Через додаток «Дія» шахраї оформили на українку кредит —...

И именно с учетом "это еще хуже" механизмы и разрабатывались.

Для этого нет механизмов. Либо ключ физически недоступен за пределами контейнера и все операции с ключем выполняет контейнер, либо ключ может быть перехвачен и скопирован. Но в обоих случаях возможно удаленное использование контейнера через интернет.

похоже слишком переоценил подход к безопасности в ЭЦП. По сути все программно делается, без использования аппаратных токенов, так что доступ к приватному ключу для злоумышленников по сути ничем не закрыт и все держится только на банальной вере в то, что никто не станет использовать чужие ключи. Печально...

Когда-то на работе начальству пришла идея приравнять электронную подпись к обычной в документообороте предприятия. Вопрос хранения ключа предложили решать просто - тупо зашифровать его паролем и хранить в облаке. А для подписи документа вводить пароль.

Мне тогда подумалось - что-же мешает кому-то записать кейлогером чужой пароль и подписать документ чужой подписью. И главное потом не докажешь что не подписывал... Тогда к счастью обошлось и от этой веселой идеи отказались.

А с Дией похоже тот самый вариант. Ктото от твоего имени наподписывает стремных документов и потом фиг докажешь что не подписывал.

И именно с учетом "это еще хуже" механизмы и разрабатывались.

Для этого нет механизмов. Либо ключ физически недоступен за пределами контейнера и все операции с ключем выполняет контейнер, либо ключ может быть перехвачен и скопирован. Но в обоих случаях возможно удаленное использование контейнера через интернет.

А особенно удаленное использование контейнера возможно через интернет на устройствах, не подключенных к интернету...

похоже слишком переоценил подход к безопасности в ЭЦП. По сути все программно делается, без использования аппаратных токенов, так что доступ к приватному ключу для злоумышленников по сути ничем не закрыт и все держится только на банальной вере в то, что никто не станет использовать чужие ключи. Печально...

Если мы все еще говорим про Дию -- а то "кого-то" постоянно мотает то на симки то на обычные компы -- все держится на системе безопасности ОС.

Когда-то на работе начальству пришла идея приравнять электронную подпись к обычной в документообороте предприятия. Вопрос хранения ключа предложили решать просто - тупо зашифровать его паролем и хранить в облаке. А для подписи документа вводить пароль.

Мне тогда подумалось - что-же мешает кому-то записать кейлогером чужой пароль и подписать документ чужой подписью. И главное потом не докажешь что не подписывал... Тогда к счастью обошлось и от этой веселой идеи отказались.

А с Дией похоже тот самый вариант. Ктото от твоего имени наподписывает стремных документов и потом фиг докажешь что не подписывал.

Если на все предприятие один компьютер -- оно да: как и в случае с паспортом в мутных конторах -- на столе его лучше не оставлять

Если на все предприятие один компьютер -- оно да: как и в случае с паспортом в мутных конторах -- на столе его лучше не оставлять

Не хочется вас пугать, но на предприятиях так и есть. Все компы - это по сути один комп. И если для подписи достаточно ввести пароль, то этот пароль может подсмотреть админ программой мониторинга или даже охранник через видеокамеру. И где гарантия что ктото не воспользуется такой возможностью, чтобы поставить потом от вашего имени подпись на финансовых документах, оспорить которую у вас даже не будет технической возможности... Вы просто технически не сможете доказать, что это не вы ставили подпись...



Бумажный паспорт конечно лучше нигде без присмотра не оставлять. Но пока он при вас, вы по крайней мере можете быть уверены, что его не используют без вашего ведома.

С электронным паспортом такой увенности быть не может. Т.к. вы уже не контролируете использование вашего документа.

Точнее электронный документ по сути не является вашим, принимая условия вы по сути даете доверенность какой-то компании-прокладке, чтобы она могла производить от вашего имени операции, надеясь, что делать она это будет только по вашим запросам.

Если на все предприятие один компьютер -- оно да: как и в случае с паспортом в мутных конторах -- на столе его лучше не оставлять

Не хочется вас пугать, но на предприятиях так и есть. ...

Чем пугать? -- тем, что есть "предприятия", где на сесурити известный орган положили? -- так и пофиг: к "нормальным людям" (тм) это такое же отношение как и кредиты в "швыдкогрошах"

Чем пугать? -- тем, что есть "предприятия", где на сесурити известный орган положили?

как-раз таки мониторниг за персоналом и используют для обеспечения высокой степени секьюрности. Но это секьюрити по вполне понятным причинам настроено в пользу компании и не гарантирует секьюрности для персонала

Я к тому - где гарантии, что вашим приватным ключем не воспользуется секьюрити персонал, имеющий доступ к вашему ключу по служебной необходимости (для обеспечения секьюрности компании)?

Особенность цифровых подписей как-раз в том, что если у злоумышленника есть ваш приватный ключ (а получить его не так-уж и сложно, если вы не параноик), то нет технической возможности отличить вашу цифровую подпись, от цифровой подписи сделанной от вашего имени злоумышленником.

С бумажной подписью такая возможность есть.

Чем пугать? -- тем, что есть "предприятия", где на сесурити известный орган положили?

как-раз таки мониторниг ...

Особенность цифровых подписей как-раз в том, что если у злоумышленника есть ваш приватный ключ (а получить его не так-уж и сложно, если вы не параноик), то нет технической возможности отличить вашу цифровую подпись, от цифровой подписи сделанной от вашего имени злоумышленником.

С бумажной подписью такая возможность есть.

Как я уже говорил: да и пофиг на те "предприятия". Как я тоже уже говорил: к реальной жизни оно никакого отношения не имеет.

Как я тоже уже говорил: ставим Дию на отдельный смартфон производства не китай-китайский -- и за ключ можно вообще не переживать.

Гуглим на тему "черные нотариусы": вообще пофиг на ту возможность -- квартиры/машины/предприятия вполне спокойно "уходят".