Уважаемые коллеги!
Прошу вас высказать критические замечания по изложенным ниже моим соображениям.
Изучаю вопрос юридической силы (действительности, юридического значения) электронного документа (ЭД) с учетом фактора использования списка отозванных сертификатов (СОС).
Исходные для размышления следующие:1. При отсутствии доверенной службы штампов времени (а у нас ее нет) такого понятия, как время подписи в ЭД (время формирования ЭЦП), также быть не может, и все вопросы, связанные со временем, выносятся на уровень прикладного содержания ЭД.
2. Список отозванных сертификатов используется получателем ЭД для проверки того, что срок действия сертификата ключа подписи (СКП) не завершен досрочно. Насколько я понял, правило контроля СОС простое: если СКП находится в СОС, то СКП необходимо считать досрочно завершенным с момента RevocationDate. Соответственно, все ЭД, для которых ЭЦП сформирована позже RevocationDate СКП в СОС, следует считать не имеющими юридической силы.
Таким образом, определение юридической силы ЭД заключается в следующих шагах:1.
Проверка действительности СКП. Сертификат считается действующим, если: 1) его срок действия уже начался, но еще не закончился, и 2) СКП отсутствует в актуальном СОС. Для выполнения этой проверки можно использовать КриптоАРМ, для которого доступны СКП отправителей ЭД.
2.
Проверка целостности ЭД. ЭД считается не измененным, если для него получен положительный результат проверки целостности. Проверка также осуществляется КриптоАРМ и осуществляется с использованием СКП лица, подписавшего документ.
3.
Проверка полномочий. Считается, что лицо, сформировавшее ЭЦП в ЭД, уполномочено на это, если ЭД соответствует тем отношениям, которые указаны в СКП лица, подписавшего ЭД. КриптоАРМ этого делать не умеет, и это вручную должен контролировать получатель ЭД.
Невыполнение любого из перечисленных выше условий означает, что ЭД не имеет юридической силы.
Теперь, собственно, предмет вопроса.Предположим, две стороны А и Б по описанной выше схеме наладили документооборот: А - отправитель, Б - получатель. При этом на стороне А владельцами СКП являются два лица Пупкин и Пупыркин, для которых УдЦентром
два месяца назад выпущены СКП: А-Пупкин и А-Пупыркин. Отношения одинаковые - обмен документами со стороной Б.
Месяц назад Пупкин ушел в отпуск, приостановив через УЦ действие своего СКП; УЦ внес этот СКП в СОС. Итак, Пупкин спокойно ушел в отпуск, но Пупыркин оказался плохим парнем, и, имея ключ от сейфа Пупкина, решил схитрить: подписал компрометирующий Пупкина электронный документ (ГадкийЭД), используя токен Пупкина с его закрытым ключом ЭЦП. Подписал, но не направил его стороне Б (что бесполезно, поскольку СКП А-Пупкин находится в СОС), а прикопал для будущего злого дела.
Две недели назад (а у вас отпуск длиннее?) Пупкин вернулся из отпуска и возобновил действие своего СКП; УЦ исключил СКП А-Пупкин из СОС. И вот, неделю назад сторона Б получает ГадкийЭД (Пупыркин отправил с адреса Пупкина, по сравнению с остальным это было не трудно), который приводит сторону Б в ярость. Она напрямую выходит на гендиректора стороны А, и, после небольшого разбирательства (а чего долго разбираться: целостность + неотрекаемость/аутентификация), Пупкина увольняют, а его теплое место занимает плохой парень Пупыркин.
Вопрос: эта ситуация реальна с ЭДО, ЭЦП и СОС? Если да, то как от нее защититься? Стоит ли пользоваться СОС для временного прекращения действия СКП?
