Почтовое государство

Данный текст является второй главой из заявки компании "Ашманов и партнеры" на тендере Минкомсвязи с непроизносимым названием, но понятным смыслом: требуется оценить перспективы создания системы взаимодействия граждан и госорганов посредством почты в домене .рф - Roem.ru

Анализ идеи организации связи между гражданами и государственными органами на основе электронной почты с кириллическими адресами

Недостающее звено

Система для электронного взаимодействия между гражданами и государственными органами в рамках предоставления электронных государственных услуг, которую часто именуют "электронным правительством", имеет в своей основе те или иные принципы удостоверения или подтверждения личности, должности, полномочий. Именно проблемы с удостоверением личности и полномочий не позволяют избавиться от самой неприятной особенности прежнего способа общения - личных визитов. Именно необходимость личной встречи гражданина с чиновником вызывает самые большие потери времени и большинство случаев недовольства, то есть, оказывает наихудшее влияние на отношение гражданина к государству.

Чтобы устранить необходимость присутствия, почти всё необходимое уже имеется: письменность, поголовная грамотность, кодифицированное законодательство, личные имена с фамилиями, институт гражданства, паспортизация, разнообразные каналы связи, доступный Интернет. Не хватает одного - способа дистанционного подтверждения личности. После этого "электронное правительство" заработает. Заработает неизбежно: по указанию сверху или по инициативе снизу, явочным порядком. Преодолеть столь накладное личное присутствие, по большому счёту, хотят все.

Но ввести общепризнанную процедуру дистанционного подтверждения личности можно только по инициативе государства, при помощи законов или подзаконных актов. Инициатива снизу здесь не сработает.

Первая попытка сделать такую процедуру - закон "Об электронной цифровой подписи" (ЭЦП) 2002 года - не увенчалась успехом. ЭЦП не получила сколь-нибудь значительного распространения в народе и применяется в отдельных узких областях, в отдельных видах отношений. Чего, кстати, следовало ожидать, посмотрев на опыт стран, которые являются в этой области первопроходцами. Там тоже ЭЦП не нашла широкого применения. Почему? Она оказалась не удобна для граждан (если говорить о государственных услугах) и клиентов (если говорить о коммерческих услугах). Средний гражданин, после некоторых колебаний предпочитал «по старинке» идти в присутствие лично, чем обзаводиться программным обеспечением, сертификатом, изучать особенности ЭЦП и так далее. Ни западные государственные институты, ни коммерческие предприятия массового обслуживания не стали использовать ЭЦП в существенных масштабах именно из-за неприятия гражданином/клиентом.

Тем не менее, дистанционное обслуживание (коммерческое и государственное) во многих странах довольно развито и показывает положительную динамику. Потому что вместо более строгого и более надёжного дистанционного удостоверения личности вошли в практику менее строгие методы дистанционного подтверждения личности. Они дают значительно больше рисков, вызывают много случаев мошенничества, которое в случае ЭЦП было бы просто немыслимо. Но всё же используются. Потому что эти риски оправданы. Лучше терпеть мошенников и нести убытки, но при этом вести бизнес по удалённому обслуживанию клиентов, чем поставить условие применять ЭЦП, сделать мошенничество невозможным, но лишиться клиентов.

В каждом из таких бизнесов используются свои методы подтверждения личности (от "джентльмену верят на слово" до комплексных с обратным телефонным звонком, обратным бумажным письмом и поручительством) в зависимости от стоимости риска. Государственные органы также применяют "нестрогие" методы подтверждения личности в тех случаях, когда риск не слишком велик. А для большинства государственных функций этот риск, будучи выражен в денежной форме, оказывается достаточно скромного размера.

Для примера посмотрим на крупнейший в мире интернет-магазин "Ebay" и принадлежащую ему платёжную систему "PayPal". Личной явки и предъявления паспорта с клиентов не требуют. Обычно ограничиваются проверкой банковской карты и получением по факсу (т.е. с низким разрешением) копий удостоверения личности и счёта за коммунальные услуги. Очень редко запрашивают другие документы или используют телефонный звонок и бумажное письмо. При этом уровень мошенничества на "Ebay" не просто приемлемо низкий (он приемлемый у большинства интернет-магазинов и платёжных систем). Уровень мошенничества у "Ebay"/"PayPal" рекордно малый среди всех онлайновых сервисов подобного рода.

Привязка ящика электронной почты к человеку

Итак, мы установили, что вместо строгого удостоверения личности можно применять подтверждение личности большей или меньшей степени строгости, в зависимости от того, какие предвидятся риски. А в некоторых случаях, когда риски невелики, можно обходиться и вовсе без подтверждений и при этом обеспечивать приемлемый уровень мошенничества.

На каких же принципах можно создать недостающее звено российского "электронного правительства"?

ЭЦП ("ЭП" по новому законопроекту), очевидно, для этого не годится. Она не прошла проверку практикой во многих странах. Повторять в России уже пройденный неудачный опыт было бы не разумно. Либо надо выбрать совсем новый, нехоженый путь и надеяться, что он станет лучшим, либо надо заимствовать успешный чужой опыт со всеми его недостатками.

Способ подтверждения личности на основе адреса электронной почты используется кое-где, но ограниченно. Технически не сложно убедиться, что письмо пришло с определённого адреса: надо всего лишь отправить по этому адресу уникальный код и получить подтверждение его приёма через ответное письмо или через протокол HTTP. Этот способ используется на многих сетевых ресурсах для подтверждения подписки или регистрации. Но такая цепочка не достаёт до человека, она подтверждает адрес, а кто именно этим адресом (почтовым ящиком) управляет, надо подтверждать иным способом. Такие способы тоже существуют.

Из них самый распространённый - децентрализованная рекомендательная система на основе продукта PGP. Это «почти» ЭЦП, но без пирамидальной структуры удостоверяющих центров. Пользователи дают друг другу перекрёстные "рекомендации", подписывая сертификаты друг друга. Следовательно, между любыми двумя пользователями можно построить несколько цепочек "рекомендаций", каждое звено которых имеет более или менее высокую репутацию. В итоге для каждой пары корреспондентов, которые никогда не встречались в реальном мире, вычисляется коэффициент доверия, от 0 до 1. "Доверия" - в смысле достоверности имени и адреса. Кто имеет достаточно много "рекомендателей" с высокой репутацией, тот может считаться подтвердившим свою личность (в том числе, привязку к адресу электронной почты) с достаточной степенью достоверности. Необходимый порог устанавливается, исходя из рисков: где-то достаточно будет достичь 0,1, где-то потребуется 0,5. А, например, коэффициент 0,99 - это уровень достоверности столь же высокий как в случае использования ЭЦП.

Впрочем, PGP распространена в мире хоть и широко, но не достаточно широко, чтобы безоговорочно принимать её за образец.

Другой способ привязать адрес электронной почты к личности гражданина - это ввести в действие процедуру выдачи доступа к почтовому ящику с личной явкой и предъявлением паспорта. Этот вариант - первый, который приходит в голову. Давайте рассмотрим его подробнее.

Достоинства и недостатки этого метода достаточно очевидны. Ближайший аналог такой процедуры - процедура регистрации договора с оператором мобильной связи, т.е. подключения телефона. На её примере видны перспективы выдачи идентификатора при личной явке. Степень охвата населения этой процедурой - очень высокая. Качество учёта принадлежности мобильных номеров - достаточное для предоставления небольших кредитов (связь в кредит с лимитом порядка сотен рублей), а также для расследования некоторых видов преступлений (которые не предусматривают предварительной подготовки - приобретения сим-карты на чужое имя). Использование чужих аккаунтов (учетных записей) - практика достаточно распространённая, но в основном внутри семьи; риски это почти не увеличивает.

Можно предположить, что если личность гражданина при общении с "электронным правительством" будет подтверждаться использованием его "официального" личного адреса электронной почты, то такое подтверждение будет достаточным для мелких и средних рисков. Давайте посмотрим, какие же риски существуют, какие злоупотребления можно учинить при дистанционном получении государственных услуг. От наличия и стоимости этих рисков зависят и будущие действия злоумышленников.

Риски

Когда чужие аккаунты электронной почты (учётные аккаунты) приобрели кое-какую рыночную ценность (хотя и чёрно-рыночную), их стали массово взламывать. Такие аккаунты используются для рассылки спама, а также для похищения у людей паролей к другим ресурсам, которые часто "завязаны" на электронную почту (например, туда высылается новый пароль на случай его утраты). Никакая защита не остановила злоумышленников. И если произвести заказной взлом почтового ящика конкретного человека не всегда удаётся (бывают довольно осторожные люди, соблюдающие все меры безопасности), то задача взлома какого-нибудь ящика решается легко и, главное, массово. На чёрном рынке продаются и покупаются лоты из сотен и тысяч паролей к чужим или свежесозданным подставным ящикам. При этом цена на такой «товар» не высока - меньше 1 доллара в расчёте на один почтовый аккаунт.

Следовательно, и почту в домене "РФ" тоже начнут массово взламывать сразу, как только появится платёжеспособный спрос.

Существует распространенное заблуждение о том, что защищённость аккаунта электронной почты целиком зависит от провайдера. По всеобщему мнению, самый лучший, один из самых популярных операторов электронной почты в мире, "Гугл" подвергается взлому ничуть не меньше остальных. Потому что слабейшим звеном всегда остаётся пользователь. Заставить его соблюдать осторожность, быть бдительным, принудить к безопасности - такую задачу пока не удалось исполнить даже в отношении корпоративных пользователей. Для домашних пользователей (граждан) она тем более невыполнима, любым провайдером.

Следовательно, массовый взлом "официальной" почты граждан станет реальностью сразу, как только появится спрос на него. Вне зависимости от того, кто технически поддерживает сервера, кто устанавливает правила и как принуждает пользователей к их исполнению. Даже самые дорогие и квалифицированные кадры (какие, например, может себе позволить "Гугл") не в состоянии предотвратить взлом почтовых аккаунтов у обычных пользователей-непрофессионалов.

Существуют следующие риски для "государственной электронной почты":

1. направление злоумышленником официального заявления в госорган от имени другого гражданина
   • - с целью хищения денег злоумышленником
   • - с целью получения госуслуги бесплатно (за чужой счёт)
   • - с целью причинения неприятностей номинальному отправителю (без прямой выгоды злоумышленнику)
2. направление злоумышленником официального документа от имени должностного лица (государственного органа)
   • - с целью хищения ценностей адресата или его близких
   • - без цели хищения
   • - с целью ненадлежащей рекламы (спам)
   • - с политическими или пропагандистскими целями
3.  массовое отправление писем с целью атаки на отказ в обслуживании
4.  несанкционированный доступ к переписке гражданина и госоргана с целью проведения мошенничества (или получения конфиденциальных данных для последующего мошенничества)
5. отказ отправителя (с любой стороны) от факта отправления письма
6. ложное утверждение отправителя об отправке письма
   • - при том, что отправки не было вовсе
   • - при том, что отправка произошла в другое время
7. утрата письма
   • - по техническим (стихийным) причинам
   • - в результате злоумышленных действий заинтересованного лица
8. нарушение сроков доставки

Все перечисленные риски индифферентны к типу используемых почтовых доменов (латинские или IDN). Более того, риски не зависят от того, идёт обмен информацией по протоколам электронной почты (SMTP, SMTP/TLS, POP, IMAP и т.д.) или по более популярным веб-протоколам HTTP и HTTPS. Последние даже имеют ряд преимуществ, что подтверждается ростом относительной популярности т.н. веб-почты, то есть, доступа к управлению своей электронной почтой по веб-протоколам, как это сделано в почтовых службах Mail.Ru, Gmail.com, mail.yandex.ru и подобных. При такой организации дела базовый почтовый протокол SMTP используется значительно меньше. А при централизации адресатов может и вовсе не использоваться.

Нестандартность

Поскольку организация системы доставки электронных сообщений между гражданами и государственными органами предполагает общение граждан и госорганов, а также одних госорганов с другими и в гораздо меньшей степени - переписку граждан между собой, система может и должна быть централизована. При таком вырождении подходе полностью пропадает различие между электронной почтой и веб-порталом типа "социальная сеть". Следовательно, исчезают почтовые протоколы и необходимость соблюдения формы адреса "username@domain.tld". Для всей государственной "социальной сети" достаточно одного домена - абсолютно любого домена, лишь бы он не подвергался риску снятия делегирования на территории России.

Снижение многих из перечисленных рисков как раз лежит на пути отказа от "классических" протоколов электронной почты и перехода на структуру, подобную социальной сети на протоколах HTTP и HTTPS. Например, только она может обеспечить юридически корректное фиксирование времени отправки/получения/прохождения каждого сообщения.

Недаром все сетевые платёжные системы, где аутентификация пользователя очень важна, построены на основе веб-протоколов по принципу "социальная сеть". Ни одна из платёжных систем не базируется на почтовых протоколах. Это не случайность и не мода, а закономерное решение, вытекающее из требований защищённости.

Как мы видим, при построении системы идентификации для предоставления государственных услуг в электронном виде не существует причин держаться за почтовые протоколы и стандарты. Тем более, что эти стандарты пока ещё не предусматривают кириллические имена пользователей в адресах username@domain.tld, и до окончанию работ по разработке и утверждению этих стандартов пройдет время.

Стимулы

Как уже упоминалось, взломы и прочие несанкционированные действия над системой электронного взаимодействия между гражданами и государственными органами в рамках предоставления электронных государственных услуг обязательно будут. Их число может быть несущественным, а последствия - мелкими и терпимыми. Но взломы могут быть и массовыми, дискредитирующими всю систему или удорожающими её до неприемлемого уровня.

Как ни странно это звучит, но число взломов слабо зависит от дизайна системы, числа защитников или стойкости шифрования. Вся практика мировой ИТ-индустрии, вся статистика ИТ-инцидентов говорят нам, что число найденных и использованных уязвимостей в защите зависит главным образом от спроса на соответствующие взломы, на ту информацию, которую можно при этом извлечь. Если система не содержит привлекательных для злоумышленников данных, то на неё могут покуситься 1-2 энтузиаста за всю историю. Если же конфиденциальные данные из системы пользуются спросом на чёрном рынке, то система станет объектом пристального интереса тысяч материально стимулированных профессионалов. Под таким натиском не устоит ни одна защита (тем более, что защитники - тоже люди).

Таким образом, для построения надёжной системы электронного взаимодействия между гражданами и государственными органами гораздо важнее сделать так, чтобы ею (её данными) нельзя было воспользоваться для извлечения денег. Тогда она будет попросту малоинтересна для квалифицированных взломщиков и профессиональных киберпреступников. В таких условиях обеспечить её защиту гораздо проще. А возможность извлечь разные нематериальные выгоды (анонимизироваться, подставить недруга, оскорбить чиновника при исполнении, подсмотреть за знаменитостью) не вызовет массовых атак на систему. С этими единичными инцидентами можно спокойно разбираться, не опасаясь за функционирование электронного правительства в целом.

Таким образом, основной метод защиты лежит на экономическом уровне. Не на организационном и, тем более, не на техническом. Для этого следует построить систему предоставления государственных услуг в электронном виде таким образом, чтобы при всех возможных злоупотреблениях с их помощью нельзя было бы украсть деньги. Тогда и злоупотребления не будут массовыми.

Электронная почта и удобство

Удобство - это тоже фактор безопасности. Когда наши пользователи - свободные люди, а не солдаты, которых можно построить в любое количество шеренг, они станут выполнять лишь те из предусмотренных процедур защиты, которые легче выполнить, чем обойти. Поэтому неудобный интерфейс, завышенные требования, малопонятные функции будут означать снижение защиты. Само по себе удобство использования системы также имеет значение, если мы хотим, чтоб граждане пользовались предложенным, чтоб за счёт дистанционного получения услуг теряли времени меньше, чем при традиционных способах общения с государственными органами.

Для современного среднего пользователя Интернета классическая система электронной почты (мейл-клиент, мейл-сервер исходящей, мейл-сервер входящей почты, релей, локальная и удалённая адресная книга) кажется малопонятной и не обоснованной. Когда-то давно она оправдывалась тем, что большинство каналов связи обладали низкой пропускной способностью и были неустойчивыми, сервера – с низкой производительностью, диски – маленькой емкости. Сэкономить эти ресурсы можно было за счёт специфических протоколов и форматов, ценой дополнительных затрат времени, избыточности и сложности инфраструктуры.

С тех пор в Интернете изменилось очень многое. Удешевление почти всех ресурсов (пропускная способность каналов, быстродействие, объём накопителей) перестала оправдывать классическую структуру электронной почты. Сохраняется она только для достижения совместимости, из-за её привычности и задействовании в бизнес-процессах. При этом электронная почта медленно мутирует, приближаясь к более оптимальной структуре типа "социальная сеть".

Для пользователя-новичка настроить электронную почту представляет собой задачу. В то время как веб-почтой и социальной сетью он начинает пользоваться почти не задумываясь, поскольку устанавливать и настраивать там ничего не требуется.

Следовательно, для новой системы большинство пользователей будут составлять те, кто не успел привыкнуть настраивать POP3- и SMTP-транспорт отдельно, кому не требуется, чтоб новая система была совместима с давно привычным почтовыми клиентами. Напротив, для большинства привычными (следовательно, удобными) являются веб-интерфейсы систем "Почта@Mail.RU", "ВКонтакте" и т.п.

Для перспективной системы доставки электронных сообщений между гражданами и государственными органами не стоит требование совместимости с классической электронной почтой, поскольку сейчас нет никаких услуг - ни на основе почты, ни на основе иных протоколов. Пилотный проект так же сделан на веб-протоколах.

Электронная почта и безопасность

Протоколы электронной почты создавались в 1980-х совершенно без учёта требований безопасности. Ныне понятно, что это было крупной ошибкой, это заложило мину замедленного действия под весь Интернет. От спама страдают все пользователи и провайдеры на протяжении более 10 лет. Электронная почта легко переносит вирусы. Анонимность email-сообщений достаточно высока, а после небольших усилий становится почти абсолютной. Все эти проблемы могли просто не возникнуть, если бы на заре построения Интернета создатели первых версий протоколов учли перспективные угрозы. Но они не учли. В дальнейшем требования совместимости, преемственности и привычности, а также невозможность одновременной смены протоколов на миллиардах узлов Сети привели к автоматическому "наследованию" всех проблем: спама, вирусов, анонимности и других.

В существующие протоколы электронной почты невозможно внедрить надёжную аутентификацию и другие средства безопасности. Вся защита носит дополнительный и опциональный характер. А ведь, кажется, преодоление анонимности и возможности отказа от факта посылки сообщений является одним из основных требований системы государственных услуг.

Предварительные выводы

Таким образом, организация системы общения граждан и государственных органов в процессе предоставления государственных услуг в электронном виде, основанная на технологиях и протоколах электронной почты, не является оптимальной. Существуют технологии, использование которых позволит с одной стороны исключить или снизить большинство рисков, которые неизбежно возникли бы в случае использования электронной почты и с другой стороны, обеспечить гораздо более высокую степень удобства как для пользователей-граждан, так и для сотрудников государственных органов.

При этом необходимо отметить, что обеспечение работы полностью русскоязычной почты в кириллическом домене РФ является важным и необходимым элементом построения российской интернет-инфраструктуры, именно поэтому в ходе НИР планируется подробно описать и проанализировать эту задачу, а также предложить наиболее оптимальные варианты её реализации.

Тем не менее, нельзя согласиться с тем, что проблематика создания электронной русскоязычной почты и задача по организации электронного взаимодействия между гражданами и государственными органами в рамках предоставления электронных государственных услуг, являются смежными темами, поэтому предполагаемые действия в рамках НИР изначально будут содержать два практически непересекающихся логических блока, посвящённых, собственно, русскоязычной почте в домене РФ и электронному взаимодействию «Государство – Гражданин».

Владимир Ермаков, "Ашманов и Партнеры"

--

Roem.ru не обязуется разделять мнения авторов, но готов предоставлять возможность публикации значимым персонам о событиях на интернет-рынке.

Обращайтесь к Синодову Юрию по почте sinodov@roem.ru