Согласен с обоими утверждениями. И про озаботятся приватностью, и про помогать друг другу. Только я не понимаю где же это я идеализирую капитализм? В чем именно?
Именно это я и хотел сказать. Автор статьи сильно заблуждается в том, какие проблемы стоят пепед человечеством, и лозунг Windows must die - звучит весьма маргинально и предвзято на общем фоне.
Именно. То о чем написан этот комментарий - это тема, которая не стоит ни копейки. Если бы пользователи были бы готовы платить за операционку с хорошей приваси - предложения бы были...
А так, даже Windows Phone не смог подняться, потому что просил денег с производителей железа за свою работу. Это означает, что пользователям все нравится в том, как есть сейчас.
Вы правы, только если не посмотреть чуть глубже. Если бы при выходе Windows 11, обычные люди кинулись в магазины покупать размахивая деньгами ( как многие годы происходит с iPhone, например). А в следующую минуту, кто то первый в очереди закричал бы "расходимся, она только через MS account работает". И народ точно также как собрался так и разбежались, то согласитесь Microsoft учёл бы пожелания "оьычных людей". Так же как он учитывает пожелания корпоративного сектора. Но он вынужден конкурировать с коллегами по цеху, которые раздают свои продукты бесплатно. И мы знаем, с кого они возьмут деньги чтобы показывать прибыль своим акционерам.
И у OpenSource та же проблема. Если бы купив теоефон люди не выходя из магазина ставили бы на него альтернативную операционнку, заботясь о приваси - то это был бы совсем другой мир. И есть еще третий момент: обновляется прошивка людей- новым поколениям плевать на слежку. Они привыкли к совершенно другому уровню открытости и совершенно по другому оценивают все эти вещи. Очень скоро все стенания о приваси станут признаком возраста индивида.
Конечно будут версии Enterprise, в которых всё будет так, как надо. Конечно, нужно забыть об этом сказать в статье… Надо же хайпу нагнать.
Microsoft последняя в списке производителей чего угодно переходит к обязательности online аккаунта. Сначала её подвинули от понятия «персональный» (компьютер). Появились более персональные мобильные гаджеты, которые уже слизали всю инфу в онлайн. Но когда ее остатки нужно залить в настольный компьютер — мы будем вописть по поводу online аккаунтов и приватности.
Все как будто забыли, что сливая данные в комп, они попадают в лапы производителя софта, а делая домашние фоточки в смартфон — в большинстве случаев, мы доверяем их рекламному агентству, который пишет для нас софт — «бесплатно».
И раз уж это реальная проблема, которая всех заботит, почему я до сих пор не вижу смартфонов на Линуксах? Что-то в этом случае OpenSource сообщество не торопится позаботиться о данных пользователей.
Делаю неутешительный вывод: вместе с каждым выходом новой операционной системы иногда приходится списывать старое железо, старые догмы, и старых пользователей, которые не готовы с такими догмами расстаться.
Все интереснее и интереснее. Особенно факт, что в логах на egov останется запись что услуга получена (даже на стороннем сайте?).
Прошу прощения за назойливость, но тема важная. Виртуальный сценарий: я- злоумышленник, создал сайт с аутентификацией по ЭЦП (например сайт страховой компании, продающий страховки на машины). Между делом пользуясь данными, подписываю какие -либо бумажки ЭЦП пользователя. Схему придумаю на ходу, чтобы интересно было: Предположим существует сайт ломбарда, назовем его WhiteLombard.kz. И суть того что я делаю — беру справку о недвижимости индивида на egov, предъявляю в WhiteLombard.kz, подписываю договор залога, подтверждаю обременение имущества на egov.
Что происходит, как я понимаю из текста выше:
1) через NCLayer получаем пути к ключам, а также пароль к ним.
2) в фоновом режиме, без диалогов, подписываем запрос на справку о недвижимости, на egov.
3) в фоновом режиме на WhiteLombard.kz заключаем договор залога, передаем недвижимость в залог и подтверждаем обременение на egov.
Еще раз, предположим весь функционал есть.
Вопросы:
1) Понимаю, что запрос справки на egov будет отражен в логах. Отличить его от настоящего будет невозможно.
2) Будет ли отражен в egov факт подписания чего либо на сайте «страховой компании» или «WhiteLombard.kz»? Или даже сам факт аутентификации? Кажется нет. Или?
1.1) Раньше в NCLayer существовал какой-то режим отладки. Можно было создать какие-то файлы, которые как-то анализировать. Сейчас всего этого нет. Зато появились модули. Которые можно устанавливать… И больше ничего… Никаких настроек не видно. Может быть есть какие-то скрытые настройки? реестр? То есть — есть ли какой-то скрытый файлик протокола на стороне клиента где можно по-крайней мере обнаружить обращения и факты подписания чего либо? Ведь NCLayer не ВЫДАЕТ КЛЮЧ? Подписание происходит с его участием, и следовательно — может быть сохранено в логах. Локалных или удаленных.
2.1) Поможет ли разделение ключей? По умолчанию, оба ключа лежат в одном каталоге. А если разделить их? Положить ключ аутентификации в одно место, а секретный в другое? Ок, я аутентифицировался на «постороннем сайте», но подписать от моего имени запрос на egov — не удастся. Или…? Что в таком случае будет хранить/выдавать NCLayer? Место последнего использованного ключа?
3.1) КНП плагин и NCLayer больше не конфликтуют. Сегодня проверил. Тем более, раз у них теперь и порт разный, насколько вообще это разные миры? Мир «гражданский» и мир «налоговый»? :-) И насколько в «мире налоговом» нас ожидают теже проблемы? Этот вопрос пока не отвечен. А ведь в этой области кроется гораздо больше неприятностей для пользователей. Во-первых, по причине высокой концентрации ключей в одной машине. Там есть бухгалтерские фирмы, которые держат десятки и сотни ключей на одном компьютере. Во-вторых, область бизнеса потенциально более денежная — следовательно, магнит для злоумышленников. В-третьих, сфера бизнеса более регламентрованная. Вы не можете выбрать «заходить на этот левый сайт или нет» — вы обязаны.
Поэтому пожалуйста, если это возможно, прокомментируйте КНП плагин на предмет таких же «упрощений»…
4.1) теперь в NCLayer есть плагины/модули. Я сегодня видел там какие-то штуки, которые установлены/устарели-но-всеравно-установлены и которые можно установить. Что-то про министерство финансов например. Что это все? Имеем ли мы дело с зоопарком различных программ доступа и теперь безопасность каждого модуля надо обсуждать отдельно? Какое все это имеет оношение к инфраструктуре?
5.1) При всем при том, как существует управление статистики cabinet.stat.gov.kz которое модуля не имеет, и вообще никакой софт ему ставить отдельно не нужно (судя по инструкции), и аутентификацию оно хочет предоставить только при использовании ключа RSA? (https://cabinet.stat.gov.kz/OnlineReports/faces/instruction?_adf.ctrl-state=1afrzs3r6t_10&_afrLoop=5364477773078590). Зачем тогда весь этот зоопарк с NCLayer, его модулями, KNP Plugin? Ведь они говорили, что Java не поддерживается браузерами. А как тогда это работает у Статистиков? Они что RSA ключ на сторону сервера пересылают? Кстати — это тоже идея. так наверное «еще проше». (При этом их сертификат сайта, кажется не валидный. Вот где злоумышленники.)
А теперь о хорошем:
Бардак и хаос на рынке всегда рождает массу возможностей. В сложившейся ситуации я вижу не только возможность написать свой собственный NCLayer и продавать его за деньги, (и даже доагдываюсь кто его купит), но и сделать общедоступную платформу OAuth, которая обеспечит жителей Казахстана во-первых безопасным входом, когда все «левые сайты» смогут получить результаты аутентификации но не смогут манипулировать ключами, во-вторых, снизит входной порог для тех, кому нужно аутентифицировать человека, но не нужно слишком глубокого доступа к его «юридическим правоспособностям». Допустим теже Интернет-магазины получили бы более ответственных клиентов, если бы видели не обезличенного пользователя, а человека аутентифицированного государственным ЭЦП, хотя самого ЭЦП — не видели бы.
В общем, если кто-нибудь из присутствующих готов обсудить возможности бизнеса связанного с казахстанской ЭЦП, буду рад поучаствовать.
Ну и в конце концов — наверное есть патриоты. Или бужем ждать пока придут эстонцы и все поправят? А это уже обсуждается. (ничего плохого об эстонцах. Все кого знаю — грамотные специалисты. Просто в Казахстане, полагаю, тоже достаточно хороших специалистов)
Почему я не думаю, что оно «исправится само»? Власть в Казахстане разрозненна и децентрализована. Пример с ЭЦП — это пример удивительного продукта, когда у гибрида корни уже помидорные, а плоды уже вполне картофельные. То есть на текущий момент все преимущества решения — не работают, а все недостатки — работают на 100%.
Я не знаю когда прекратили отношения с Гаммой. Но и до этого не было единообразия в использовании ЭЦП. А сейчас — каждое министерство, ведомство, государственные и полугосударственные предприятия плодят «свои решения» на каждом шагу. Пользователи в афиге. Идея «один гражданин — одна ЭЦП» с самого начала была мертвая. Но теперь она обросла еще и безумным зоопарком, разобраться в котором нормальные люди не смогут. ЭЦП в целом начинает хромать на обе лапы. Даже если завтра утром все проблемы с NCLayer исчезнут, благодаря быстрой и слаженной работе программистов — проблемы никуда не исчезнут. Например перестанут работать «сторонние сайты» (кривой протокол поменялся же)… Может они и кривые, но какие-то полезные функции они несут же? Пока не очень верю в злоумышленников. Больше в разгильдяйство.
Как я понимаю, в целом весь кроссплатформенный проект потерпел фиаско. Я помню как это продавали: говорили что вот буквально через 5 лет Windowsу конец, что Windows — это дорого, что в ЦОНах надо ставить Линукс и т.п. К сожалению ни в одном месте я так Линукса «для экономии» и не увидел. Ни в Налоговой, ни в ЦОНах. Плюс реализация на Java принесла много «ужасов настройки», дыр, непрерывные security fix, которые нужно было «немедленно ставить». В общем, это было заведомо мертвое решение. По мне так изначальная архитектура всего этого мероприятия была выбрана с учетом того, что мы нефтяной монстр и денег на все хватит и еще останется. Та же Эстония и Дания, которых мы теперь приглашаем рулить инфраструктурой и упоминаем в государственных программах — многие из наших граблей избежали. Хотя у них есть свои.
Вероятно и причина ссоры с Гаммой была в том, что «кроссплатформенное решение» не хотело без бубна переносится даже между Windows 8 и Windows 8.1. И у меня были подозрения, что это неспроста. Впрочем — это все догадки неспециалиста.
Еще раз хотел бы подтвердить для себя некоторые моменты. Простите за повтор — информация важная.
1) атака возможна только если ключ вставлен в компьютер в этот момент?
у меня ключ на удостоверении. Получал безопасно. Никогда не оставляю кардридер вставленным в компьютер. Сами ключи можно забрать с удостоверения через NCLayer? Если нет, это сильно снижает вероятность атаки.
2) если я правильно понимаю, атака не оставляет записи в логах о полученной услуге? Или…? То есть, смогу ли я в суде оспорить эту подпись, ссылаясь на то, что по получению этой «услуги» нет записи в логе? (я понимаю, что если это целый «сайт злоумышленник» то они все логи сделают как положено, но по крайней мере, я не могу посетить сторонний сайт, а в этот момент за меня подпишут что-то на egov, чтобы в логах егов значилась запись? или это тоже возможно?)
3) почему конфликтует КНП плагин и NCLayer? я думал, что на сервере используется примерно одинаковый протокол, и поэтому они «дерутся за порт». Но раз писала его совсем другая контора, они что, тоже для «собственного удобства» пароли и пути к ключам сливают? Понимаю, что это вопрос сложный, однако достаточно важный для пользователей. Рискну предположить, что в некоторой степени вопрос отношений с налоговой может быть даже более важным, чем для физических лиц. Там замешаны гораздо более большие деньги. Там есть коммерческие интересы, конкурренция, рейдерство и прочие вещи, где можно использовать кибератакаи, как составную часть более всеобъемлящего процесса.
4) ну и маленькое предположение. Раз это «полный аналог ручной подписи», кто-нибудь рассматривал вариант применения к потенциальным нарушителям, иска о подделке документов? Кажется это что-то там до 5 лет тюрьмы. Я понимаю, что ситуация виртуальная на текущий момент.
Всем большое спасибо за ответы. Надеюсь это поможет не только мне, но и другим пользователям.
Спасибо за прекрасный материал, показывающий как на самом деле выглядит наша безопасность «под капотом». Согласен про двустороннюю проблему пользователи-разработчики. Хотелось бы отметить пару практических моментов со стороны пользователей.
1) «с ЭЦП ничего не сделаешь». Мантра разработчиков. С самой ЭЦП ничего, но в составе других преступных деяний, ЭЦП очень даже поможет реализовать замысел. Получить подробности недвижимости которой вы владеете например,… «информация правит миром». Или жениться/развестись без ведома второй стороны. Да, выше правильно указано — заявление подали, а дальше в ЗАГС идти надо. Но в ЗАГСЕ вам бумажки отдадут не поднимая головы. Они же уверены — человек ЭЦП подписал — нафига его с личностью сверять?
А уж произвольному гражданину временную прописку организовать по случайному адресу — это прям вообще легко.
Дело осложняется еще больше, если у гражданина есть собственность в виде компании…
2) хотелось бы услышать такой же анализ про налоговый КНП плагин. Подозреваю, что это какой-то вариант NCLayer. По-крайней мере вместе в одном компе они не живут. Думаю дерутся за общий порт сокета. Но нафига нужно было отдельную софтину городить? Вот вопрос. А что со Статистическим Управлением? Нафига они на странице входа требуют не подпись для аутентификации? Это «стиль такой»?
3) умиляет разделение на «государственные и частные» сайты. Как будто тот факт, что вы зашли на государственный сайт вас от чего-то защищает. Наоборот. Именно из государственных недров достаются всякие «базы ГАИ» и прочие вещи, продающиеся на базарах. Именно против государственных органов бессмысленно подавать иски, хотя частные компании сравнительно легко разорить до копейки, если они «жульничали» или «халявили безопасность». База «путей и паролей» полагаю могла бы стать реальным объектом заработка несчастных админов из страны с минимальной заработной платой в USD 70.
Эта же цифра стоит у меня перед глазами, когда я представляю «государственные органы» в виде заказчиков какого-либо решения с ЭЦП. Сначала «надо чтобы выглядело дорого-богато»: отдельная инфраструктура, бюджет на аппаратное решение, напишем собственный вариант NCLayer. А потом: «а можете вот эту ваши смету поделить на 4. А то дорого очень...». «Конечно можем — но безопасность будет никакая»… Никакой конкретной информацией не владею. Но виртуальный диалог выглядит очень правдоподобно.
4) Можно ли создать общие рекомендации для пользователей ключей на текущий момент?
Что-то в духе меняйте пути к ключам после каждого использования на подозрительных государственных сайтах? Меняйте пароли по понедельникам? Перевыпускайте ключи раз в месяц? Что-нибудь из перечисленного имеет смысл?
Согласен с обоими утверждениями. И про озаботятся приватностью, и про помогать друг другу. Только я не понимаю где же это я идеализирую капитализм? В чем именно?
Именно это я и хотел сказать. Автор статьи сильно заблуждается в том, какие проблемы стоят пепед человечеством, и лозунг Windows must die - звучит весьма маргинально и предвзято на общем фоне.
Именно. То о чем написан этот комментарий - это тема, которая не стоит ни копейки. Если бы пользователи были бы готовы платить за операционку с хорошей приваси - предложения бы были...
А так, даже Windows Phone не смог подняться, потому что просил денег с производителей железа за свою работу. Это означает, что пользователям все нравится в том, как есть сейчас.
Вы правы, только если не посмотреть чуть глубже. Если бы при выходе Windows 11, обычные люди кинулись в магазины покупать размахивая деньгами ( как многие годы происходит с iPhone, например). А в следующую минуту, кто то первый в очереди закричал бы "расходимся, она только через MS account работает". И народ точно также как собрался так и разбежались, то согласитесь Microsoft учёл бы пожелания "оьычных людей". Так же как он учитывает пожелания корпоративного сектора. Но он вынужден конкурировать с коллегами по цеху, которые раздают свои продукты бесплатно. И мы знаем, с кого они возьмут деньги чтобы показывать прибыль своим акционерам.
И у OpenSource та же проблема. Если бы купив теоефон люди не выходя из магазина ставили бы на него альтернативную операционнку, заботясь о приваси - то это был бы совсем другой мир. И есть еще третий момент: обновляется прошивка людей- новым поколениям плевать на слежку. Они привыкли к совершенно другому уровню открытости и совершенно по другому оценивают все эти вещи. Очень скоро все стенания о приваси станут признаком возраста индивида.
Microsoft последняя в списке производителей чего угодно переходит к обязательности online аккаунта. Сначала её подвинули от понятия «персональный» (компьютер). Появились более персональные мобильные гаджеты, которые уже слизали всю инфу в онлайн. Но когда ее остатки нужно залить в настольный компьютер — мы будем вописть по поводу online аккаунтов и приватности.
Все как будто забыли, что сливая данные в комп, они попадают в лапы производителя софта, а делая домашние фоточки в смартфон — в большинстве случаев, мы доверяем их рекламному агентству, который пишет для нас софт — «бесплатно».
И раз уж это реальная проблема, которая всех заботит, почему я до сих пор не вижу смартфонов на Линуксах? Что-то в этом случае OpenSource сообщество не торопится позаботиться о данных пользователей.
Делаю неутешительный вывод: вместе с каждым выходом новой операционной системы иногда приходится списывать старое железо, старые догмы, и старых пользователей, которые не готовы с такими догмами расстаться.
Жиза.
Прошу прощения за назойливость, но тема важная. Виртуальный сценарий: я- злоумышленник, создал сайт с аутентификацией по ЭЦП (например сайт страховой компании, продающий страховки на машины). Между делом пользуясь данными, подписываю какие -либо бумажки ЭЦП пользователя. Схему придумаю на ходу, чтобы интересно было: Предположим существует сайт ломбарда, назовем его WhiteLombard.kz. И суть того что я делаю — беру справку о недвижимости индивида на egov, предъявляю в WhiteLombard.kz, подписываю договор залога, подтверждаю обременение имущества на egov.
Что происходит, как я понимаю из текста выше:
1) через NCLayer получаем пути к ключам, а также пароль к ним.
2) в фоновом режиме, без диалогов, подписываем запрос на справку о недвижимости, на egov.
3) в фоновом режиме на WhiteLombard.kz заключаем договор залога, передаем недвижимость в залог и подтверждаем обременение на egov.
Еще раз, предположим весь функционал есть.
Вопросы:
1) Понимаю, что запрос справки на egov будет отражен в логах. Отличить его от настоящего будет невозможно.
2) Будет ли отражен в egov факт подписания чего либо на сайте «страховой компании» или «WhiteLombard.kz»? Или даже сам факт аутентификации? Кажется нет. Или?
Пожалуйста прокомментируйте мои догадки/предположения:
1.1) Раньше в NCLayer существовал какой-то режим отладки. Можно было создать какие-то файлы, которые как-то анализировать. Сейчас всего этого нет. Зато появились модули. Которые можно устанавливать… И больше ничего… Никаких настроек не видно. Может быть есть какие-то скрытые настройки? реестр? То есть — есть ли какой-то скрытый файлик протокола на стороне клиента где можно по-крайней мере обнаружить обращения и факты подписания чего либо? Ведь NCLayer не ВЫДАЕТ КЛЮЧ? Подписание происходит с его участием, и следовательно — может быть сохранено в логах. Локалных или удаленных.
2.1) Поможет ли разделение ключей? По умолчанию, оба ключа лежат в одном каталоге. А если разделить их? Положить ключ аутентификации в одно место, а секретный в другое? Ок, я аутентифицировался на «постороннем сайте», но подписать от моего имени запрос на egov — не удастся. Или…? Что в таком случае будет хранить/выдавать NCLayer? Место последнего использованного ключа?
3.1) КНП плагин и NCLayer больше не конфликтуют. Сегодня проверил. Тем более, раз у них теперь и порт разный, насколько вообще это разные миры? Мир «гражданский» и мир «налоговый»? :-) И насколько в «мире налоговом» нас ожидают теже проблемы? Этот вопрос пока не отвечен. А ведь в этой области кроется гораздо больше неприятностей для пользователей. Во-первых, по причине высокой концентрации ключей в одной машине. Там есть бухгалтерские фирмы, которые держат десятки и сотни ключей на одном компьютере. Во-вторых, область бизнеса потенциально более денежная — следовательно, магнит для злоумышленников. В-третьих, сфера бизнеса более регламентрованная. Вы не можете выбрать «заходить на этот левый сайт или нет» — вы обязаны.
Поэтому пожалуйста, если это возможно, прокомментируйте КНП плагин на предмет таких же «упрощений»…
4.1) теперь в NCLayer есть плагины/модули. Я сегодня видел там какие-то штуки, которые установлены/устарели-но-всеравно-установлены и которые можно установить. Что-то про министерство финансов например. Что это все? Имеем ли мы дело с зоопарком различных программ доступа и теперь безопасность каждого модуля надо обсуждать отдельно? Какое все это имеет оношение к инфраструктуре?
5.1) При всем при том, как существует управление статистики cabinet.stat.gov.kz которое модуля не имеет, и вообще никакой софт ему ставить отдельно не нужно (судя по инструкции), и аутентификацию оно хочет предоставить только при использовании ключа RSA? (https://cabinet.stat.gov.kz/OnlineReports/faces/instruction?_adf.ctrl-state=1afrzs3r6t_10&_afrLoop=5364477773078590). Зачем тогда весь этот зоопарк с NCLayer, его модулями, KNP Plugin? Ведь они говорили, что Java не поддерживается браузерами. А как тогда это работает у Статистиков? Они что RSA ключ на сторону сервера пересылают? Кстати — это тоже идея. так наверное «еще проше». (При этом их сертификат сайта, кажется не валидный. Вот где злоумышленники.)
А теперь о хорошем:
Бардак и хаос на рынке всегда рождает массу возможностей. В сложившейся ситуации я вижу не только возможность написать свой собственный NCLayer и продавать его за деньги, (и даже доагдываюсь кто его купит), но и сделать общедоступную платформу OAuth, которая обеспечит жителей Казахстана во-первых безопасным входом, когда все «левые сайты» смогут получить результаты аутентификации но не смогут манипулировать ключами, во-вторых, снизит входной порог для тех, кому нужно аутентифицировать человека, но не нужно слишком глубокого доступа к его «юридическим правоспособностям». Допустим теже Интернет-магазины получили бы более ответственных клиентов, если бы видели не обезличенного пользователя, а человека аутентифицированного государственным ЭЦП, хотя самого ЭЦП — не видели бы.
В общем, если кто-нибудь из присутствующих готов обсудить возможности бизнеса связанного с казахстанской ЭЦП, буду рад поучаствовать.
Ну и в конце концов — наверное есть патриоты. Или бужем ждать пока придут эстонцы и все поправят? А это уже обсуждается. (ничего плохого об эстонцах. Все кого знаю — грамотные специалисты. Просто в Казахстане, полагаю, тоже достаточно хороших специалистов)
Почему я не думаю, что оно «исправится само»? Власть в Казахстане разрозненна и децентрализована. Пример с ЭЦП — это пример удивительного продукта, когда у гибрида корни уже помидорные, а плоды уже вполне картофельные. То есть на текущий момент все преимущества решения — не работают, а все недостатки — работают на 100%.
Я не знаю когда прекратили отношения с Гаммой. Но и до этого не было единообразия в использовании ЭЦП. А сейчас — каждое министерство, ведомство, государственные и полугосударственные предприятия плодят «свои решения» на каждом шагу. Пользователи в афиге. Идея «один гражданин — одна ЭЦП» с самого начала была мертвая. Но теперь она обросла еще и безумным зоопарком, разобраться в котором нормальные люди не смогут. ЭЦП в целом начинает хромать на обе лапы. Даже если завтра утром все проблемы с NCLayer исчезнут, благодаря быстрой и слаженной работе программистов — проблемы никуда не исчезнут. Например перестанут работать «сторонние сайты» (кривой протокол поменялся же)… Может они и кривые, но какие-то полезные функции они несут же? Пока не очень верю в злоумышленников. Больше в разгильдяйство.
Вероятно и причина ссоры с Гаммой была в том, что «кроссплатформенное решение» не хотело без бубна переносится даже между Windows 8 и Windows 8.1. И у меня были подозрения, что это неспроста. Впрочем — это все догадки неспециалиста.
1) атака возможна только если ключ вставлен в компьютер в этот момент?
у меня ключ на удостоверении. Получал безопасно. Никогда не оставляю кардридер вставленным в компьютер. Сами ключи можно забрать с удостоверения через NCLayer? Если нет, это сильно снижает вероятность атаки.
2) если я правильно понимаю, атака не оставляет записи в логах о полученной услуге? Или…? То есть, смогу ли я в суде оспорить эту подпись, ссылаясь на то, что по получению этой «услуги» нет записи в логе? (я понимаю, что если это целый «сайт злоумышленник» то они все логи сделают как положено, но по крайней мере, я не могу посетить сторонний сайт, а в этот момент за меня подпишут что-то на egov, чтобы в логах егов значилась запись? или это тоже возможно?)
3) почему конфликтует КНП плагин и NCLayer? я думал, что на сервере используется примерно одинаковый протокол, и поэтому они «дерутся за порт». Но раз писала его совсем другая контора, они что, тоже для «собственного удобства» пароли и пути к ключам сливают? Понимаю, что это вопрос сложный, однако достаточно важный для пользователей. Рискну предположить, что в некоторой степени вопрос отношений с налоговой может быть даже более важным, чем для физических лиц. Там замешаны гораздо более большие деньги. Там есть коммерческие интересы, конкурренция, рейдерство и прочие вещи, где можно использовать кибератакаи, как составную часть более всеобъемлящего процесса.
4) ну и маленькое предположение. Раз это «полный аналог ручной подписи», кто-нибудь рассматривал вариант применения к потенциальным нарушителям, иска о подделке документов? Кажется это что-то там до 5 лет тюрьмы. Я понимаю, что ситуация виртуальная на текущий момент.
Всем большое спасибо за ответы. Надеюсь это поможет не только мне, но и другим пользователям.
1) «с ЭЦП ничего не сделаешь». Мантра разработчиков. С самой ЭЦП ничего, но в составе других преступных деяний, ЭЦП очень даже поможет реализовать замысел. Получить подробности недвижимости которой вы владеете например,… «информация правит миром». Или жениться/развестись без ведома второй стороны. Да, выше правильно указано — заявление подали, а дальше в ЗАГС идти надо. Но в ЗАГСЕ вам бумажки отдадут не поднимая головы. Они же уверены — человек ЭЦП подписал — нафига его с личностью сверять?
А уж произвольному гражданину временную прописку организовать по случайному адресу — это прям вообще легко.
Дело осложняется еще больше, если у гражданина есть собственность в виде компании…
2) хотелось бы услышать такой же анализ про налоговый КНП плагин. Подозреваю, что это какой-то вариант NCLayer. По-крайней мере вместе в одном компе они не живут. Думаю дерутся за общий порт сокета. Но нафига нужно было отдельную софтину городить? Вот вопрос. А что со Статистическим Управлением? Нафига они на странице входа требуют не подпись для аутентификации? Это «стиль такой»?
3) умиляет разделение на «государственные и частные» сайты. Как будто тот факт, что вы зашли на государственный сайт вас от чего-то защищает. Наоборот. Именно из государственных недров достаются всякие «базы ГАИ» и прочие вещи, продающиеся на базарах. Именно против государственных органов бессмысленно подавать иски, хотя частные компании сравнительно легко разорить до копейки, если они «жульничали» или «халявили безопасность». База «путей и паролей» полагаю могла бы стать реальным объектом заработка несчастных админов из страны с минимальной заработной платой в USD 70.
Эта же цифра стоит у меня перед глазами, когда я представляю «государственные органы» в виде заказчиков какого-либо решения с ЭЦП. Сначала «надо чтобы выглядело дорого-богато»: отдельная инфраструктура, бюджет на аппаратное решение, напишем собственный вариант NCLayer. А потом: «а можете вот эту ваши смету поделить на 4. А то дорого очень...». «Конечно можем — но безопасность будет никакая»… Никакой конкретной информацией не владею. Но виртуальный диалог выглядит очень правдоподобно.
4) Можно ли создать общие рекомендации для пользователей ключей на текущий момент?
Что-то в духе меняйте пути к ключам после каждого использования на подозрительных государственных сайтах? Меняйте пароли по понедельникам? Перевыпускайте ключи раз в месяц? Что-нибудь из перечисленного имеет смысл?