👀 ФСБ выдвинула VK список претензий к мессенджеру MAX — пока их не устранят, его не подключат к госуслугам

Российский национальный мессенджер MAX, который, по замыслу властей, должен заменить россиянам WhatsApp, не готов заработать на полную. По мнению ФСБ, MAX пока нельзя подключить к госуслугам из-за риска утечек персональных данных россиян.

На одном из последних заседаний президиума Правительственной комиссии по цифровому развитию обсуждалось подключение мессенджера MAX к Единой системе идентификации и аутентификации (ЕСИА) — сервису, через который граждане авторизуются на порталах госуслуг и ряда других органов власти. Об этом говорится в сопроводительных документах к совещанию, с которыми мы ознакомились.

❗️По итогам заседания ФСБ представила обширный список замечаний и требований, из-за которых MAX пока не может получить доступ к промышленной версии ЕСИА, рассказали два источника на российском IT-рынке, знакомых с документом, и подтвердил собеседник, близкий к VK.

По словам одного из собеседников, претензии ФСБ расписаны на несколько страниц и включают требования о создании модели угроз, обеспечивающей защищённость персональных данных пользователей, а также о заключении договоров с лицензиатами Федеральной службы по техническому и экспортному контролю и ФСБ для проведения аудита.

Кроме того, мессенджеру необходимо обеспечить внедрение средств криптографической защиты информации определённого класса, сертифицированных ФСБ, для организации защищенного канала связи с ЕСИА.

Другой источник отметил, что сам факт формирования требований ему известен, и он считает их логичными — они касаются большинства интегрированных систем, подключаемых к ЕСИА. «Например, если в какую-то систему передаются персональные данные из ЕСИА — в случае, если они утекут, это станет проблемой госуслуг. Поэтому, в зависимости от того, куда и к каким данным [в ЕСИА] подключаешься — есть свои требования по информационной безопасности. MAX смотрится суперчувствительно, поэтому там запрос вплоть до анализа и предоставления исходных кодов на проверку», — пояснил он.

Источник, близкий к VK, подтвердил, что заседание правкомиссии прошло недавно, и что «большую часть претензий удастся закрыть». По его словам, претензии силовиков разделяет и профильный вице-премьер Дмитрий Григоренко, курирующий проект нацмессенджера: он тревожится о возможных утечках информации из Госуслуг, если в MAX обнаружатся «дыры», и возможном росте мошенничества с использованием Госуслуг после подключения MAX.

🪲Тем временем, данные портала по поиску уязвимостей в ПО Bug Bounty свидетельствуют, что только за последний месяц в MAX нашли несколько критических уязвимостей. 1 июля мессенджер объявил о подключении к публичной программе VK по поиску багов. За это время компания выплатила 223 410 рублей по двум отчетам багхантеров. В описании программы сказано, что вознаграждения выплачиваются только за ранее неизвестные «дыры», а в шкале вознаграждений указано, что оплачиваются только уязвимости критического уровня.

Ранее сенатор Ольга Епифанова сообщила, что MAX интегрируют с Госуслугами только в октябре-ноябре. В пресс-службе MAX от официальных комментариев отказались.
_____

О планах создать в России национальный мессенджер, интегрированный с госуслугами, стало известно лишь в июне. Тогда же в срочном порядке был принят специальный закон. Власти хотят «пересадить» россиян с иностранных сервисов на госмессенджер и сделать из MAX аналог многофункционального китайского сервиса WeChat. Поэтому подключение MAX к госуслугам – ключевая для него функция. Неготовность MAX стать более привлекательной заменой WhatsApp в теории может отсрочить его вероятную блокировку в России.

Этот пост написан в коллаборации с одной из лучших российских политических журналисток, Фаридой Рустамовой @faridaily24 – подписывайтесь на ее канал.

Приглашаем в новый экспертный канал: Подписано КриптоКлючом

У нас появился новый Telegram-канал. Здесь мы вместе с коллегами из STCrypt будем рассказывать о нашем совместном продукте — мобильном приложении КриптоКлюч, а также делиться полезной информацией из мира электронной подписи.

Подписывайтесь, чтобы быть в курсе: Подписано КриптоКлючом.

❌Вирус в ЭДО

В настоящее время ряд клиентов одного оператора ЭДО
получили следующее сообщение:

Добрый вечер!

Сейчас в *** архивом распространяется червь (экзешник с вирусом). Называется "архив. zip" или "июль 2025 - копия.rtf. zip"
Как работает вирус:
Пользователь отправляет архив своим контрагентам, те его открывают и запускается экзешник. Сразу после открытия экзешник начинает распространяться также архивом по контрагентам получателя и так до бесконечности.
Мы заблокировали отправку неформализованных документов у наших клиентов.

Рекомендуем проверить свои системы на возникновение подобных проблем.

Получение сертификатов только онлайн по биометрии - сертификаты ЭЦП в Казахстане

С 11 августа 2025 года в Казахстане изменится порядок получения сертификатов.
Получить новые сертификаты можно будет только онлайн через порталы egov.kz или pki.gov.kz — без визита в МФЦ ЦОН. 

🔹 Как получить дистанционно? 
1. Подайть заявку на egov.kz или pki.gov.kz. 
2. Пройте биометрическую идентификацию — система распознает через камеру. 
3. Получите сертификат ЭЦП, если верификация прошла успешно. 

🔹Если биометрия не сработала? 
Есть 5 попыток для онлайн-идентификации. Если все неудачны — система откроет возможность подачи заявки через ЦОН, но только при личном визите с документами. 

❌ Без попыток онлайн-идентификации подать заявку в ЦОН не получится. 
💻 Для тех, у кого нет интернета, доступны зоны самообслуживания в ЦОН — там можно пройти биометрию и получить сертификат ЭЦП без оператора. 

🔹 Для чего это реализовано?   Исключение получения сертификатов третьими лицами.

📊 Сначала 2025 года 92,25% сертификатов ЭЦП получены онлайн, и лишь 7,75% — через ЦОН.

https://www.gov.kz/memleket/entities/mdai/press/news/details/1046382

Казахстан последовательно формирует правила использования электронной подписи в своей стране.

🚀 SmartToken-PRO - сертифицированное мобильное приложение, как альтернатива USB-токенам для работы с электронной подписью!

- работа с криптопровайдерами, криптоплагинами, криптобиблиотеками;
- интерфейс подключения к компьютеру: Bluetooth, Wi-Fi, Интернет;
- просмотр документа перед подписанием;
- OS Android (iOS - 3 кв. 2025)
- сертификаты КЭП+Signal-COM CSP+SmartToken-PRO в УЦ e-Notary - всего за 1600 руб!!!

✅ Где купить?
✅ Как настроить?
✅ Где получить сертификат КЭП/НЭП?
Всё это - в нашем Telegram-канале!

📲 Подписывайтесь и получите:
✔ Информацию и консультации по настройке SmartToken-PRO
✔ Акции и спецпредложения
✔ Консультации специалистов по работе с СКЗИ, УЦ и ЭП

💡 Не знаете, с чего начать?
Звоните на горячую линию: 8(495) 363-30-93
Или пишите нам в тех. поддержку @en0tary

❌Скандал с турецким PKI

Большой скандал произошел в Турции из-за незаконной выдачи сертификатов электронных подписей (1, 2). Мошенники использовали поддельные удостоверения со своими фото, но данными реальных чиновников, через подкуп сотрудников двух местных удостоверяющих центров - TÜRKTRUST, E-İMZATR (всего в Турции 8 УЦ) получали настоящие сертификаты.

Ситуацию ещё больше осложняет факт того, что у некоторых высокопоставленных чиновников было более одной электронной подписи, что поднимает вопросы о ведении учёта, отслеживаемости и внутреннем контроле. По словам эксперта по цифровым правам, профессора доктора Ямана Акдениза, одно это уже является тревожным сигналом.

«Электронная подпись должна быть уникальным цифровым отпечатком. Она ни в коем случае не должна дублироваться или пропадать», — заявил он, добавив, что отсутствие двухэтапных систем аутентификации облегчает преступникам работу.

Используя сертификаты злоумышленники получали доступ к информационным системам министерств, университетов, налоговых и земельных реестров, продавали должности, лицензии, дипломы юристов, врачей, психологов, водительские права. Сообщается, что глава группировки обсуждал сделки через зашифрованные мессенджеры, предлагая поддельные удостоверения даже разыскиваемым преступникам.

Бывший начальник полиции рассказал, как доступ к электронной подписи означает доступ к Системе электронного документооборота (EBYS), которая регулирует все — от внутренних служебных записок Министерства до межведомственных решений.

«При помощи действительной электронной подписи можно вести межведомственную переписку, утверждать постановления, назначать государственных служащих, подписывать распоряжения о расходах, авторизовать тендеры, утверждать зарубежные поездки сотрудников или проверять аудиторские отчеты. После цифровой подписи эти решения имеют полную юридическую силу и считаются подлинными», - сказал он.

7 августа местный регулятор Управление информационных технологий и связи опубликовал пресс-релиз:

В августе 2024 года Главная прокуратура Анкары начала расследование дел о поддельных электронных подписях (NES – квалифицированный электронный сертификат) в формате судебного расследования.

BTK сразу же обнаружила 35 поддельных электронных подписей, и впоследствии девять из них были отозваны

.

Масштабы поражают -  затронуты 14 университетов, включая престижные, взломаны системы Министерства образования, миграционного управления и др., подделывались дипломы, водительские права, аттестаты, изменялись результаты экзаменов. 12 сентября начнётся суд над 199 обвиняемыми, которым грозит от 5 до 50 лет.

Этот скандал с подделкой дипломов и взломом систем электронного правительства Турции — не просто коррупционная схема, а системный кризис цифровой безопасности, который ставит под угрозу доверие ко всей государственной системе. Хорошо, что с ними нет ДТС.

Туркам нужно брать опыт Казахстана, где с 11 августа получение сертификата только по ЕБС. За поддельные в 2020-2021 гг. сертификаты в нашей стране никто не ответил.