Сообщений в теме: 148

[litePhreon]

а вот почему сертифицированное не предложат не совсем понятно.

т.е. onlinebank.kz, online.bta.kz, apps.centercredit.kz (и возможно другие) нарушают действующее законодательство?

Чтобы меня не побили отвечу так - они его не выполняют

т.е. вопрос с эцп опять уходит в плоскость - да, эцп для физиков внедрить можно, но видится некоторая нецелесообрасть этого. скорее всего имхо чисто финансовая.
(как мы выяснили с юриками, банки все таки пользуются эцп)

step2
как справедливо заметил konstantinH, эцп - не просто дискета и некий софт у клиента и на сервере, это комплекс мероприятий, и весьма недешевых. в тоже время число потенциальных клиентов, которым необходимо отправлять любые суммы в любые направления, не так велико, к тому же эта группа в основном перекрывается банкингом для юриков (читай ИП-шников).

[Kon$tantin]

2 Uncle Shal:

Кстати, вещь которая мне очень нравилась в mybank.kz - это возможность совершать платежи на любой счет любого банка.

Сказано здорово, но не верно. Выше я уже писал об этом (Konstantin благоразумно промолчал...): попробуйте оплатить в Майбанке какой-нибудь налог

Саша, ты просто почему-то не захотел увидеть мой ответ.
Повторяю персонально. В www.mybank.kz с 2000 года возможна оплата по ЛЮБЫМ РЕКВИЗИТАМ. Для случая платежа в бюджет (налоговый) в электронной платёжке клиент всего навсего отмечает дополнительное поле КБК и всё.

Разве всё? А КНП? А КНО?

Поясни, пожалуйста, где присутствует возможность оплаты налогов в вашей демо-версии, где я вижу лишь такой список платежей:
- Оплата коммунальных и других платежей (здесь выбирается из списка, в котором налоговые органы отсутствуют)
- Пополнить карт-счет
- Перевод с карт-счета на Интернет-счет
- Платеж на погашение кредита
- Перевод владельцу Интернет-счета
- Внутрибанковский перевод физическому лицу
- Внутрибанковский перевод юридическому лицу
- Межбанковский перевод
- Сконвертировать в другую валюту
- Открыть сберегательный счет
- Платеж в пенсионный фонд
- Выписка из НПФ ЗАО Народный банк Казахстана

Логично предположить, что это межбанковский перевод
Если бы счета налоговой были в нашем банке - выбрали бы "Внутрибанковский перевод юридическому лицу"
Логика в системах с ЭЦП очень простая, основанная на чистых банковских операциях.

[Kon$tantin]

а вот почему сертифицированное не предложат не совсем понятно.

т.е. onlinebank.kz, online.bta.kz, apps.centercredit.kz (и возможно другие) нарушают действующее законодательство?

Чтобы меня не побили отвечу так - они его не выполняют

т.е. вопрос с эцп опять уходит в плоскость - да, эцп для физиков внедрить можно, но видится некоторая нецелесообрасть этого. скорее всего имхо чисто финансовая.
(как мы выяснили с юриками, банки все таки пользуются эцп)

step2
как справедливо заметил konstantinH, эцп - не просто дискета и некий софт у клиента и на сервере, это комплекс мероприятий, и весьма недешевых. в тоже время число потенциальных клиентов, которым необходимо отправлять любые суммы в любые направления, не так велико, к тому же эта группа в основном перекрывается банкингом для юриков (читай ИП-шников).

Не соглашусь с вами - есть такая дока в нацбанке "Правила совершения электронных платежей и переводов денег" и там черным по белому - операция, проводимая электронным обрзаом, не может быть легитимна, если она не подписана ЭЦП клиента. При этом даётся ссылка на "Закон об ЭЦП", где чётко оговаривается, что ЭЦП должен быть сертифицированный специальным органом и специальным образом. Как мы уже все выяснили такую процедуру пока смогли пройти только "Гамма" с решением Тумар.
Причём это требуется как для юриков, так и для физиков.

[Uncle Shal]

Поясни, пожалуйста, где присутствует возможность оплаты налогов в вашей демо-версии, где я вижу лишь такой список платежей:
- Оплата коммунальных и других платежей (здесь выбирается из списка, в котором налоговые органы отсутствуют)
...
- Внутрибанковский перевод юридическому лицу
- Межбанковский перевод

Логично предположить, что это межбанковский перевод
Если бы счета налоговой были в нашем банке - выбрали бы "Внутрибанковский перевод юридическому лицу" .

Логично другое: откуда мне, простому налогоплательщику, знать, в каком банке налоговики держат свои счета? Опять же, откуда мне знать все эти реквизиты платежа, о которых я говорил выше: КБК, КНП, КНО? У нас все это легко и понятно выбирается из вспомогательных таблиц, поэтому проблем не возникает.

Костя, тебе давно пора понять: чем больше ты пытаешься наехать на нас, тем больнее получаешь в ответ. Вывод сам сделаешь?

[Uncle Shal]

step2
как справедливо заметил konstantinH, эцп - не просто дискета и некий софт у клиента и на сервере, это комплекс мероприятий, и весьма недешевых. в тоже время число потенциальных клиентов, которым необходимо отправлять любые суммы в любые направления, не так велико, к тому же эта группа в основном перекрывается банкингом для юриков (читай ИП-шников).

Не соглашусь с вами - есть такая дока в нацбанке "Правила совершения электронных платежей и переводов денег" и там черным по белому - операция, проводимая электронным обрзаом, не может быть легитимна, если она не подписана ЭЦП клиента. При этом даётся ссылка на "Закон об ЭЦП", где чётко оговаривается, что ЭЦП должен быть сертифицированный специальным органом и специальным образом.

Баян

Еще в июне 2005 года в ветке "On-line banking Kazahstan" я выделил три самых важных, на мой взгляд, момента в разъяснении АИС относительно некоторых вопросов применения Закона "Об электронном документе и электронной цифровой подписи":

1. Банки второго уровня и КЦМР вправе самостоятельно оказывать услуги Удостоверяющего центра (УЦ) в соответствии с требованиями Закона и других нормативных правовых актов РК.

2. Решение вопроса о необходимости удостоверения определенных банковских операций электронной цифровой подписью, в том числе, через SWIFT, Закон не определяет.

3. Нормы Закона могут применяться ко всем видам операций, использующих технологию ЭЦП, основанную на механизме заверения открытого ключа ЭЦП регистрационным свидетельством (сертификатом), выдаваемым и подписываемым УЦ.

Получалось, что эти положения 1) примиряют тех, кто не используют ЭЦП, с теми, кто ее используют (и те и другие теперь "в законе"), и 2) дают карт-бланш тем, кто использует ЭЦП, на создание своих УЦ с вытекающим отсюда принципом их деятельности "Хозяин - барин"

Вполне допускаю, что за 2 года еще что-то изменилось, поэтому и хотелось бы снова услышать г-на Любивого...

[konstantinH]

За два года ничего не изменилось. В ближайщем будущем изменится.
Думаю эл.платежы без ЭЦП будут однозначно не легитимны.

В качестве "лирического отступления" можно обвинить в некоем посустительстве курирующй орган, допустивший разброд и шатание в данной области, который должен был навести порядок (определиться с лицензированием, сертификацией и требованиями), но сами понимаете, что буквально до начала 2007 года ни государство ни граждане не готовы были к таким мерам и работающие на тот момент системы не могли бы перейти на использование ГОСТовых сертифицированных технологий.
В ближайшем будущем, думаю и НБ и АИС поправят положение.

Вообще я не понимаю сути Вашего спора (в рамках использования ЭЦП). Ну, ладно, один банк внедряет сертифицированный продукт, но, другой его тоже использует, не так ли, Дядя Шал? На сеогдняшний момент реализация Вашего УЦ легитимна. В будущем, скорее всего, Вы сертифицируете свой криптопровайдер или перейдете на уже сертифицированный. Халык же сразу внедряет сертифицированное решение. Разница в "полшага", и при этом кто впереди - покажет потребитель.

Все вышеописанное чистое IMHO.

Сообщение отредактировал konstantinH: 05.04.2007, 12:00:33

[Kon$tantin]

Константин, не совсем понял вашей фразы о легитимности УЦ Казкома? Чем она подкрепляется? Эта легитимность вы считате распространяется только на УЦ или на ЭЦП каждого клиента?
Саша, ты можешь обосновать документами подтверждающими легитимность вашего УЦ?

[Kon$tantin]

Поясни, пожалуйста, где присутствует возможность оплаты налогов в вашей демо-версии, где я вижу лишь такой список платежей:
- Оплата коммунальных и других платежей (здесь выбирается из списка, в котором налоговые органы отсутствуют)
...
- Внутрибанковский перевод юридическому лицу
- Межбанковский перевод

Логично предположить, что это межбанковский перевод
Если бы счета налоговой были в нашем банке - выбрали бы "Внутрибанковский перевод юридическому лицу" .

Логично другое: откуда мне, простому налогоплательщику, знать, в каком банке налоговики держат свои счета? Опять же, откуда мне знать все эти реквизиты платежа, о которых я говорил выше: КБК, КНП, КНО? У нас все это легко и понятно выбирается из вспомогательных таблиц, поэтому проблем не возникает.

Костя, тебе давно пора понять: чем больше ты пытаешься наехать на нас, тем больнее получаешь в ответ. Вывод сам сделаешь?

Хе-хе, разговор опять пытаются перевести в другую плоскость
Давайте решим вначале его в том контексте, в котормо он подымался дядей Шалом. Саша, теперь подтверждаешь, что у нас оплата налогов на www.mybank.kz возможна с 2000 года? Только честно скажи

В отношении удобства соглашусь - если делать оплату налогов отдельной операцией, то можно из неё исключить все КНП, которые однозначно не будут здесь задействованы. Но у нас операцией Межбанковский перевод можно оплатить любой платёж в любой банк, поэтому мы не вводим себя в такие узкие рамки. Клиентам же просто предоставляем пояснения, если вопросы возникают.

[Uncle Shal]

Поясни, пожалуйста, где присутствует возможность оплаты налогов в вашей демо-версии, где я вижу лишь такой список платежей:
- Оплата коммунальных и других платежей (здесь выбирается из списка, в котором налоговые органы отсутствуют)
...
- Внутрибанковский перевод юридическому лицу
- Межбанковский перевод

Логично предположить, что это межбанковский перевод
Если бы счета налоговой были в нашем банке - выбрали бы "Внутрибанковский перевод юридическому лицу" .

Логично другое: откуда мне, простому налогоплательщику, знать, в каком банке налоговики держат свои счета? Опять же, откуда мне знать все эти реквизиты платежа, о которых я говорил выше: КБК, КНП, КНО? У нас все это легко и понятно выбирается из вспомогательных таблиц, поэтому проблем не возникает.

Костя, тебе давно пора понять: чем больше ты пытаешься наехать на нас, тем больнее получаешь в ответ. Вывод сам сделаешь?

Хе-хе, разговор опять пытаются перевести в другую плоскость
Давайте решим вначале его в том контексте, в котормо он подымался дядей Шалом. Саша, теперь подтверждаешь, что у нас оплата налогов на www.mybank.kz возможна с 2000 года? Только честно скажи

Скажу честно: наверное, возможно. Но при такой реализации сомневаюсь, что хоть один человек не из числа разработчиков Майбанка этой услугой сумел воспользоваться

[konstantinH]

Начет легитимности УЦ Казкома все очень просто. Подтверждается лицензией, полученной в уполномоченном органе.

Замечу, что лицензию на "какой попало" УЦ не дают. Есть требования (юридические, организационные и технические) лицензированный УЦ им соответствует.

Всем остальным банкам тоже порекомендую лицензировть свои УЦ, чтоб не возникло "неожиданностей". Халык, как я понял, двигается в этом направлении.

ЗЫЖ А почему молчит купечество? Где БТА??? У них же то тоже есть своя реализация, причем в корне отличающаяся от Ваших!

Сообщение отредактировал konstantinH: 06.04.2007, 09:50:14

[Kon$tantin]

Константин, не совсем понял вашей фразы о легитимности УЦ Казкома? Чем она подкрепляется? Эта легитимность вы считате распространяется только на УЦ или на ЭЦП каждого клиента?
Саша, ты можешь обосновать документами подтверждающими легитимность вашего УЦ?

Константин, Дядя Шал повторяю свой вопрос

[konstantinH]

1. Разговор шел о легитимности УЦ. Подтвердаю, УЦ ККБ легитимен. Легитимность ЭЦП каждого клиента - отдельная тема, затронутая мной в п.3 моего первого поста в этой теме http://vse.kz/index....c=106792&st=60#

2. Наше законодательство не идеально. Но, еще раз повторюсь, на текущий момент в нашей стране разрабатывается несколько подзаконных актов в области ИТ. В том числе и в областе криптографии. Надеюсь они внесут ясность во многие вопросы, в том числе и обсуждаемый здесь.

3. На текущий момент реализация системы в ККБ не противоречит законодательству.

[Uncle Shal]

Константин, не совсем понял вашей фразы о легитимности УЦ Казкома? Чем она подкрепляется? Эта легитимность вы считате распространяется только на УЦ или на ЭЦП каждого клиента?
Саша, ты можешь обосновать документами подтверждающими легитимность вашего УЦ?

Константин, Дядя Шал повторяю свой вопрос

Костя, нужно скан лицензии здесь выложить или так поверишь, что мы получили лицензию на деятельность по удостоверению соответствия открытого ключа ЭЦП закрытому ключу ЭЦП, а также по подтверждению достоверности регистрационных свидетельств?

[Kon$tantin]

1. ...Легитимность ЭЦП каждого клиента - отдельная тема, затронутая мной в п.3 моего первого поста в этой теме http://vse.kz/index....c=106792&st=60#

КонстантинЮ давайте попробуем разобраться в этом вопросе с вами как с професионалом в области криптографии:
1. Правила Нацбанка об электронных платежах и переводах денег требуют ЭЦП под КАЖДЫМ пеерводов клиента (бдь то юрик или физик)?
2. Эти же правила однозначно трактуют ЭЦП в соотвествии с законом об ЭЦП?
3. Закон об ЭЦП говорит о том, что средства СКЗИ, используемые пользователями должны быть сертифицированными?
4. Если на все три вопроса выше ответа будет "Да", то как в этом случае оценить проведение платежей без ЭЦП с точки зрения нашего законодательства?

[Uncle Shal]

1. ...Легитимность ЭЦП каждого клиента - отдельная тема, затронутая мной в п.3 моего первого поста в этой теме http://vse.kz/index....c=106792&st=60#

КонстантинЮ давайте попробуем разобраться в этом вопросе с вами как с професионалом в области криптографии:
1. Правила Нацбанка об электронных платежах и переводах денег требуют ЭЦП под КАЖДЫМ пеерводов клиента (бдь то юрик или физик)?
2. Эти же правила однозначно трактуют ЭЦП в соотвествии с законом об ЭЦП?
3. Закон об ЭЦП говорит о том, что средства СКЗИ, используемые пользователями должны быть сертифицированными?
4. Если на все три вопроса выше ответа будет "Да", то как в этом случае оценить проведение платежей без ЭЦП с точки зрения нашего законодательства?

Выше я ссылался на письмо АИС РК от 3 июня 2005 года ? 7-2-1/2627 в Национальный банк РК, разъясняющее вопросы, возникших в связи с введением в действие с 1 июля 2003 года Закона Республики Казахстан ?Об электронном документе и электронной цифровой подписи?. Мне кажется, стоит привести его полностью

Касательно обмена электронными документами при осуществлении банковских операций электронным способом производится через третье лицо - удостоверяющий центр (например, при проведении банковских операций между банком и его клиентами).

Обмен электронными документами при осуществлении банковских операций электронным способом через удостоверяющий центр не производится. Удостоверяющий центр (УЦ) является третьей стороной, сертифицирующей открытые ключи пользователей, а также выступает своего рода арбитром при разрешении спорных вопросов, связанных с регулированием отношений, возникающих при создании и использовании электронных документов, удостоверенных посредством электронных цифровых подписей.

Согласно Закону Республики Казахстан ?Об электронном документе и электронной цифровой подписи? от 7 января 2003 года ? 370-II (далее - Закон) ?удостоверяющий центр - юридическое лицо, удостоверяющее соответствие открытого ключа электронной цифровой подписи закрытому ключу электронной цифровой подписи, а также подтверждающее достоверность регистрационного свидетельства?. Законодательство Республики Казахстан, в том числе Закон не ограничивает юридические лица, являющиеся УЦ, в осуществлении других видов деятельности, не противоречащих законам Республики Казахстан.

В этой связи считаем, что банки второго уровня и РГО ?Казахстанский центр межбанковских расчетов Национального Банка Республики Казахстан?, являясь юридическими лицами, могут оказывать услуги удостоверяющего центра в соответствии с требованиями Закона и других нормативных правовых актов Республики Казахстан.

В связи с тем, что обмен электронными документами при осуществлении банковских операций электронным способом через УЦ не производится, доступа к сведениям, составляющим банковскую тайну УЦ не имеет и располагает лишь определенными сведениями о владельцах регистрационных свидетельств.

Согласно Закону УЦ обеспечивает защиту сведений о владельцах регистрационных свидетельств и раскрывает их в случаях, предусмотренных законодательными актами Республики Казахстан.

Также сообщаем, что Закон не регулирует вопросы обмена информацией между банковскими учреждениями, определяя лишь правовые условия, при соблюдении которых ЭЦП в электронном документе (сообщении) признается равнозначной собственноручной подписи на бумажном документе, не конкретизируя характер и типы электронных документов (сообщений), на которые необходимо наложение ЭЦП. Таким образом, решение вопроса о необходимости удостоверения определенных банковских операций электронной цифровой подписью, в том числе через SWIFT, требованиями Закона не определяется.

Нормы Закона могут применяться ко всем видам операций, использующих технологию ЭЦП, основанную на механизме заверения открытого ключа ЭЦП регистрационным свидетельством (сертификатом), выдаваемым и подписываемым УЦ.

Заместитель Председателя - К. Есекеев

[Uncle Shal]

Для тех, кто хочет освежить в памяти какие-то моменты предыдущих обсуждений на тему интернет-банкинга в Казахстане - см. Интернет-банкинг и On-line banking Kazahstan

[konstantinH]

1. ...Легитимность ЭЦП каждого клиента - отдельная тема, затронутая мной в п.3 моего первого поста в этой теме http://vse.kz/index....c=106792&st=60#

КонстантинЮ давайте попробуем разобраться в этом вопросе с вами как с професионалом в области криптографии:
1. Правила Нацбанка об электронных платежах и переводах денег требуют ЭЦП под КАЖДЫМ пеерводов клиента (бдь то юрик или физик)?
2. Эти же правила однозначно трактуют ЭЦП в соотвествии с законом об ЭЦП?
3. Закон об ЭЦП говорит о том, что средства СКЗИ, используемые пользователями должны быть сертифицированными?
4. Если на все три вопроса выше ответа будет "Да", то как в этом случае оценить проведение платежей без ЭЦП с точки зрения нашего законодательства?

К сожалению не в курсе "банковских" требований, поэтому вопрос:
Есть ли жесткое требование НБ использования ЭЦП в электронных платежах? Если нет, то вопрос снимается.
Что такое ЭЦП и как она должна использоваться - описано в законе об Эл. документе и ЭЦП (он очень короткий и общего плана).

Еще раз хочу обратить свое внимание, что скоро будут изменения (ужесточения) требований вышеописанного закона.

[Uncle Shal]

1. ...Легитимность ЭЦП каждого клиента - отдельная тема, затронутая мной в п.3 моего первого поста в этой теме http://vse.kz/index....c=106792&st=60#

КонстантинЮ давайте попробуем разобраться в этом вопросе с вами как с професионалом в области криптографии:
1. Правила Нацбанка об электронных платежах и переводах денег требуют ЭЦП под КАЖДЫМ пеерводов клиента (бдь то юрик или физик)?
2. Эти же правила однозначно трактуют ЭЦП в соотвествии с законом об ЭЦП?
3. Закон об ЭЦП говорит о том, что средства СКЗИ, используемые пользователями должны быть сертифицированными?
4. Если на все три вопроса выше ответа будет "Да", то как в этом случае оценить проведение платежей без ЭЦП с точки зрения нашего законодательства?

К сожалению не в курсе "банковских" требований, поэтому вопрос:
Есть ли жесткое требование НБ использования ЭЦП в электронных платежах? Если нет, то вопрос снимается.
Что такое ЭЦП и как она должна использоваться - описано в законе об Эл. документе и ЭЦП (он очень короткий и общего плана).

Костя Горожанкин ссылается на одни правила НБ РК, мы же ссылаемся на другие, а именно на правила НБ РК от 24 августа 2000 г. ?331 ?Правила выпуска и использования платежных карточек в Республике Казахстан?, где ничего не говорится об ЭЦП, а сказано так:

Глава 4. Составление платежных документов
25. Составление и представление платежных документов в электронном виде допускается только при условии соблюдения порядка защитных действий от несанкционированных платежей, установленных внутренними правилами системы платежных карточек и/или договорами, заключенными между участниками системы платежных карточек.

Quod erat demonstrandum

Сообщение отредактировал Uncle Shal: 10.04.2007, 15:15:19

[konstantinH]

Статья:

Настал ли час электронной цифровой подписи?

Л. Волков, "СКБ Контур" (Екатеринбург)

Некоторые методические аспекты построения систем защищенного электронного документооборота: необходимость сертифицированных средств, информационные риски при использовании ЭЦП, проблемы, связанные с использованием документов в машиночитаемом виде.

Адрес: http://www.directum.ru/339760.aspx

Читаем, обдумываем, апроксимируем на КЗ и банковский сектор.

Обратите внимание, что статья написана как "взгляд в будущее". Дата выхода март 2003 года.

[Kon$tantin]

Долго не заглядывал в эту тему, чтобы не переливать из пустого в порожнее.
Но на носу отпуск и хочется уйти в хорошем настроении
Итак три вопроса к размышлению:
1. Коллеги, посомтрите на название темы? За 3 месяца после последнего поста банки конкуренты успели подбить дебет с кредитом? Давайте цифры. Наши за полгода по системе "Мобильный банкинг" были опубликованы здесь - 165 млн тенге это вам не цветочки через сайт продавать . По традиции в режиме ожидания ваших данных, коллеги.
2. К вопросу о лигитимности ЭЦП - Нацбанк наконец внёс ясность в свою позицию. Привожу цитату из "Правил предоставления банками второго уровня, организациями, осуществляющими отдельные виды банковских операций, электронных банковских услуг", которые сейчас находятся в банках на утверждении:
...
12. При предоставлении электронных банковских услуг обмен сообщениями между банком и его клиентом осуществляется с использованием электронной цифровой подписи в соответствии с требованиями законодательства Республики Казахстан.
13. Предоставление банком электронных банковских услуг клиенту с использованием электронной цифровой подписи производится при наличии у него регистрационного свидетельства, выданного удостоверяющим центром, имеющим договорные отношения с банком, либо самим банком при выполнении им функции удостоверяющего центра.
...
Ну а чтобы любители находить в любом документе скрытый подтекст, не посчитали, что под ЭЦП НацБанк опять имеет в виду логин и пароль в сопроводительном письме АФК ? 12-1-3/01/2655 от 08.08.07 г. есть следующая фраза:
...
Обращаем Ваше внимание на то, что проектом вводится требование об обязательном использовании электронной цифровой подписи (далее - ЭЦП) в качестве средства защиты информации при предоставлении банковских услуг электронным способом, за исключением услуг, связанных с физическим использованием платежных карточек. Соответственно, применение других средств защиты информации (например, коды, login и пароли) для формирования и обмена электронными сообщениями по предоставляемым банковским услугам через Интернет и иные каналы не будет считаться достаточным и легитимным для признания и удостоверения подлинности этих документов без заверения их ЭЦП .
...
Как выше писал Дядя Шал - время нас рассудило.
Конечно остаётся ещё шанс, что два больших банка продавят поправки в законопроект или попросят годовой отсрочки, но главное что началось движение со стороны Нацбанка по созданию для банков равных условий. А то как-то некрасиво получалось мы своих клиентов с 2000 года приучаем к ЭЦП в интернет-банкинге, даже в мобильный банкинг теперь ЭЦП прикручиваем, а другие....

Сообщение отредактировал Kon$tantin: 10.08.2007, 00:10:03