eIDAS (от «электронная идентификация, аутентификация и услуги доверия») — это регламент ЕС , заявленной целью которого является регулирование « электронной идентификации и услуг доверия для электронных транзакций ». Он был принят в 2014 году, а его положения вступили в силу в период с 2016 по 2018 год. [1] [2]
eIDAS контролирует электронную идентификацию и услуги доверия для электронных транзакций на внутреннем рынке Европейского Союза . Он регулирует электронные подписи , электронные транзакции, вовлеченные органы и их процессы внедрения, чтобы предоставить пользователям безопасный способ ведения бизнеса в Интернете, например, электронный перевод средств или транзакции с государственными службами . И подписавший , и получатель могут иметь больше удобства и безопасности . Вместо того чтобы полагаться на традиционные методы, такие как почта или факс , или лично представлять бумажные документы, они теперь могут совершать транзакции через границы, например, технологию « 1-Click ». [2] [3]
eIDAS разработала стандарты, согласно которым электронные подписи, квалифицированные цифровые сертификаты , электронные печати , временные метки и другие механизмы подтверждения подлинности позволяют проводить электронные транзакции с тем же юридическим статусом, что и транзакции, выполняемые на бумаге. [4]
Регламент вступил в силу в июле 2015 года как средство для обеспечения безопасных и бесперебойных электронных транзакций в Европейском Союзе. Государства-члены обязаны признавать электронные подписи, соответствующие стандартам eIDAS. [2] [5]
Закон был установлен в Регламенте ЕС 910/2014 от 23 июля 2014 года об электронной идентификации и отменен 1999/93/EC от 13 декабря 1999 года. [1] [2]
Он вступил в силу 17 сентября 2014 года и применяется с 1 июля 2016 года, за исключением некоторых статей, которые перечислены в статье 52. [6] Все организации, предоставляющие публичные цифровые услуги в государстве-члене ЕС, должны признавать электронную идентификацию из всех государств-членов ЕС с 29 сентября 2018 года. Он применяется ко всем странам Европейского единого рынка . [7] [8]
В июле 2024 года ассоциация go.eIDAS совместно с рядом немецких технологических компаний и фондов запустила первый испытательный стенд eIDAS для выдачи PID-учетных данных для кошельков, соответствующих архитектуре и референтной структуре (ARF). [9]
eIDAS является результатом внимания Европейской комиссии к цифровой повестке дня Европы. Под надзором комиссии eIDAS был внедрен для стимулирования цифрового роста в ЕС. [10]
Цель eIDAS — стимулировать инновации. Придерживаясь руководящих принципов, установленных для технологий в рамках eIDAS, организации подталкиваются к использованию более высоких уровней информационной безопасности и инноваций . Кроме того, eIDAS фокусируется на следующем: [5] [11]
Регламент обеспечивает нормативную среду для следующих важных аспектов, связанных с электронными транзакциями: [2]
Регламент eIDAS развился из Директивы 1999/93/EC, которая установила цель, которую государства-члены ЕС должны были достичь в отношении электронной подписи. Небольшие европейские страны были среди первых, кто начал принимать цифровые подписи и идентификацию, например, первая эстонская цифровая подпись была выдана в 2002 году, а первая латвийская цифровая подпись была выдана в 2006 году. Их опыт был использован для разработки теперь общеевропейского регламента , который стал обязательным в качестве закона на всей территории ЕС с первого июля 2016 года. [15] Директива 1999/93/EC возложила на государства-члены ЕС ответственность за создание законов, которые позволили бы им достичь цели создания системы электронной подписи в ЕС. Директива также позволяла каждому государству-члену толковать закон и налагать ограничения, тем самым препятствуя реальной совместимости и приводя к фрагментированному сценарию. [16] В отличие от директивы 1999 года, eIDAS обеспечивает взаимное признание eID для аутентификации среди государств-членов, [17] тем самым достигая цели Единого цифрового рынка .
eIDAS обеспечивает многоуровневый подход к юридической ценности. Он требует, чтобы ни одна электронная подпись не могла быть лишена юридической силы или допустимости в суде только потому, что она не является продвинутой или квалифицированной электронной подписью. [18] Квалифицированные электронные подписи должны иметь ту же юридическую силу, что и собственноручные подписи. [19]
Для электронных печатей (версия подписей юридических лиц) доказательная ценность рассматривается явно, поскольку печати должны обладать презумпцией целостности и правильности происхождения прикрепленных данных. [20]
В июне 2021 года Комиссия предложила поправку и опубликовала рекомендацию. [21] [22] [23]
В 2023 году было проведено тщательное изучение предлагаемого изменения в законе, поскольку оно потенциально позволило бы правительствам ЕС осуществлять атаки типа «человек посередине» , включая зашифрованные сообщения. [24] Это предложение было осуждено группами исследователей кибербезопасности, НПО и гражданским обществом как угрозу правам человека, конфиденциальности и достоинству. [25] [26] [27] [28] Это предложение работало по тому же механизму, что и попытка массового наблюдения в Казахстане в 2019 году .
В основе этого противоречия лежит второй абзац поправки к статье 45, который гласит: [29]
«Квалифицированные сертификаты для аутентификации веб-сайтов, указанные в пункте 1, должны распознаваться веб-браузерами. [...] Веб-браузеры должны обеспечивать поддержку и совместимость с квалифицированными сертификатами для аутентификации веб-сайтов, указанными в пункте 1, за исключением предприятий, считающихся микропредприятиями и малыми предприятиями в соответствии с Рекомендацией Комиссии 2003/361/EC в течение первых 5 лет работы в качестве поставщиков услуг веб-браузинга».
Критики утверждали, что разрешение центрам сертификации (CA) выдавать сертификаты без прохождения процедур аудита и проверки, установленных поставщиками браузеров, может поставить под угрозу безопасность Интернета в целом и открыть дверь для атак типа «человек посередине» . [30] [31] Это, возможно, позволит уполномоченным правительством CA выдавать сертификаты для любого доменного имени и использовать его для выдачи себя за другое лицо, и, что наиболее важно, без возможности браузеров удалить их как заслуживающие доверия. [30] Это считается особенно тревожным в странах со слабым верховенством закона, где государственные и связанные с государством субъекты смогут использовать закон, чтобы шпионить за своими собственными гражданами для политических репрессий и личной выгоды. Было также беспокойство, что это позволит частным лицам, связанным с государством, получить доступ к власти и злоупотреблять ею в своих собственных целях. [25] [27]
Однако в окончательном проекте были предусмотрены положения, позволяющие поставщикам браузеров продолжать внедрять меры безопасности, которые на практике затруднят осуществление такого типа перехвата без раскрытия. [32] В частности, в окончательном тексте проекта говорится следующее:
что было истолковано как разрешение поставщикам браузеров продолжать использовать такие механизмы, как прозрачность сертификатов, для поддержания безопасности браузеров. [32] Заявление Европейской комиссии о внесении поправок в статью 45 разъясняет это заявление и указывает, что посредством соглашения с поставщиками браузеров не налагаются никакие ограничения на «собственные политики безопасности» браузеров. [33]
Информация в базе данных должна быть связана с каким-либо идентификационным номером . Чтобы подтвердить, что человек имеет право на доступ к некоторой личной информации, необходимо выполнить несколько шагов.
eIDAS имеет как минимум концепцию идентификации, имя и дату рождения . Но для того, чтобы получить доступ к более конфиденциальной информации, необходима некоторая сертификация того, что идентификационные номера, выданные двумя странами, относятся к одному и тому же человеку. [34]
В октябре 2019 года исследователи безопасности обнаружили две уязвимости в eIDAS-Node (пример реализации профиля eID eIDAS, предоставленный Европейской комиссией [35] ); обе уязвимости были исправлены для версии 2.3.1 eIDAS-Node. [36]
Европейский союз начал [ когда? ] создание совместимой с eIDAS Европейской структуры самостоятельных идентификационных данных (ESSIF), [ нужна ссылка ], но во многих странах пользователям необходимо быть клиентами Google или Apple, чтобы использовать сервисы eIDAS.
Списки доверенных лиц Европейского союза (EUTL) — это публичный список из более чем 200 действующих и существующих поставщиков доверенных услуг (TSP), которые специально аккредитованы для обеспечения наивысшего уровня соответствия регламенту ЕС об электронной подписи eIDAS. [37]
{{cite web}}: CS1 maint: url-status ( ссылка )обеспечение eIDAS-Node содержит необходимые модули, помогающие государствам-членам взаимодействовать с другими партнерами, соответствующими требованиям eIDAS, централизованным или распределенным образом.
Уязвимость позволяла злоумышленникам выдавать себя за любого гражданина или компанию ЕС.
