Криптография: гражданско-правовыеаспекты
Введение
Криптография стала незаменимой для обеспечениясохранности информации, а также ее конфиденциальности в таких сферах, какбанковские платежные системы (банковские карточки), мобильная телефонная связь,в работе фондовых рынков, сфере предоставления налоговой и бухгалтерскойотчетности в электронном виде и пр.
Складывающаяся практика применения средствкриптографии увязывается с основными институтами гражданского права (формасделки, исполнение обязательств, корпоративные права, самозащита прав,нематериальные блага и др.).
Рождение гражданской криптографии: компьютерыи сети связи
Хотя история криптографии насчитывает болеетысячи лет, примерно до середины 1970-х в мире (а в нашей стране — до начала 1990-х)криптография устойчиво ассоциировалась со специфическими сферамигосударственной деятельности (вооруженные силы, разведка, дипломатия и т.п.).
Вторая молодость криптографии, на этот раз в«цивильном платье», обусловлена началом использования средствобработки и передачи информации в цифровой форме. Саму по себе информацию(сообщение, файл) в цифровой форме легко изменить, бесследно подделать. Поэтомукриптография стала незаменимой для обеспечения аутентификации и целостностиинформации, а также ее конфиденциальности. Когда говорят о средствахкриптографической защиты информации (далее — СКЗИ), главным образом, имеют ввиду средства шифрования и средства электронной цифровой подписи (далее — ЭЦП).Их и рассмотрим в настоящей статье.
Сегодня стал привычным термин«гражданская криптография», обозначающий общедоступную криптографию,в противоположность специальной государственной (прилагательное«гражданская» юридического смысла здесь не несет).
Гражданская криптография вошла в повседневныйобиход, достаточно упомянуть такие области как:
мобильная телефонная связь стандарта GSM,которая опирается, среди прочего, на алгоритмы шифрования данных (А5),формирования ключей шифрования(А8) и алгоритм аутентификации(А3) *(1);
банковские карточки международных платежныхсистем («Visa», «MasterCard» и др.) функционируют сиспользованием алгоритма шифрования DEA *(2);
в бытовое программное обеспечение встраиваютсякриптографические функции (безопасная передача информации по протоколу SSL вИнтернет-браузерах; шифрование и ЭЦП в текстовом редакторе MS Word и др.).
Криптография стала также неотъемлемымспутником бизнеса в таких областях, как:
банковская система:
обмен электронными платежными документами всистеме расчетно-кассовых центров Центрального банка РФ осуществляется сиспользованием ЭЦП и шифрования;
распространение получили построенные на основеЭЦП системы управления расчетным счетом, т.н. системы «Клиент-Банк» *(3);
международные межбанковские расчеты устойчивоассоциируются с системой SWIFT *(4), в которойиспользуются аппаратно-программные криптографические средства на базе алгоритмаRSA;
фондовый рынок (РТС *(5), фондовая секция ММВБ и др.), где широко используютсятерминалы удаленной торговли ценными бумагами, построенные с использованиемтехнологии ЭЦП;
прочие сферы (предоставление по каналам связиналоговой декларации и бухгалтерской отчетности в электронном виде и др.).
Гражданско-правовое значение криптографии
Распространенность криптографическихтехнологий обусловливает потребность в их осмыслении с позиций цивилистическойдоктрины. В литературе существует ряд работ, посвященных правовомурегулированию электронного документооборота *(6). Однако в целом проблема соотношения важнейшихинститутов гражданского права и криптографических технологий исследовананедостаточно.
Представляется, что гражданско-правовоезначение криптографии может быть охарактеризовано следующим образом.
Во-первых, шифрование и/или ЭЦП могутиспользоваться как средство обособления невещественных объектов гражданскихправ, если они физически представлены в виде записей, электронных документов *(7) (файлов).
Как известно, обособление (индивидуализация)является ключевым вопросом для любых объектов абсолютных гражданских прав, будьто вещи или невещные объекты гражданских прав (результаты интеллектуальнойдеятельности и т.д.). Кратко, но емко, сформулировал эту важнейшую мысль В.А.Белов: «Объектом всякого абсолютного права может быть только уникальнаяили индивидуализированная субстанция». *(8)
Рассматривая объекты исключительных прав, В.А.Дозорцев называл основные три способа их обособления (индивидуализации) *(9):
обособление в силу уникальной формы объекта,что характерно для объектов авторского права;
обособление формализацией признаков объекта, врамках регистрационной системы. Это характерно для объектов патентного права;
обособление посредством сохраненияконфиденциальности объекта. Такой способ используется применительно к ноу-хау.
Для дополнительного обособления объектовавторского права, представленных в электронно-цифровой форме, удобноиспользовать средства криптографии. Проблема заключается в том, что экземплярыпроизведений в традиционной форме, будучи вещами (книги, картины и т.п.) легкомогут быть индивидуализированы. Тогда как произведения, выраженные в цифровойформе, представляют собой легко копируемую информацию (файл), копии которойдаже теоретически не имеют своей уникальности. Невозможно различить оригинал икопию, в т.ч. и ту копию, которая сделана незаконно. Данное обстоятельствозатрудняет реализацию и защиту авторских прав их обладателями.
Снабдив же файл ЭЦП, можно придать внешнююуникальность самой записи (файлу, информации), в которой представленоохраняемое произведение. Это не умалит уникальности содержания произведения,предоставив дополнительные технические возможности для реализации авторскихправ и их самозащиты. В отношении конкретного индивидуализированного файла(книги, фильма, песни) проще контролировать правомерность его использованияопределенным лицом.
Широко практикуется «подписание»программного обеспечения (отдельных драйверов, обновлений программ и др.),здесь ЭЦП подтверждает, что данной файл действительно является обновлениемпрограммы, исходящим от правообладателя первоначальной программы, а неподброшенным программой-вирусом.
Возможность обособления с помощью ЭЦПпроизведений в электронной форме также ценна тогда, когда на одной вещи(компьютер-сервер) физически размещается несколько различных охраняемыхпроизведений, принадлежащих разным лицам (т.н. «хостинг»).
Добавим также, что концепция управленияисключительными авторскими правами на произведения в электронной (цифровой)форме — Digital Right Management (DRM) *(10) во многом предполагает использованиекриптографических методов. Достаточно привести пример «электронныхкниг» формата *.pdf компании Adobe.
Обособление объекта гражданских прав можетбыть осуществлено и путем фактического ограничения доступа к нему. Дляобъектов, физически представленных в виде записей (файлов, электронныхдокументов), ограничение доступа чаще всего организуется путем:
изменения формы представления нематериальногообъекта, перевод его в нечитаемую форму. Речь идет о шифровании информации,т.е. криптографическом методе;
собственно ограничением доступа средствамитехнической защиты информации (парольная защита, межсетевые экраны,экранированные ЭВМ и др.).
Например, для такого объекта гражданских правкак информация, составляющая коммерческую тайну, ограничение доступа являетсяодним из условий охраноспособности (ст. 139 ГК РФ; ч. 1, ч. 2 и ч. 4 ст. 10 ФЗ«О коммерческой тайне»). И поскольку ограничение доступа может бытьдостигнуто путем шифрования, то шифрование такой информации следуетквалифицировать как факт, свидетельствующий о принятии мер к охранеконфиденциальности коммерческой тайны. Таким образом, шифрование можетвыступать как часть юридического состава, порождающего возникновениесубъективного права на информацию, составляющую коммерческую тайну.
Во-вторых, шифрование может использоваться вкачестве превентивной меры самозащиты гражданских прав. Речь идет, в основном,о самозащите абсолютных гражданских прав на конфиденциальную информацию(коммерческая тайна, личная тайна, семейная тайна). Очевидно, что труднеенарушить право собственности на вещь, помещенную в прочный сейф. Точно так же,злоумышленнику сложнее нарушить право на информацию, составляющую коммерческуютайну, если она зашифрована надежным СКЗИ. Суть самозащиты в этом случаезаключается в том, что фактическими мерами затруднен неправомерный доступ кохраняемой информации, ее прочтение и понимание.
При этом речь может идти не только о статичномхранении зашифрованной информации. На практике используются средствазащищенного внутрикорпоративного обмена конфиденциальной информацией, т.н. VPN(Virtual Personal Network), осуществляющие шифрование трафика.
Стоит отметить, что самозащита гражданскихправ путем использования шифрования может осуществляться как непосредственнодействиями самого обладателя защищаемых прав, так и силами третьих лиц,оказывающих соответствующие услуги. *(11) В последнем случае следует учитывать лицензируемостьуслуг шифрования. *(12)
Далее ниже я добавил два абзаца, в которыхсодержится информация о том, что ты скачал работу из Сети (или купил на диске),не исключено и такое, короче удалишь их и все будет в порядке.
Можно также говорить о самозащите средствамикриптографии обязательственных гражданских прав. Например, в отношении правараспоряжаться денежными средствами, находящимися на банковском счете, ЭЦПвыступает средством, фактически затрудняющим злоумышленнику посягнуть на этиправа, сфальсифицировав платежное поручение. В этом случае имеется тесная связьи с правом на имя.
Цель применения СКЗИ для самозащитыгражданских прав зависит от характера прав: если для тайн требуется обеспечитьконфиденциальность (шифрование), то для обязательственного права распоряженияденежными средствами на счете важнее обеспечить аутентификацию и целостностьинформации (ЭЦП).
В-третьих, криптография может использоватьсякак средство реализации личного неимущественного права на имя. Принято считать,что подпись (право на подпись) представляет собой нематериальное благо, приэтом тесно связанное с правом на имя (п. 1 ст. 19 ГК РФ) и выражающее этоправо. *(13) Право на подпись является личнымнеотчуждаемым правом, позволяющим человеку индивидуализировать себя средипрочих лиц, а также свою волю в сделках.
Принципиально важным является то, что законодательв ст. 19 ГК РФ (п.п. 1, 2, 4) обязывает гражданина приобретать и осуществлятьгражданские права, а равно принимать на себя и исполнять обязанности только подсобственным именем, а, значит, и под своей подписью.
Следовательно, использование ЭЦП длязаключения сделок необходимо признать способом реализации права и обязанностидействовать под своим именем. *(14) В литературеуже высказывались некоторые соображения относительно взаимосвязи ЭЦП и личногоправа на имя. Так, М.Н. Малеина пишет, что "… в будущем электроннаяцифровая подпись также должна стать компонентом имени". *(15) Отметим лишь, что право на имякорректнее увязывать не с самой ЭЦП, а с ключом подписи (закрытым ключом), т.к.ЭЦП для каждого конкретного документа является уникальной, поскольку оназависит и от содержания документа, и от ключа подписи.
Стоит добавить, что право на имя (в том числе,реализуемое в форме использования ЭЦП) непосредственно связано с вопросамиволеобразования и волеизъявления юридического лица. Право и обязанностьчеловека использовать свою уникальную подпись, отражающую его имя, не меняютсяв зависимости от приобретения / утраты им статуса органа юридического лица.Личность человека и его статус органа юрлица нераздельны: поэтому подпись И.И.Иванова (как человека) не может существовать автономно от подписи того же И.И.Иванова, но уже как директора юрлица. Подпись едина, как едина личностьчеловека.
Неимущественное право на подпись (в т.ч. ЭЦП)присуще исключительно человеку, но никак не юридическому лицу. По этой причиненельзя говорить об «ЭЦП юридического лица», а появление такойконструкции в законодательстве породит ряд неразрешимых и весьма опасныхпроблем, увеличив число злоупотреблений в корпоративной сфере. *(16)
В-четвертых, средства криптографии могутиспользоваться как средство обеспечения надлежащей формы совершаемой сделки. Взависимости от техники заключения сделок выделяют сделки между присутствующимиконтрагентами (в их непосредственном личном присутствии), а также сделки междуотсутствующими контрагентами, путем обмена сообщениями, письмами.
Проблема заключения договоров междуотсутствующими была давно известна в отечественной цивилистической науке, и, вобщем, успешно ей разрешена. Речь идет не только о заключении договоров путемобмена письмами в обычной бумажной форме, что широко используется и поныне.Цивилистика всегда шла в ногу со временем, и уже с конца XIX в. исследовалисьвопросы использования электрической связи (телефон, телеграф) для заключениядоговоров путем обмена волеизъявляющими сообщениями (оферта/акцепт). *(17)
Теоретические проблемы «электронныхсделок», как ни странно, во многом были разрешены еще при жизни профессораГ.Ф. Шершеневича. Ибо для гражданско-правовой квалификации сделок междуотсутствующими контрагентами нет принципиальной разницы, каковы используемыесредства связи — телеграф, либо современные средства связи на основе протоколовпакетной передачи данных, таких как X.25 или TCP / IP (последний — основаИнтернет). Проблема так называемых «электронных сделок», в основном,сводится к классическим вопросам заключения и исполнения гражданско-правовыхсделок, что мы уже подчеркивали ранее. *(18)
Действующее российское законодательство в п. 2ст. 160 ГК РФ допускает при совершении сделок использовать различные аналогисобственноручной подписи, в т.ч. ЭЦП. А в п. 2 ст. 434 ГК РФ законодательразрешил заключать договор в письменной форме путем обмена документамипосредством электронной или иной связи, позволяющей достоверно установить, чтодокумент исходит от стороны по договору (договор между отсутствующими). В этихслучаях, использование ЭЦП служит средством соблюдения требования о простойписьменной форме сделки.
Вместе с тем, принципиально важноразграничивать два случая:
использование ЭЦП как аналога собственноручнойподписи при заключении сделок;
применение ЭЦП для иных юридических целей, втом числе для индивидуализации объектов гражданских прав (см. выше).
Скажи, а тебя не мучает совесть, от того, чтоты нагло воруешь чужие работы? я не против, если ты качаешь их дляознакомления. Вот ты скачал, прочел. Перепиши от руки. И зачтется тебе — какхорошей оценкой, так и чистой совестью, и трудом.
Во втором случае нет увязывания ЭЦП сконкретным человеком, в контексте его права на имя, и потому правомерноиспользование технологии ЭЦП как метки юридического лица в целом. Это относитсяк случаям, когда ЭЦП используется в рамках процедуры исполнения обязательства,например, для постановки отметок времени (timestamp) на платежных поручениях идр. электронных документах. Такие мероприятия аналогичны постановке на бумажныхдокументах операционистами, работниками канцелярии штампов-отметок«принято»/«получено». Эти действия не являются заключениемсделок, а потому могут осуществляться работниками организации (ст. 402 ГК).Важно отметить, что в качестве подобной метки может использоваться обезличенноесредство (скажем, штамп организации — «принято. Дата»), а не подписьконкретного человека. В качестве такой обезличенной метки в целом от имениюридического лица допустимо использование и ЭЦП.
При этом, несмотря на идентичностьтехнологической основы, в юридическом значении такие электронные метки наоснове ЭЦП не будут являться аналогом собственноручной подписи в строгом смыслеп. 2 ст. 160 ГК РФ. Поэтому данное обстоятельство не реабилитируетневозможность существования «ЭЦП юридического лица» в буквальномзначении, о чем мы уже сказали.
Такая ситуация обусловлена тем, что технологиякак таковая не имеет единой гражданско-правовой квалификации. Точно также желист бумаги с текстом и подписью может иметь совершенно различноегражданско-правовое значение: служить формой договора, быть ценной бумагой,распиской в принятии исполнения обязательства и др.
В-пятых, криптография может служить целяморганизации процедуры надлежащего исполнения договорного обязательства.Например, шифрование применимо для исполнения такого специфическогообязательства, как обязательство по профессиональной тайне (к разновидностямкоторой относятся банковская тайна, аудиторская, тайна страхования, тайна связии т.п.). В качестве распространенного примера можно назвать шифрованиетелефонного трафика в стандарте GSM (см. выше), — будучи способом операторасвязи исполнить свое обязательство по обеспечению тайны связи.
В этой связи стоит отметить, что исполнениеобязательства по сохранению профессиональной тайны (банковской тайны и др.)нельзя квалифицировать как услугу по шифрованию, поскольку здесь СКЗИиспользуется в собственных нуждах, в целях исполнения своей обязанности поконфиденциальности.
Кроме того, ЭЦП может использоваться вкачестве технического средства обеспечения процедуры исполнения обязательстванадлежащему лицу (ст. 312 ГК РФ). Технический термин «аутентификация»может характеризовать соотнесение лица, которое фактически принимаетисполнение, с личностью кредитора. Особое значение ЭЦП как средствоаутентификации приобретает, когда речь идет об обязательствах, которыеисполняются удаленно, с использованием средств связи (в частности,информационные услуги бюро кредитных историй).
Кроме того, известно, что процедура исполненияобязательства предполагает право должника зафиксировать факт исполнения,потребовав от кредитора расписку в этом (п. 2 ст. 408 ГК РФ). ЭЦП также можетслужить целям реализации такого права, если исполнение обязательства происходитс использованием средств связи.
В-шестых, средства ЭЦП могут быть использованыкак техническое средство, обеспечивающее реализацию права на участие вуправлении юридическим лицом (неимущественное право, относимое к числукорпоративных прав).
Так, пунктом 1 ст. 38 ФЗ «Об обществах сограниченной ответственностью» прямо предусмотрено, что голосование(опросным путем) на заочном общем собрании участников общества может бытьпроведено путем обмена документами посредством электронной или иной связи,обеспечивающей аутентичность передаваемых и принимаемых сообщений и ихдокументальное подтверждение.
Указанные требования законодателя легковыполнить, используя технологию ЭЦП. Техническая сторона данного мероприятиябудет идентична технической стороне сделок между отсутствующими (см. выше),заключаемыми путем обмена электронными документами.
В-седьмых, средства шифрования или ЭЦП нетолько обеспечивают реализацию субъективных гражданских прав и исполнениеобязанностей, но и сами могут выступать объектом гражданских прав. Используемыев деловой практике средства гражданской криптографии представляют собойаппаратные средства или программное обеспечение, реализующие различныекриптографические алгоритмы и протоколы. Соответственно, СКЗИ могут бытьквалифицированы:
как охраняемое авторским правом программноеобеспечение: программы для ЭВМ и базы данных (на практике, большинство СКЗИпредставлено программным обеспечением). *(19) Кроме того, исходный текст («исходники»)криптографического программного обеспечения может охраняться в качествекоммерческой тайны;
как движимая вещь, если речь идет об СКЗИ ввиде аппаратных средств. К таковым относятся, например, аппаратные шифровальныесредства SWIFT* (20) (SCR, BCR, VPN-box); аппаратныесредства VPN; устройства хранения криптографических ключей (eToken) и др. Внекоторых случаях можно ставить вопрос о патентоспособности аппаратных СКЗИ.
Вот и я зашифровал свою работу. Ключ, для еерасшифровки — внимательное прочтение. Защита от плагиата — удаление этого и ещедвух абзацев выше, в которых я упомянул, то, что реферат взят из Интернета.
Рассматриваяданный аспект, важно подчеркнуть, что, по общему правилу, СКЗИ не являютсяограниченно оборотоспособным объектом (ст. 129 ГК РФ), даже если речь идет отех средствах шифрования, которые сертифицированы (аттестованы) по уровнюзащищенности, достаточному для обеспечения секретности государственной тайны.Это лишь свидетельствует о том, что сегодня частные лица могут обеспечить себеуровень информационной безопасности, сопоставимый с защищенностьюгосударственной тайны. Разумеется, к оборотоспособным не относятся секретныеСКЗИ, которые могут создаваться для специальных государственных нужд(вооруженные силы, разведка, дипломатия и т.п.). Если таковые средствасуществуют, то они будут являться объектами, изъятыми их гражданского оборота (влюбом государстве это одна из наиболее закрытых и охраняемых областей).Собственно, в этом и проявляется разница между гражданской и государственнойкриптографией.
Нормативно-правовые основы использованиягражданской криптографии
В основе использования криптографическихсредств частными лицами лежат как общие гарантии экономической деятельности *(21), закрепленные в ст. 18, ч. 1 ст.34, ч. 3 ст. 55 Конституции РФ, так и ряд положений ГК РФ (см. выше) и другихнормативно-правовых актов. Имеется также некоторая судебная практика. *(22)
Практический интерес представляет проблемасоотношения публичного и гражданского права в этой сфере. Практиков интересует,прежде всего, вопрос: необходимы ли специальные разрешения, лицензии и прочиеформальности публично-правового характера, чтобы приобретать и использоватьсредства электронной цифровой подписи, либо чтобы шифровать свою коммерческуюили личную тайну?
Здесь следует обратить внимание на неточность,встречающуюся в литературе. Например, А. Серго полагает, что СКЗИ длясобственных нужд сегодня можно использовать якобы только на основании лицензии:«Современные программные и технические шифровальные комплексы позволяютдостаточно легко и быстро осуществлять защиту сообщений, но их использование невсегда легитимно (выделено мной — Д.О.)». *(23) В обоснование своих слов А. Серго приводит следующиеположения п. 4 Указа Президента РФ N 334 *(24):
В интересах информационной безопасностиРоссийской Федерации и усиления борьбы с организованной преступностью запретитьдеятельность юридических и физических лиц, связанную с разработкой,производством, реализацией и эксплуатацией шифровальных средств, а также защищенныхтехнических средств хранения, обработки и передачи информации, предоставлениемуслуг в области шифрования информации, без лицензий, выданных Федеральнымагентством правительственной связи и информации при Президенте РоссийскойФедерации в соответствии с Законом Российской Федерации «О федеральныхорганах правительственной связи и информации».
Такая позиция ошибочна, поскольку с моментапринятия в 1998 году ФЗ «О лицензировании отдельных видовдеятельности» уже не требовалось лицензий для использования СКЗИ всобственных интересах. *(25) Статьи 17 и 18 закона прекратилидействие п. 4 Указа N 334 в той его части, что требовала лицензий дляшифрования или подписания ЭЦП своей информации.
Более того, уже в момент принятия указа, егоп.4 противоречил положениям статей 18, 34 и 55 Конституции РФ, посколькунезаконно ограничивал конституционные права физических и юридических лиц насвободное использование своих способностей и имущества для предпринимательскойи иной не запрещенной законом экономической деятельности.
Поэтому А.А. Фатьянов *(26) справедливо отмечает, что на текущий момент нетпрепятствий к свободному приобретению и использованию юридическими ифизическими лицами средств для шифрования своей информации (в частности,коммерческой или личной тайны). Справедливости ради отметим, что в своейпоследующей работе А.А. Фатьянов высказался более осторожно: «Изсовокупного рассмотрения норм указанных актов (Указа N 334 и ПостановленияПравительства N 691 — Д.О.) со всей очевидностью не следует, что положение олицензировании эксплуатации СКЗИ ныне утратило силу» *(27).
Заключение
На наш взгляд, эта очевидность все жеприсутствует. Положение о лицензировании деятельности по техническомуобслуживанию шифровальных (криптографических) средств *(28) не устанавливает обязанности лицензированияиспользования СКЗИ в собственных интересах. Напротив, в подпункте г пункта 3Положения предусмотрено, что лицензируемая деятельность по техническомуобслуживанию включает в себя, в частности, работы по обслуживанию шифровальных(криптографических) средств, предусмотренные технической и эксплуатационнойдокументацией на эти средства. Здесь же специально оговорено, что к такойлицензируемой деятельности не относятся случаи, когда она производится дляобеспечения собственных нужд.
К тому же из данного Положения следует, чтолицензированию подлежит деятельность по техническому обслуживанию СКЗИ, ноникак не сами процессы использования полезных свойств СКЗИ (шифрование/расшифрование; подписание ЭЦП / проверка ЭЦП).
Таким образом, можно утверждать, что сегодняприобретение и использование СКЗИ в собственных интересах (без оказания услугтретьим лицам) свободно, и не требует получения лицензий или выполнения иныхформальностей публично-правового характера.
Литература
*(1) Калаушин Р.М., Крук Е.А. Обзор проблембезопасности мобильной связи с зарождения и по настоящее время // Защитаинформации. Конфидент. — СПб., 2003. — N 2 (50). — С. 59-63.
*(2) См.: Саперов С.А. Банковское право:теория и практика. — М.: Экономика, 2003. — С. 405-413.
*(3) См.:dom.bankir.ru/forumdisplay.php?f=18
*(4) Бельгийское юридическое лицоS.W.I.F.T.scrl, а также контролируемая им система финансовых коммуникацийSWIFT. См.: Саперов С.А. Указ. соч. — С. 287-363; а такжеhttp://www.swift.ru/index.php?n=1&f=11
*(5) См.: Сухоруков А.В. Система электронногодокументооборота РТС: два года на рынке PKI России // Документальнаяэлектросвязь. — 2001. — N 7. — С. 38-40.
*(6) См. напр.: Косовец А.А. Правовоерегулирование электронного документооборота // Вестник Московскогоуниверсит