24 ноября, пятница 21:44
Bankir.Ru

Объявление

Свернуть
1 из 2 < >

Выбираем Золотого пользователя - 2017

2 из 2 < >

Выбираем Золотого модератора - 2017

Показать больше
Показать меньше

Выпуск сертификата без визита в УЦ

Свернуть
X
  • Фильтр
  • Время
  • Показать
Очистить всё
новые сообщения

  • Выпуск сертификата без визита в УЦ

    Ну, кто о чем, а я опять о наболевшем

    С первичным выпуском сертификата вопросов нет: абонент приносит в УЦ распечатку открытого ключа и предъявляет необходимые документы.

    А вот через годик, в принципе, у него уже есть возможность не ходить в УЦ для подачи запроса, а подписать электронный запрос старым (еще действующим) ключом.
    Вроде бы, все классно. Но вдруг у клиента изменились паспортные данные? Технически, он может включить в запрос новые данные, но тогда УЦ должен или "поверить на слово" ему, или получить подтверждение от паспортной службы МВД (а если удостоверяющий личность документ не паспорт, то из другого источника), что взамен паспорта №123456 выдан паспорта №654321. Собственно, даже если абонент делает запрос на основе старого сертификата, и туда включаются старые паспортные данные, то у УЦ все равно стоит задача удостоверится, что у клиента еще этот паспорт, а не новый.

    Получается грустная картинка: абоненту каждый год придется общаться с УЦ лично. Может быть уважаемая общественность предложит альтернативный вариант?
    Earl Vlad Drakula. ///

  • #2
    Но ведь когда клиент в течении года подписывает документы - у него ведь при каждой проверке подписи паспорт ведь не требуют? Разницы ведь нет что подписывать: платежку или заявление на выпуск сертификата.

    Имхо УЦ может обязать клиента приходить перевыпускать сертификат в случае смены паспорта, причем сразу, а не при плановом перевыпуске.
    Дмитрий Мирошников
    www.iSimpleLab.com

    Комментарий


    • #3
      to hugevlad

      Можно нескромный вопрос ? Вы ставите банковский или публичный УЦ? А может планируете банковский УЦ использовать в качестве публичного?

      Комментарий


      • #4
        MDS
        Но ведь когда клиент в течении года подписывает документы - у него ведь при каждой проверке подписи паспорт ведь не требуют?
        Не требуют. Но это совсем другая песня. Сертификат - это документ, выданный на основании паспорта. На момент выдачи действовал тот паспорт, и он был предъявлен. если в течение срока действия сертификата паспорт сменился, то ничего страшного, в новом паспорте стоит отметка о номере старого. У меня свидетельство на жилье на старый паспорт сделано, и все нормально
        А вот при выдаче нового сертификата делать это на основании старого паспорта - уже неправильно, ведь в этот момент времени уже нет такого документа, он сдан и уничтожен (наверное ).

        sandyman
        Вы ставите банковский или публичный УЦ?
        Банковский. Только мы его уже давно поставили, сейчас медитируем, как сделать так, чтобы не требовать физической явки клиентов для плановой смены.

        может планируете банковский УЦ использовать в качестве публичного?
        Все может быть
        Но какая разница в контексте заданного вопроса?
        Earl Vlad Drakula. ///

        Комментарий


        • #5
          hugevlad:Но какая разница в контексте заданного вопроса?
          Контекст ширше - Ваши последние топики. Глобальные вопросы в практическом ключе. Такое впечатление, что готовитесь лицензию получить.
          Что касается заданного вопроса, то он уже здесь поднимался. В теоретическом ключе
          http://dom.bankir.ru/showpost.php?p=602611&postcount=24

          Комментарий


          • #6
            sandyman
            Контекст ширше - Ваши последние топики. Глобальные вопросы в практическом ключе. Такое впечатление, что готовитесь лицензию получить.
            Ничего не "ширше". Если пользоваться терминологией в топике про АУДЭД, то речь, естественно, идет о служебном сертификате, который для клиента-физика вырождается в гражданский.
            А вопросы возникают в связи с желанием по итогам полуторагодичной эксплуатации сделать некоторые вещи удобнее и/или по уму
            Насчет лицензий - не напрягаюсь. Ибо порядка лицензирования нет, зато есть бессрочное разрешение на опытную эксплуатацию
            Earl Vlad Drakula. ///

            Комментарий


            • #7
              to hugevlad

              Для полноты картины - чей у Вас УЦ, какая криптография в ИБ и как они смогли подружиться?

              Комментарий


              • #8
                sandyman
                Для полноты картины - чей у Вас УЦ, какая криптография в ИБ и как они смогли подружиться?
                Сейчас у нас комплект NotaryPRO, InterPRO и MessagePRO (все - made in www.signal-com.ru). Рассматривается и вариант перехода на другие решения (например, "Инега ТМ" - made in www.adam.ru), если они окажутся удобнее и практичнее для реализации наших нужд
                Но не пойму, каким местом это к решению заданного вопроса?
                Он ведь лежит больше в организационно-правовой плоскости (но в юридическом форуме его задавать бесполезно, посему написал сюда), а как это реализовать технически - головная боль моя и разработчика.
                Earl Vlad Drakula. ///

                Комментарий


                • #9
                  hugevlad: Но не пойму, каким местом это к решению заданного вопроса?
                  Никаким . Сорри за оффтопик. Надеюсь, как-нибудь на форуме появится топик "УЦ банка: опыт практической эксплуатации" с Вашим активным участием

                  На www.adam.ru нашел:

                  Открыты службы вопросов и ответов по:
                  УЦ "Инегаtm-УЦ" (snews://office.ru/office.ru.vepr4)
                  Службы организованы как сервис телеконференций по анонимному защищенному соединению (RSA) - порт 563, который должен быть открыт из вашей сети.


                  Может там ответят..
                  Последний раз редактировалось sandyman; 24.03.2004, 11:23. Причина: дополнение

                  Комментарий


                  • #10
                    sandyman
                    Может там ответят..
                    Не по адресу немного. Разработчик делает программно-технические средства УЦ, дающие определенный функционал, а орг.-правовая обкладка (типа, что именно совать в сертификат и подтверждать ли эти сведения документами) - на плечах "эксплуататора". Это вопрос юридический, причем, индивидуально решаемый в каждой системе.

                    Надеюсь, как-нибудь на форуме появится топик "УЦ банка: опыт практической эксплуатации" с Вашим активным участием
                    Хех Почти год назад интервью на эту тему давал "Бизнес-Скайнету"
                    Собственно, "с высоты данного опыта" и сыплются вопросы - все, вроде бы правильно, кругом документально подтверждено и доказательства отложены, но уж очень много бумаг (2 шкафа, папки тяжелые, девушкам-администраторам тяжело их ворочать), да и клиенту неудобно.
                    Earl Vlad Drakula. ///

                    Комментарий


                    • #11
                      Когда клиент открывает счет в банке тоже требуется паспорт. А если клиент поменял паспорт или сменил фамилию и не сообщил об этом в банк, он что, теряет право распоряжаться счетом? А как банк об этом узнает?
                      Думаю, проблема здесь не такая уж и серьезная. Ведь паспорт удостоверяет личность. При выдаче первого сертификата личность была установлена. И смена паспорта ведь не означает, что поменялась личность..

                      Комментарий


                      • #12
                        Насколько я помню у меня в паспорте стоит штамп, что когда то у меня был другой паспорт - это видимо есть основание что то что оформлено на меня по старому документу имеет силу приемлимости. Другое дело что новые события нельзя оформлять по старому документу. Вывод - переиздание это новое событие или пролонгация старых прав, получив ответ на этот вопрос все станет ясно.

                        Комментарий


                        • #13
                          А где в законе об ЭЦП требование приводить в сертификате данные паспорта? И тем более актуальные данные.
                          А если и приводить, то это поле можно интерпретировать, как данные о паспорте, на основании которого выдан первичный сертификат.

                          Комментарий


                          • #14
                            sandyman
                            А где в законе об ЭЦП требование приводить в сертификате данные паспорта? И тем более актуальные данные.
                            Мысли читаете
                            Как раз сегодня ночью мне и пришла идея: при первичном "установлении личности" присваивать клиенту некий идентификатор длительного действия (в дополнение к ФИО, потому как бывают однофамильцы), например "банковский номер клиента", и не включать в сертификат паспортные данные.

                            А если клиент поменял паспорт или сменил фамилию и не сообщил об этом в банк, он что, теряет право распоряжаться счетом?
                            Нет, но при первом же обращении с новыми реквизитами в АБС будут внесены соответствующие изменения. Я открывал счет на старый паспорт, пришел с новым. Операционист посмотрела страничку "сведения о ранее выданных документах", убедилась, что я - это я, внесла в систему мои новые паспортные данные и совершила запрошенную операцию со счетом.
                            Проблема в том, что в данном случае визит очный, и я могу представить документы, подтверждающие изменения. А дистанционно - никак. Не хотелось бы как в анеке про Ржевского "а у нас тут на слово верят, тут мне карта и поперла"
                            Earl Vlad Drakula. ///

                            Комментарий


                            • #15
                              to hugevlad

                              Для публичного УЦ, ИМХО, такой подход не годится.
                              Кроме паспорта для идентификации личности можно использовать свидетельство о рождении. Их вроде бы не меняют .
                              Еще у Вас в России были планы перенумеровать население, церковь даже была против. Чем все это закончилось? В наших паспортах, например, кроме номера паспорта есть еще и личный номер. Он, видимо, со сменой паспорта не меняется.
                              А еще ведь есть ИНН. Они в России у всех физлиц или только у тех, кто заполняет налоговые декларации?
                              А еще что-то есть в пенсионном фонде.

                              Комментарий


                              • #16
                                sandyman
                                Для публичного УЦ, ИМХО, такой подход не годится.
                                Почему? Один раз идентифицировали, и далее по алгоритму.
                                Насчет свидетельства - неплохо, но любой документ имеет шанс быть утерянным.
                                Еще раз повторю свою идею: первая идентификация по действующему на тот момент документу (с бумажным запросом и т.п.), а потом - по "электронному документу" под названием "сертификат открытого ключа". Если юзер не допустит компрометации, то в дальнейшем все может делать дистанционно. Если скомпрометировал ключ - все по новой, с личной явкой и предъявлением документов.
                                В случае разбора полетов поднимается первичный запрос на бумаге, договор и т.п. (там забит действующий на тот момент паспорт). В действующем в текущий момент паспорте находится отметка, что данному товарищу принадлежал когда-то такой паспорт, а потом проверяется вся цепочка электронных запросов/сертификатов.

                                Какие атаки на такую схему возможны?

                                А еще ведь есть ИНН. Они в России у всех физлиц или только у тех, кто заполняет налоговые декларации?
                                У всех, но ИНН в некоторых случаях меняется, к нему нльзя приколачиваться
                                А вообще, забавно, мы сейчас ищем аналог американского SSN. Сами американцы уже не рады, что сделали его (в разрезе privacy). Мы же радостно чешем по тем же самым граблям...
                                Earl Vlad Drakula. ///

                                Комментарий


                                • #17
                                  sandyman Для публичного УЦ, ИМХО, такой подход не годится.
                                  hugevlad Почему?

                                  Не каждый публичный УЦ при банке . У физлица должен быть некий универсальный идентификатор, общий для всех УЦ. Иначе как узнать, что Иванов И.И., сертификат которого (с неким банковским номером клиента) выдал Ваш УЦ и Иванов И.И., сертификат которого выдал УЦ МИДа, одно и то же лицо?

                                  Комментарий


                                  • #18
                                    sandyman
                                    Иначе как узнать, что Иванов И.И., сертификат которого (с неким банковским номером клиента) выдал Ваш УЦ и Иванов И.И., сертификат которого выдал УЦ МИДа, одно и то же лицо?
                                    А это и не нужно, потому что приведены примеры корпоративных УЦ. Но если уж понадобится построить однозначное отношение между записями в массивах ({Иванов Иван Иванович, номер клиента 12987} и {Иванов Иван Иванович, ID_МИД 10283}), это можно решить путем построения подписанной обоими УЦ таблицы соответствия (плюс кросс-сертификацией). Как вариант - атрибутными сертификатами, опять же при условии кросса.

                                    Я к чему клоню, найти универсальный, уникальный несменяемый идентификатор в дополнение к ФИО не получится. Применительно к банку: счет может открыть нерезидент, у которого другая схема нумерации паспорта, может не быть номера соц. страхования и т.п.
                                    Earl Vlad Drakula. ///

                                    Комментарий


                                    • #19
                                      2 hugevlad:
                                      Хотелось бы знать, у Вас на организацию одна подпись или уже несколько (1 - директор, 2 - гл. бухгалтер, или возможно больше, такие формы собственности не редкость)?
                                      Если несколько, то у Вас каждый сотрудник организации, получающий сертификат, посещает банк с паспортом?
                                      Я просто в такое положение не верю... Не могу представить директора крупного холдинга получающего собственноручно сертификат или подающего заявку на генерацию...
                                      Кто отвечает за достоверность данных в сертификате, как Вы их проверяете (если на основании заявки, то кто несет ответственность за достоверность данных в заявке, какова процедура, если в заявке указаны заведомо ложные сведения)?
                                      Если на основании карточки регистрации, то, как определяется достоверность сведений в ней (доверенность? как это зарегламентировано)?
                                      Насколько, четко у Вас изложены процедуры смены ключей?
                                      P.S. В общем, можно на всё это не отвечать, в среду есть ли возможность у Вас со мной встретится?!
                                      Последний раз редактировалось Zuz; 26.03.2004, 17:23. Причина: ашибки

                                      Комментарий


                                      • #20
                                        Zuz
                                        Хотелось бы знать, у Вас на организацию одна подпись или уже несколько (1 - директор, 2 - гл. бухгалтер, или возможно больше, такие формы собственности не редкость)?
                                        У нас ЭЦП может пользоваться любой, внесенный в карточку образцов подписей. Сертификат он получает по письму основного распорядителя.

                                        Если несколько, то у Вас каждый сотрудник организации, получающий сертификат, посещает банк с паспортом?
                                        Да

                                        Я просто в такое положение не верю... Не могу представить директора крупного холдинга получающего собственноручно сертификат или подающего заявку на генерацию...
                                        И зря. Приходят. А кому не досуг, так им и ключи нафиг не нужны. Они обычно заполняют письмо о выдаче ЭЦп фин. директору и т.п., т.е. тем, кто непосредственно будет рулить счетом дистанционно.

                                        Кто отвечает за достоверность данных в сертификате, как Вы их проверяете (если на основании заявки, то кто несет ответственность за достоверность данных в заявке, какова процедура, если в заявке указаны заведомо ложные сведения)?
                                        Не понял вопрос. В заявке (запросе в нашей терминологии) указывается открытый ключ и идентифициорующие данные, которые сверяются с ДБС и АБС. Запрос подписан собственноручной подписью будущего владельца сертификата. Если он ID-данные указал не соответствующие счету, запрос не примется. А открытый ключ - его проблемы.

                                        Если на основании карточки регистрации, то, как определяется достоверность сведений в ней
                                        И опять не понял вопрос. Если имеется ввиду карточка образцов подписей, то она нотариально заверена. Атрибуты основного распорядителя счета забиваются в ДБС и в АБС.
                                        В АБС также (на основании карточки образцов) вносится инфа и ооб остальных распорядителях.
                                        Earl Vlad Drakula. ///

                                        Комментарий


                                        • #21
                                          Сообщение от hugevlad
                                          Ну, кто о чем, а я опять о наболевшем

                                          С первичным выпуском сертификата вопросов нет: абонент приносит в УЦ распечатку открытого ключа и предъявляет необходимые документы.

                                          А вот через годик, в принципе, у него уже есть возможность не ходить в УЦ для подачи запроса, а подписать электронный запрос старым (еще действующим) ключом.
                                          Вроде бы, все классно. Но вдруг у клиента изменились паспортные данные? Технически, он может включить в запрос новые данные, но тогда УЦ должен или "поверить на слово" ему, или получить подтверждение от паспортной службы МВД (а если удостоверяющий личность документ не паспорт, то из другого источника), что взамен паспорта №123456 выдан паспорта №654321. Собственно, даже если абонент делает запрос на основе старого сертификата, и туда включаются старые паспортные данные, то у УЦ все равно стоит задача удостоверится, что у клиента еще этот паспорт, а не новый.

                                          Получается грустная картинка: абоненту каждый год придется общаться с УЦ лично. Может быть уважаемая общественность предложит альтернативный вариант?
                                          Очень интересно, hugevlad, Вы нашли ответ на свой вопрос?

                                          При плановой смене ключа никаких идентификационных данных или личных меняться не должно, если Вы это будете смешивать, то потом просто не разрулите. Если у человека сменились паспортные данные, то тут смена ключа (уже внеплановая) и соответственно смена сертификата на это ключ необходима только если у человека поменялись данные, которые были заложены в сертификат (напомню, что номер паспорта, например, не может быть в сертификате по закону), иначе менять ничего не надо, т.к. потом в момент судебного разбирательства все следы должны быть подняты официально. Можно просто ограничиться неким уведомлением со стороны клиента, это защитит дополнительно Ваши позиции.

                                          Плановая смена ключа без посещения УЦ - это вопрос примитивный, даже не обсуждаем.

                                          Внеплановая смена ключа - это уже сложнее. Но если не рассматривать компрометацию, то все опять сводится к плановой смене и все ограничено только Вашим УЦ. Логика следующая: например, девушка сменила фамилию и получила новый паспорт, у Вас в сейфе лежит ее заявление с просьбой выпустить ей сертификат на некий открытый ключ и указать в нем, как минимум ее фамилию (если Вы выпускаете сертификаты на номера, то флаг Вам в руки!! )) ), плюс под данным заявлением стоит ее собственноручная подпись. Ну вот, собственно открытый ключ четко ассоциирован с личностью этой девушки. Теперь к Вам приходит (удаленно) новое заявление на сертификат, подписанное тем старым секретным ключом (чей открытый ключ был в заявлении у Вас в сейфе), но в нем уже другие данные: пусть ФИО, пусть номер паспорта. По сути - это равнозначно собственноручной подписи этой девушки под новым заявлением.

                                          Цепочка в данном случае достаточно четкая.

                                          Менее четкая цепочка при компрометации ключа, но это уже другая песня.

                                          Поправте меня криптографы !

                                          Удачи.

                                          Комментарий


                                          • #22
                                            metallic
                                            Очень интересно, hugevlad, Вы нашли ответ на свой вопрос?
                                            Нет. Вы же видите ответы в этом треде

                                            напомню, что номер паспорта, например, не может быть в сертификате по закону
                                            А можно ссылочку на этот закон?

                                            Плановая смена ключа без посещения УЦ - это вопрос примитивный, даже не обсуждаем.
                                            Она выглядит примитивной только при глобальном рассмотрении. Когда начинается проработка конкретной процедуры, сразу вылазит куча граблей...

                                            Теперь к Вам приходит (удаленно) новое заявление на сертификат, подписанное тем старым секретным ключом (чей открытый ключ был в заявлении у Вас в сейфе), но в нем уже другие данные: пусть ФИО, пусть номер паспорта. По сути - это равнозначно собственноручной подписи этой девушки под новым заявлением.
                                            Чтобы было понятнее, проиллюстрируем на таком примере: когда пишется заявление (письменное, с традиционной собственноручной подписью) от гражданки Пупкиной, что в связи со вступлением в брак просит именовать ее фамилией Лупкина, без приложения свидетельства о браке никто ей в официальных документах ничего менять не будет (в институте у нас девчонки замуж выходили - всегда копию прикладывали к заявлению, а уж на работе и подавно). Почему УЦ должен "верить на слово" информации от клиента о смене номера паспорта или ФИО?

                                            Поправте меня криптографы !
                                            Да тут грабли не криптографические, а правовые в основном...
                                            Earl Vlad Drakula. ///

                                            Комментарий


                                            • #23
                                              Hugevlad

                                              См. закон о защите персональных данных, спросите любого юриста. В публичных документах публиковать персональные данные нельзя.

                                              По поводу плановой смены. Без граблей в этом деле ничего не происходит, главное, чтоб они не стали знакомыми )) В чем тут проблемы пишите.

                                              По поводу Пупкиной. Не вставайте на путь ФАПСИ. Если не делать допущений, то из процедуры работы с УЦ Вы сделаете полный абзац, который станет отпугивать клиентов. Оцените свои риски! Сам через это проходил.

                                              В любой подобной системе, все, что дорого сделать технически, надо решать организационно. Поэтому пусть ответственность останется на гражданке Пупкиной, если за ее подписью придет заявление о выпуске нового сертификата на другую фамилию, то лишний раз это проверять незачем. Иначе Вы просто погрязните в бумагах.

                                              По собственно ручной подписи всегда можно аутентифицировать человека, просто по почерку. Следовательно, все подписанные этой подписью документы - подлинны (я не рассматриваю случаев принуждения). На основании первого заявления, у вас есть однозначная связь между секретным ключом и личностью человека, а дальше цепочка раскручивается автоматом.

                                              Комментарий


                                              • #24
                                                metallic

                                                См. закон о защите персональных данных
                                                Закона с таким названием нет.
                                                Есть перечень конф. информации, утвержденный указом президента.

                                                В публичных документах публиковать персональные данные нельзя.
                                                Каким нормативным актом паспортные данные отнесены к персональной информации.

                                                По поводу Пупкиной. Не вставайте на путь ФАПСИ.
                                                Причем тут ФАПСИ?
                                                Я смотрю "от процедуры разбра полетов" и опираюсь на понятие "собственноручная подпись", которое несколько шире, чем витиеватое графическое изображение, выводимое рукой

                                                Оцените свои риски! Сам через это проходил.
                                                Оценили. И больше года работаем так.

                                                По собственно ручной подписи всегда можно аутентифицировать человека, просто по почерку
                                                Очень спорное утверждение, но мы сейчас не о том...

                                                На основании первого заявления, у вас есть однозначная связь между секретным ключом и личностью человека
                                                А мне надо однозначное соответствие ключа с физическим лицом или должностным лицом юридического лица (сорри за тавтологию).
                                                Earl Vlad Drakula. ///

                                                Комментарий


                                                • #25
                                                  1. На стене нашел бумажку - Модельный закон О персональных данных кажется http://www.russianlaw.net/law/laws/t20.htm

                                                  Комментарий


                                                  • #26
                                                    Sergey_Murugov
                                                    На стене нашел бумажку - Модельный закон О персональных данных кажется
                                                    Читаем в нем:
                                                    Персональные данные - информация (зафиксированная на материальном носителе) о конкретном человеке, которая отождествлена или может быть отождествлена с ним. К персональным данным относятся биографические и опознавательные данные, личные характеристики, сведения о семейном, социальном положении, образовании, профессии, служебном и финансовом положении, состоянии здоровья и прочие.
                                                    Если следовать тезису о нераспространении этих данных, то в сертификат нельзя включать ФИО, должность, название организации, емейл и т.п.

                                                    В принципе, моя параноидальность и интерес к вопросам privacy говорят, что это где-то даже и правильно. И даже вариант решения есть: при формировании DN CN получается путем хеширования введенных личных данных. Но тогда "пользователю сертификата" (в терминах з-на об ЭЦП) нужно иметь доступ к некоему справочнику, через который он сможет установить, что сертификат с CN=7254339 на самом деле принадлежит Мрачноухову Василию Степановичу, гениальному директору ООО "Закат Солнца вручную".

                                                    Т.е. имеем логическое противоречие между назначением подписи (подтвердить авторство документа, которое невозможно без четкой идентификации автора) и желанием скрыть личные данные, без которых идентификация невозможна. Так что придется выбирать
                                                    Earl Vlad Drakula. ///

                                                    Комментарий


                                                    • #27
                                                      Согласно такой логики получается нужен АА.

                                                      Комментарий


                                                      • #28
                                                        Если уж читать текст, то не по диагонали.

                                                        Статья 4.
                                                        ...
                                                        3. Режим конфиденциальности персональных данных снимается в случаях обезличивания персональных данных; требований субъекта в отношении своих персональных данных, не противоречащих национальному законодательству; включения персональных данных в общедоступные базы данных.
                                                        ...
                                                        Статья 11.
                                                        ...
                                                        2. В общедоступные базы персональных данных с письменного согласия субъекта могут включаться следующие персональные данные: фамилия, имя, отчество, год и место рождения, адрес, номер контактного телефона, сведения о профессии, иные сведения, предоставленные субъектом, сведения, полученные из открытых источников.
                                                        ...
                                                        4. Сведения о конкретных субъектах могут быть в любое время исключены из базы на основании:
                                                        - распоряжения субъекта персональных данных;
                                                        - решений правоохранительных органов.

                                                        Комментарий


                                                        • #29
                                                          Sergey_Murugov
                                                          Согласно такой логики получается нужен АА.
                                                          Я на это и намекаю

                                                          hedin
                                                          Если уж читать текст, то не по диагонали.
                                                          Я его и читаю не по диагонали.
                                                          А, собственно, что Вы хотели данными цитатами сказать? Подтвердить/опровергнуть отнесение пасп. данных к конф. информации? Или показать, что они "более конфиденциальны", чем другая инфа, перечисленная через запятую?

                                                          Уважаемый metallic выдвинул тезис, что паспортные данные нельзя включать в сертификат, потому что они являются персональной информацией, которую нельзя распространять (к сожалению, ссылки на закон РФ не привел). Сергей Михайлович прислал ссылку на рамочный закон СНГ.
                                                          Из приведенной мною цитаты видно, что паспортные данные ничем не лучше и не хуже ФИО и должности в обсуждаемом аспекте.
                                                          Выделенные Вами места про "включение по письменному заявлению" один к одному присутствуют в з-не об ЭЦП, и именно на этом основании мы и включаем в сертификат паспортные данные. Особенность информационной системы такова, что публичный справочник сертификатов не нужен, так что по любому эта информация не уползет куда не надо...

                                                          p.s. Что характерно, как решить вынесенную в заголовок проблему так никто и не посоветовал, но жизни поучили (на смежные темы) от души
                                                          Earl Vlad Drakula. ///

                                                          Комментарий


                                                          • #30
                                                            hugevlad

                                                            Из приведённых цитат следует, что любую персональную информацию можно включать в общедоступные базы данных, если субъект с этим согласен. Остаётся решить, является ли справочник сертификатов общедоступной БД. По моему да.

                                                            Комментарий

                                                            Пользователи, просматривающие эту тему

                                                            Свернуть

                                                            Присутствует 1. Участников: 0, гостей: 1.

                                                            Обработка...
                                                            X