📢 Отзыв квалифицированных сертификатов через Госуслуги: картина за первое полугодие 2025 

За 6 месяцев направлено 27,8 тыс. запросов на отзыв квалифицированных сертификатов через сервис Госуслуг.

🏆 ТОП-5 лидеров
1️⃣ АО "ИнфоТеКС" – 12,2 тыс. запросов (44% от общего объема - Госключ, всё понятно) 
2️⃣ Федеральное казначейство – 2,5 тыс.
3️⃣ ООО "АйТи Мониторинг" – 1,8 тыс.
4️⃣ ФНС России– 1,7 тыс. 
5️⃣ ООО "СБЕРКОРУС" – 1,4 тыс.
🔹На 5 УЦ приходится 89% всех отзывов 

📈 Средний сегмент 
6️⃣ АО "Аналитический центр" – 1,4 тыс.
7️⃣ ООО "Тензор" – 1,1 тыс. 
8⃣ ООО "Сертум-Про" – 0,9 тыс.
9️⃣ АО "АТЛАС-КАРТ" – 0,8 тыс.
🔟 АО "СКБ Контур" – 0,7 тыс.

Всего информацию направляют 39 АУЦ.
✅За первое полугодие отозвал таким образом два сертификата, в т.ч. замененный Госключа, который ещё действовал - для проверки работы сервиса.

🚀Об ЭП и УЦ

🔐 Приговор суда: хищение 500 тысяч рублей с помощью электронной подписи

Жительницу Тамбова осудили за крупное мошенничество с использованием электронной подписи. Женщина, имевшая доступ к финансам организации и ключу электронной подписи руководителя, перевела на свой счёт почти 500 тысяч рублей, воспользовавшись его доверием. 

📌 Детали дела: 
✔ Похищено: 491 тысяча рублей 
✔ Приговор: 2 года колонии общего режима с отсрочкой исполнения.
✔ Удовлетворен иск о взыскании причиненного ущерба.

✍️Руководитель организации, допустивший компрометацию своего ключа электронной подписи, ответственности не понес.

✍️63-ФЗ, новое название

Новый антифрод законопроект, рассмотрение которого запланировано на осень, внесёт изменения в 63-ФЗ в части создания, выдачи и прекращения действия сертификатов безопасности национального удостоверяющего центра.

Но это не все изменения, в одной из последних редакций появился пункт, согласно которому название закона 63-ФЗ "Об электронной подписи" будет дополнено словами "и удостоверяющих центрах".

✅Когда достаточно было подписаться на канал✍️"Об ЭП и УЦ"

✍️До начала PKI-Форума 🔐 в планах подготовить серию публикаций, приуроченных к теме стратегической сессии: "Доверие к отечественной инфраструктуре открытых ключей".

В состав программного комитета я не вхожу, кроме размещенной программы источников нет, поэтому как всегда напишу, что считаю правильным отметить. Попадут ли поднятые вопросы в обсуждение стратсессии увидим на PKI-Форуме.

✍️Признание квалифицированной электронной подписи

Начало обсуждения "Доверия к отечественной инфраструктуре открытых ключей" начнём со статьи 11 63-ФЗ, которая содержит условия признания квалифицированной электронной подписи. Все условия должны соблюдаться одновременно, признать КЭП недействительной может только суд.

Четыре условия действительности КЭП: 
🔹Аккредитованный УЦ – сертификат должен быть выдан аккредитованным удостоверяющим центром, это базовое условие, при этом аккредитация УЦ должна действовать в день выдачи сертификата.

Это теория закона, на практике всё по-другому, т.к. окончание срока действия аккредитации УЦ прекращает действие всех ранее выданных сертификатов (1, 2). Норма закона не работает уже с самого первого пункта.

🔹Действительность сертификата – сертификат должен быть действителен: 
   - на момент подписания документа (если известно время подписания), 
   - или на дату проверки подписи (если момент подписания неизвестен).

Нельзя создать КЭП с использованием истекшего сертификата, это понятно, сертификат должен быть действующим. Также он должен быть действующим на момент проверки, когда бы она не была - через день, месяц, год, если отсутствует достоверная информация о моменте подписания электронного документа. Таким образом, если нет метки доверенного времени, на момент проверки сертификат должен быть действующим, метка есть - сертификат может быть истекшим. Сроки действия сертификатов 12, 15, 36 мес. или 12 лет.
 
🔹Срок действия ключа ЭП (с 05.08.2024) – ключ ЭП должен быть действующим: 
   - на момент подписания (если время известно), 
   - или на дату проверки (если момент подписания неизвестен).

Самый противоречивый пункт, вступил в силу почти год назад. Он говорит, что проверки срока действия сертификата недостаточно, нужно проверять ещё и срок действия закрытого ключа ЭП.
Срок действия ключа ЭП должен быть действующим на момент подписания, нельзя создать КЭП с истекшим ключом ЭП, что понятно и логично. Также ключ ЭП должен быть действующим на момент проверки, когда бы она не осуществлялась. Если срок действия ключа истёк - должна быть метка доверенного времени. Метки нет, ключ истёк - проверить нельзя, даже если сам сертификат ещё действует. Сроки действия ключей ЭП 12, 15, 36 мес. или 5 лет. 

🔹Успешная проверка подписи – подтверждены: 
   - принадлежность владельцу сертификата созданной КЭП, 
   - отсутствие изменений в документе после подписания. 
Проверка должна проводиться с использованием сертифицированных средств ЭП и  сертификата владельца.

Здесь про целостность документа, принадлежность сертификата владельцу, а не иному лицу, а также про использование сертифицированных средств ЭП, как при генерации ключа пользователем, создании сертификата УЦ, создании и проверке ЭП.

✍️"Об ЭП и УЦ"

Как пишет @alukatsky - А вы учли это в своей модели угроз? 😂

Да не работники "не самые грамотные", а сисадмин, который это писал.

⚡️ Совет Федерации одобрил закон, направленный в том числе на ускорение процедуры аккредитации удостоверяющих центров

Законопроект был вынесен в Госдуму Правительством в октябре 2024 и направлен на упрощение процедуры получения лицензий и аккредитаций.

Изменения вносятся более чем в 50 федеральных законов, законодательно закрепляя результаты эксперимента по оптимизации и
автоматизации процессов разрешительной деятельности и лицензирования, проводимого в
соответствии с постановлением Правительства от 30 июля 2021 года № 1279.

В частности, Федеральный закон установил нормы регулирующие:
🔹автоматизацию процессов подачи, приема и рассмотрения заявлений о предоставлении лицензий;
🔹перевод на реестровую модель введения учета разрешительных документов и результатов
предоставления государственных услуг;
🔹сокращение сроков предоставления государственных услуг и перечня предоставляемых
заявителем документов.

✍️Об ЭП и УЦ

✍️Какие изменения внесены в Федеральный закон "Об электронной подписи и удостоверяющих центрах":

🔹 легализуется ЕПГУ, как способ подачи заявления о получении аккредитации УЦ, который технически работает с 2022 года, но Минцифры проще получать бумажные документы (на фото реальный комплект документов на аккредитацию);
🔹срок, в течение которого Минцифры принимает решение о соответствии УЦ установленным требованиям, сокращается с 30 календарных дней до 18 рабочих дней;
🔹срок направления Минцифры заключения в Правкомиссию сокращается с 10 календарных дней до 6 рабочих дней;
🔹срок направления Минцифры уведомления об аккредитации УЦ сокращается с 5 календарных дней до 1 рабочего дня со дня получения решения от Правкомиссии об аккредитации;
🔹 срок направления Минцифры отказа в аккредитации сокращается с 10 календарных дней до 1 рабочего дня.

✍️Отдельное внимание: подаваемые через ЕПГУ документы должны быть подписаны удостоверяющим центром КЭП руководителя, а если подписывает иное лицо, то его КЭП/НЭП Госключа с МЧД. Первый раз, когда в федеральном законе для очень многих случаев закреплена конструкция НЭП Госключа + МЧД, до этого было только постановление Правительства.

Вы помните, что такое НУЦ? 🏛 А сколько сертификатов он выдал за 6 лет своего существования? А можно ли на свой сайт поставить сертификат НУЦа? А вы знаете, сколько длится процедура отзыва сертификата НУЦа? А чтобы вы сделали, если бы вы были министром цифрового развития, который отвечает за цифровизацию в стране? 🤔 Вариант с увольнением замминистра, отвечающего за НУЦ, не предлагать! Не знаете? Я вот попробовал дилетантски порассуждать в блоге на эту тему.

ЗЫ. Извините, но блог пока работает на сертификатах нероссийского CA и на западной криптографии 🤷‍♀️

#суверенитет #криптография #pki

✍️ Удостоверяющие центры повышают класс защиты

Анализ используемых аккредитованными удостоверяющими центрами средств УЦ

🔹 44 АУЦ для создания квалифицированных сертификатов используются 7 разных средств УЦ, количество ПАК составляет 58, т.к. один АУЦ может использовать более одного ПАК, в т.ч. разных производителей;
🔹 всего АУЦ - 46, но два (НИИАС, Контур.Банк) выдачу сертификатов не осуществляют;
🔹подавляющее большинство ПАКов (81%) на базе КриптоПро УЦ, на втором месте ViPNet с 7 %;
🔹3 АУЦ используют средства представленные в единичном экземпляре (больше их никто не использует);
🔹59% УЦ используют средства класса КС2, 41% - КС3.

Для проведения текущего анализа использовалась информация о подчинённых сертификатах, полученных в 2024-2025 гг.

Если сравнить с прошлым анализом, а там методика была другая - использовалась информация о самом последнем подчинённом сертификате, количество ПАК = АУЦ, поэтому смотрим на относительную оставляющую: УЦ повышают класс защиты, КС3 постепенно движется к половине и рост доли КриптоПро УЦ, уже более 80% всех ПАКов.
Некоторые средства УЦ, например ЛИССИ, я бы вообще исключил, нигде нет информации об их сертифицированности, но два АУЦ получали подчинённые сертификаты на данном средстве УЦ.

🚀Об ЭП и УЦ