Tekhnonacional

С 1 июля 2024 года у граждан России, проживающих в Армении, Киргизии, Казахстане и Узбекистане, появится возможность получить токен ЭП для использования усиленной квалифицированной электронной подписи. Эта мера, предложенная Министерством иностранных дел РФ, направлена на обеспечение доступа к государственным и муниципальным услугам россиянам за границей, учитывая текущие санкционные ограничения.

Проект будет действовать до конца 2025 года и позволит россиянам дистанционно подтверждать учетные записи на портале «Госуслуги», взаимодействовать с банками и подписывать юридически значимые документы. Квалифицированные сертификаты ключей проверки электронной подписи можно будет оформить в филиалах структур МИД в Армении и Киргизии, а также в представительствах Россотрудничества в Казахстане и Узбекистане.

Электронная подпись предоставляет пользователям возможность безопасно подтверждать личность и подписывать документы. Получив токен ЭП, россияне за рубежом смогут решить проблемы, связанные с недоступностью отечественных цифровых сервисов. Нужно учитывать, что подобная ЭП можно пользоваться лишь для частных целей — применить ее как ИП или руководитель компании, например чтобы подписать электронную декларацию по УСН, не получится.

Результаты пилотного проекта будут оценены в 2025 году, и возможно, его действие расширят на другие страны.

Как получить токен ЭП за границей:

Для этого в Армении и Киргизии можно будет обратиться в информационно-консультационные центры при консульствах а в Казахстане и Узбекистане — в офисы Россотрудничества .

Заявителям понадобится:

• Внутренний или загранпаспорт

• СНИЛС

• ИНН

Сотрудники пунктов по защищенному каналу связи направят запрос на изготовление сертификата КЭП в удостоверяющий центр в России. А удостоверяющий центр по такому же каналу перешлет сертификат в пункт приема, где его запишут на флешку и передадут заявителю

За последние несколько месяцев количество новостей о преступлениях информационных мошенников заметно выросло. Преступники пользуются наивностью пользователей и их низкой осведомленностью в области информационной безопасности. Действительно, не обладая четким пониманием, как работает система и как пользоваться ЭП токенами, люди начинают нервничать, переживать за свои накопления и моментально попадают в зону интересов мошенников, легко поддаваясь их влиянию. При этом мошенники, по сути, все делают руками самих же пострадавших.

Например, один из последних случаев, расследованных в Тульской области, показал, что информационные преступники не только похищают денежные средства, но и заставляют людей нарушать общественный порядок. 24 декабря в Кимовске полицейские задержали 68-летнюю местную жительницу, использовавшую пиротехническое изделие в помещении одного из офисов банка.

Накануне бабушке позвонили и сообщили, что являются представителями ресурсоснабжающей организации, а также, что в квартире женщины необходимо произвести срочную замену приборов учета (счетчиков), на что женщина согласилась. Затем поступило Смс-сообщение с цифровым кодом, который она назвала неизвестному и разговор был прерван. Как в последствии выяснилось, данный код был необходим злоумышленникам для следующего этапа их преступного замысла - получения доступа к личному кабинету электронного портала «Госуслуги». Далее поступил еще один вызов от неизвестного, представившегося в ходе беседы работником некой контролирующей организации под названием «Роснадзор». На этот раз мужчина сообщил, что она стала жертвой мошенников и попросил зайти в свой личный кабинет электронного портала «Госуслуги», где женщина обнаружила доверенность на получение электронной подписи, которую не оформляла. Об этом она сообщила собеседнику. После чего, пенсионерка отправилась банк для снятия денег со счета, что, естественно не удалось. Под влиянием стресса и манипуляции мошенников, бабушка купила пиротехнику и зажгла ее в помещении банка.

История и смешная, и грустная. Очевидно, что бабушка не представляет никакой угрозы, однако все могло быть иначе, если бы пенсионерка знала о базовых принципах ИБ и пользовании ЭП токеном. Первой и основной проблемой этого кейса и многих других подобных, это отсутствие токена как такового. Если бы бабушка пользовалась ЭП токеном, то подобная схема бы не сработала.

Флешка и Токен

Это разные вещи. Токен, хоть визуально и похож на флеш-карту, обладает встроенной дополнительной защитой. На все токенах установлен пароль — стандартный пин-код из восьми цифр. Он общеизвестный, поэтому, чтобы защитить свои данные, перед началом работы замените пин-код на собственный. Не используйте для этого даты рождения родных и близких — такие пароли можно подобрать. Будьте осторожны со сложными комбинациями — забытый пин-код нельзя восстановить. При этом мы не советуем записывать пароль, но если вы решите это сделать, храните листочек с паролем в защищенном месте.
ЭП, записанная на обычную флешку, хоть и может быть дополнительно запаролена, все равно не будет обладать аналогичным уровнем безопасности.

На большинстве токенов стоят средства криптографической защиты информации (СКЗИ), которые проходят проверку в ФСБ. Они есть, например, на Рутокене ЭЦП 3.0. Также токены проходят проверку Федеральной службы по техническому и экспортному контролю (ФСТЭК). Эта служба проверяет, чтобы на устройстве не было незадекларированный возможностей.

Флешки дополнительно не проверяют на безопасность. Поэтому если этот носитель попадет в руки злоумышленников, они смогут взломать пароль на ней.
Некоторые токены содержат встроенный криптопровайдер.

Такие токены сертифицируются ФСБ и могут быть использованы без отдельного криптопровайдера на компьютере.

Вход на Госуслуги по электронной подписи
Вход на Госуслуги с помощью ЭП токена является самым безопасным. Ниже даем быструю и простую инструкцию
1. Перейдите на сайт портала: https://www.gosuslugi.ru/
2. На главной странице портала щелкните по ссылке Личный кабинет.
3. На странице для входа в личный кабинет щелкните по ссылке Вход с помощью электронной подписи.
4. Если токен не подключен к компьютеру, то подключите его и нажмите Готово.
5. Если в браузере отобразилось окно Ошибка: не установлен Плагин, то необходимо перейти в Дополнительные настройки.
6. Если в браузере отобразилось окно для выбора сертификата ключа проверки ЭП, то щелкните по необходимому сертификату.
7. Введите PIN-код устройства и нажмите Продолжить.
8. Если в браузере отобразилось окно с сообщением о том, что вход с помощью ЭП отключен, то перейдите к процедуре настройка учетной записи.
9. Если в браузере отобразилась главная страница портала Госуслуги, то значит все настроено и вы можете продолжить работу с его сервисами.

Перешлите эту статью вашим родственника и друзьям, которые все еще не пользуются дополнительными средствами ИБ защиты. Простая инструкция, как пользоваться ЭП токеном, поможет обезопасить ваши данные, деньги и нервы.

Из-за роста активности мошенников в мессенджерах власти не исключают  введение ограничений на звонки в них. Обсуждается как полная блокировка голосовых вызовов в приложениях, так и запрет на звонки из-за границы. Сейчас, по оценкам операторов связи, около 40% вызовов в мессенджерах совершают мошенники, при этом примерно 70% из них поступают из-за рубежа.

Операторы связи говорят, что не могут без дополнительных инструментов блокировать звонки в мессенджерах и подобное ограничение возможно только на уровне Роскомнадзора.

Российские власти инвестировали много средств в построение суверенного интернета и инфраструктуру для фильтрации информации.  Теперь полученные инструменты можно применять к любым проблемам, например к мошенничеству. Это же и самый простой путь: запретить и все дела.

Однако успех мошеннических схем зависит не только и не столько от канала коммуникации, сколько от качественной подготовки и изучения жертвы. Атаки не были бы столь успешны и многочисленны, если бы в распоряжении не было такого огромного объёма персональных данных.

Между тем, из-за бесчисленных успешных взломов и сливов баз данных, а также с помощью разнообразных сервисов злоумышленникам не составляет труда составить базовый профиль на свою жертву (ФИО, контактные данные, родственники, адрес и телефон, наличие счетов в банках и пр.), что существенно повышает эффективность социальной инженерии для кражи денег или, например, при организации диверсий.

Проблема утечек персданных вроде бы признаётся, но в основном в декларативном порядке. Конечно, нельзя сказать, что совсем ничего не делается. Например, увеличение штрафов за допущение утечек создаёт стимул для организаций больше инвестировать в обеспечение безопасности. Но, по сути, государство усилило кнут, не предложив пряник, что неизбежно будет подталкивать организации к сокрытию инцидентов и перекладыванию ответственности. Также по-прежнему ничего не сделано для того, чтобы граждане были в курсе того, что их данные из какого-то сервиса утекли их данные: у организаций нет обязанности уведомлять клиентов  и они не несут никакой ответственности за утаивание или сообщение неверных данных об утечке.

Сегодня утром Генеральная прокуратура России сообщила о признании нежелательной деятельности Recorded Future, - американской компании в сфере кибербезопасности.  Компания специализируется  на киберразведке.

Основанием для вынесения вердикта, согласно пресс релизу Ген. Прокуратуры, стало то, что сотрудники компании в процессе своей деятельности активно взаимодействуют с ЦРУ и разведслужбами других государств,  а также  обеспечивают информационно-техническую поддержку развернутой Западом пропагандистской кампании против России.

«Организация участвует в сборе и анализе данных о действиях Вооруженных Сил РФ. Обеспечивает украинским специалистам свободный доступ к программам, используемым для подготовки и проведения наступательных информационных операций против России» - говорится в документе.

Recorded Future названа неправительственной организацией, которая «финансируется за счет американских корпораций»

Это первый случай, когда инфобез-компания получила в России такой статус.

Внесение Recorded Future в список нежелательных организаций может иметь определённые последствия для российских ИБ-компаний. Так, в России предусмотрена административная и уголовная ответственность за участие в деятельности нежелательных организаций, а это, по опыту, включает и распространение любых материалов такой организации, то есть дажепростая  ссылка на отчет Recorded Future может считаться нарушением.

Для журналистов, особенно в профильных изданиях теперь стоит вопрос, можно ли цитировать материалы The Record — медиа Recorded Future, которое в последние несколько лет играло заметную роль в освещении новостей о кибербезопасности. При этом, сам компания может вскоре исчезнуть, путем покупки ее платёжной системой  Mastercard

Зампред Совета по развитию цифровой экономики при Совфеде Артем Шейкин предлагает  перейти от небезопасной системы подтверждения банковских операций с помощью цифровых кодов в СМС-сообщениях на электронную подпись, чтобы обеспечить защиту транзакций от мошенников. По его словам, в этом случае россияне не будут подвергаться риску стать жертвами мошенников, использующих уязвимость СМС-системы.

"Представьте себе: вы скачали, казалось бы, безобидный файл, а он содержит вредоносное ПО, которое передает изображение вашего экрана мошенникам. После чего мошенники видят все действия в режиме реального времени, включая код из СМС-сообщения, который появляется на экране в случае запроса перевода денежных средств. Ситуация осложняется тем, что современные мошенники используют не только вредоносные программы для перехвата информации с экрана пользователя, но и обладают методами перехвата самих СМС-сообщений, содержащих одноразовые коды", - подчеркнул Шейкин.

В обращении на имя первого зампредседателя Банка России Дмитрия Тулина,  парламентарий отмечает, что согласно документу Банка России использование простой электронной подписи для защиты электронных сообщений и подтверждения, что операция совершается уполномоченным на это лицом, возможно только совместно со средствами криптографической защиты информации. Однако, не все кредитные организации выполняют указанные требования из-за их рекомендательного, а не обязательного к исполнению характера.

По мнению Артема Шейкина это требование должно носить обязательный характер.