из важнейших задач, но процесс не регламентирован: ЦР не протоколирует этапы представления идентификаторов и результаты проверок и не хранит записи в защищённом архиве, тогда как в развитых странах (например, в США) это обязательно для разбора конфликтных ситуаций. При выдаче СКПП физлицам не лучше: правила аккредитации УЦ (аккредитовано 338 УЦ) позволяют удалённую выдачу, вплоть до “СКПП за 15 минут” — очевидно, вопросы идентификации участников электронного взаимодействия по СКПП нуждаются в срочном регулировании.
Это краткая аннотация статьи, полную версию читайте в первоисточнике.
Первоисточник: “‘Первая миля’, № 2 (41), апрель, 2014”
Эксперт: Алексей Сабанов, Аладдин