Распоряжением Коллегии ЕЭК от 28.04.2026 № 57 внесены изменения в состав межведомственной рабочей группы по взаимному признанию электронной цифровой подписи. От нашей страны в состав вошли представители Ростелекома, Минэка, Минцифры, Гостеха.
Статус по ЕАЭС:
🔹в августе 2023 года на заседании Коллегии ЕЭК утверждены правила взаимного признания электронной цифровой подписи (ЭЦП) в трансграничных B2G взаимодействиях на территории ЕАЭС.
🔹 2 мая 2024 вступило в силу распоряжение коллеги ЕЭК "О вводе в эксплуатацию элементов трансграничного пространства доверия"
🔹ЕЭК разрабатывает единое средство электронной подписи для трансграничных B2G взаимодействиях, срок внедрения 1-1,5 г.
🔹Вопрос о взаимном признании электронной подписи государств - членов Союза - был одним из основных приоритетов ЕАЭС на 2025 год, продолжена в 2026-м.
🔹31 января 2025 дан старт вводу в эксплуатацию службы ДТС интегрированной информационной системы ЕАЭС.
🔹Решением Коллегии от 24 декабря 2025 № 136 внесены изменения в Положение об удостоверяющем центре службы доверенной третьей стороны ИИС ЕАЭС, ТЗ на развитие ИИС.
🔹Страны ЕАЭС намерены перенимать опыт Беларуси и России в признании электронной подписи.
✍️ Протоколы обсуждений говорят, что до реализации ещё долго: от 20.02.2025, от 14.03.2025, от 16.05.2025, от 22.05.2025, от 28.08.2025, от 02.09.2025, от 16.09.2025.
🚀 Об ЭП и УЦ
Статус по ЕАЭС:
🔹в августе 2023 года на заседании Коллегии ЕЭК утверждены правила взаимного признания электронной цифровой подписи (ЭЦП) в трансграничных B2G взаимодействиях на территории ЕАЭС.
🔹 2 мая 2024 вступило в силу распоряжение коллеги ЕЭК "О вводе в эксплуатацию элементов трансграничного пространства доверия"
🔹ЕЭК разрабатывает единое средство электронной подписи для трансграничных B2G взаимодействиях, срок внедрения 1-1,5 г.
🔹Вопрос о взаимном признании электронной подписи государств - членов Союза - был одним из основных приоритетов ЕАЭС на 2025 год, продолжена в 2026-м.
🔹31 января 2025 дан старт вводу в эксплуатацию службы ДТС интегрированной информационной системы ЕАЭС.
🔹Решением Коллегии от 24 декабря 2025 № 136 внесены изменения в Положение об удостоверяющем центре службы доверенной третьей стороны ИИС ЕАЭС, ТЗ на развитие ИИС.
🔹Страны ЕАЭС намерены перенимать опыт Беларуси и России в признании электронной подписи.
✍️ Протоколы обсуждений говорят, что до реализации ещё долго: от 20.02.2025, от 14.03.2025, от 16.05.2025, от 22.05.2025, от 28.08.2025, от 02.09.2025, от 16.09.2025.
Please open Telegram to view this post
VIEW IN TELEGRAM
Инструктаж по охране труда и электронная подпись - вещи несовместимые
Депутаты Госдумы исключили из законопроекта норму о возможности подписывать электронной подписью документы о прохождении инструктажа по технике безопасности.
Ранее против использования электронной подписи для инструктажей неоднократно высказывались профсоюзы.
Операторы кадрового ЭДО высказывались против обязательности НЭП Госключа вместо НЭП информационной системы, теперь не будет никакой неквалифицированной ЭП.
А ведь с депутатами можно согласиться, для чего в Трудовом кодексе новая безграмотность:
Законопроект принят Госдумой и направлен в Совет Федерации.
✍️ "Об ЭП и УЦ"
Депутаты Госдумы исключили из законопроекта норму о возможности подписывать электронной подписью документы о прохождении инструктажа по технике безопасности.
Ранее против использования электронной подписи для инструктажей неоднократно высказывались профсоюзы.
Операторы кадрового ЭДО высказывались против обязательности НЭП Госключа вместо НЭП информационной системы, теперь не будет никакой неквалифицированной ЭП.
Мы с вами вместе защитили такие показатели, как, например, электронная подпись, не допустили внедрение электронной подписи под инструктажами по охране труда, потому что 8 миллионов работающих пенсионеров ну, наверное, не примут это новшество.- говорится в стенограмме обсуждения.
А ведь с депутатами можно согласиться, для чего в Трудовом кодексе новая безграмотность:
Усиленная неквалифицированная электронная подпись, выданная с использованием инфраструктуры электронного правительства.Там и старой хватает.
Законопроект принят Госдумой и направлен в Совет Федерации.
Please open Telegram to view this post
VIEW IN TELEGRAM
Международные новости. Латвия: eID-карты и электронная подпись подпись
История с 346 тысячами латвийских eID-карт, которые рискуют остаться без возможности использовать квалифицированную электронную подпись, получила развитие.
Опубликован совместный пресс-релиз VARAM, PMLP и LVRTC от 15 мая, смотрим, что в нём:
🔹Дедлайн перенесён: не июнь, а декабрь.
Изначально изменения ожидались уже 9 июня 2026, теперь говорят о 9 декабря. За это время нужно найти либо техническое решение, чтобы чипы Cosmo 8.1 снова соответствовали требованиям eIDAS 2.0, либо реализовать план Б. При этом само удостоверение личности продолжает оставаться действующим.
🔹План Б: упрощённая подпись для внутреннего рынка.
В релизе говорится, что если техническое решение внедрить не успеют, пойдут по пути признания документов с электронной подписью, но только внутри Латвии. Какое-то "снижение планки", когда был квал, а после часа Х - стал неквалом (нашей стране это знакомо). С квалифицированной подписи (QES), которая по eIDAS имеет трансграничное признание, идёт снижение на уровень расширенной подписи (AdES), которая будет работать только в национальном сегменте, поэтому потребуются правки законодательства.
🔹Причина проблемы сформулирована комплексно: сертификацию чипов проводит Французская национальная надзорная инстанция, а новый европейский регламент eIDAS 2.0 ограничил срок действия сертификации устройств для QES пятью годами. Ранее сертификаты на чипы Cosmo 8.1 были действительны до 2031 года. Европа получила конфликт "старого железа" и нового регулирования.
🔹В релизе говорится, что оценку долгосрочных решений проведут в течение июня. Через месяц должны определиться: либо находят способ заставить Cosmo 8.1 работать с QES по новым требованиям, либо официально запускают процедуру перехода для внутреннего рынка.
Пользователям пока советуют проверять карты на reg.eparaksts.lv/eidinfo и мигрировать наГосключ eParaksts mobile - это местная облачная/мобильная квалифицированная подпись, которую история с сертификацией чипов не затрагивает.
P.S. Если Латвия пойдёт по пути легализации внутри страны карт, которые изначально использовались для QES - это будет прецедент для всего европейского PKI. Карта физически исправна, срок действия 10 лет не истёк, но из-за нового регламента её ключевая функция обнуляется. Cosmo 8.1 получает номинацию «PKI-профанацию года» в международной категории.
✍️ "Об ЭП и УЦ"
История с 346 тысячами латвийских eID-карт, которые рискуют остаться без возможности использовать квалифицированную электронную подпись, получила развитие.
Опубликован совместный пресс-релиз VARAM, PMLP и LVRTC от 15 мая, смотрим, что в нём:
🔹Дедлайн перенесён: не июнь, а декабрь.
Изначально изменения ожидались уже 9 июня 2026, теперь говорят о 9 декабря. За это время нужно найти либо техническое решение, чтобы чипы Cosmo 8.1 снова соответствовали требованиям eIDAS 2.0, либо реализовать план Б. При этом само удостоверение личности продолжает оставаться действующим.
🔹План Б: упрощённая подпись для внутреннего рынка.
В релизе говорится, что если техническое решение внедрить не успеют, пойдут по пути признания документов с электронной подписью, но только внутри Латвии. Какое-то "снижение планки", когда был квал, а после часа Х - стал неквалом (нашей стране это знакомо). С квалифицированной подписи (QES), которая по eIDAS имеет трансграничное признание, идёт снижение на уровень расширенной подписи (AdES), которая будет работать только в национальном сегменте, поэтому потребуются правки законодательства.
🔹Причина проблемы сформулирована комплексно: сертификацию чипов проводит Французская национальная надзорная инстанция, а новый европейский регламент eIDAS 2.0 ограничил срок действия сертификации устройств для QES пятью годами. Ранее сертификаты на чипы Cosmo 8.1 были действительны до 2031 года. Европа получила конфликт "старого железа" и нового регулирования.
🔹В релизе говорится, что оценку долгосрочных решений проведут в течение июня. Через месяц должны определиться: либо находят способ заставить Cosmo 8.1 работать с QES по новым требованиям, либо официально запускают процедуру перехода для внутреннего рынка.
Пользователям пока советуют проверять карты на reg.eparaksts.lv/eidinfo и мигрировать на
P.S. Если Латвия пойдёт по пути легализации внутри страны карт, которые изначально использовались для QES - это будет прецедент для всего европейского PKI. Карта физически исправна, срок действия 10 лет не истёк, но из-за нового регламента её ключевая функция обнуляется. Cosmo 8.1 получает номинацию «PKI-профанацию года» в международной категории.
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from Пост Лукацкого
Не знаю, будет ли в Нижнем Новгороде Интернет и связь во время ЦИПРа (там и в обычные-то дни с этим сложности, а уж во время приезда премьер-министра и кучи министров и чиновников высокого ранга тем более будут глушить). Поэтому несколько дней в канале может быть затишье. А чтобы вы не скучали и вам было чем занять себя, даю ссылку на архив с четырьмя сотнями презентаций с RSA Conference 2026, которые я скачал. Изучайте 🤓
PS. А будете на ЦИПРе, заходите послушать.
#мероприятие
PS. А будете на ЦИПРе, заходите послушать.
#мероприятие
Please open Telegram to view this post
VIEW IN TELEGRAM
Билайн не ответит
Понадобилась мне сим карта чтобы просто принимать звонки. Решил оформить билайн. Прихожу в салон связи, даю все свои данные. Мне предлагают подписать договор электронной подписью через терминал.Потому что это не электронная подпись, как у Мегафона.
Минобрнауки, ФАС, ФПП и Роскомнадзор присоединятся к эксперименту по внедрению кадрового ЭДО
- Comnews
По факту эксперимент 413-го постановления продлевается до 31.05.2027.
Изначально эксперимент КЭДО в госсекторе планировался на полгода - в 2023 году, продлевался неоднократно, в октябре 2025 был упрощён (Comnews также писали про это).
Новое продление выглядит как перенос срока для Минцифры (уже третий по счету) по представлению в Правительство Российской Федерации итогового отчета о проведении эксперимента.
Плана-график проведения эксперимента с 2024 года застыл на этапе Подведения итогов общественного обсуждения.
Отдел развития систем электронного документооборота и Отдел развития цифровых кадровых сервисов входят в состав Департамента развития облачных сервисов Минцифры России.
✍️ "Об ЭП и УЦ"
- Comnews
По факту эксперимент 413-го постановления продлевается до 31.05.2027.
Изначально эксперимент КЭДО в госсекторе планировался на полгода - в 2023 году, продлевался неоднократно, в октябре 2025 был упрощён (Comnews также писали про это).
Новое продление выглядит как перенос срока для Минцифры (уже третий по счету) по представлению в Правительство Российской Федерации итогового отчета о проведении эксперимента.
Плана-график проведения эксперимента с 2024 года застыл на этапе Подведения итогов общественного обсуждения.
Отдел развития систем электронного документооборота и Отдел развития цифровых кадровых сервисов входят в состав Департамента развития облачных сервисов Минцифры России.
Please open Telegram to view this post
VIEW IN TELEGRAM
ЦИПР 2026. Первый день
Нужно отдать должное организаторам за быстрое размещение записей секций с первого дня (обратил внимание, что все упомянутые в материале РБК сотрудники Минцифры - принимали участие в секциях ЦИПР).
⚡️ ЦОДы на пределе. Кто будет развивать инфраструктуру для ИИ и цифровой экономики?
⚡️ Квантовые технологии – новое будущее
⚡️ Технология мобильной электронной подписи «Госключ» в транспортной отрасли
Переход на электронные перевозочные документы с 01.09.2026 по степени обсуждения перекрывает переход на цифровой рубль, но если цифровой рубль к этой дате не появится, то его отсутствие никто не заметит, про неготовность перевозок (а сейчас готова лишь треть) так не скажешь.
Очень много секций про ИИ.
Сегодня пройдет секция "ЭДО для госсектора и бизнеса. Правовые аспекты, технологии и кейсы внедрения", на которую организаторы почему-то забыли пригласить представителей ФНС России.
Задать бы вопрос представителям Минцифры - был ли согласно 413-ПП в 20-дневный срок со дня издания постановления Минцифры утвержден план-график проведения эксперимента, и если не был, то по какой причине и когда планируется утвердить.
✍️ "Об ЭП и УЦ"
Нужно отдать должное организаторам за быстрое размещение записей секций с первого дня (обратил внимание, что все упомянутые в материале РБК сотрудники Минцифры - принимали участие в секциях ЦИПР).
Переход на электронные перевозочные документы с 01.09.2026 по степени обсуждения перекрывает переход на цифровой рубль, но если цифровой рубль к этой дате не появится, то его отсутствие никто не заметит, про неготовность перевозок (а сейчас готова лишь треть) так не скажешь.
Очень много секций про ИИ.
Сегодня пройдет секция "ЭДО для госсектора и бизнеса. Правовые аспекты, технологии и кейсы внедрения", на которую организаторы почему-то забыли пригласить представителей ФНС России.
Задать бы вопрос представителям Минцифры - был ли согласно 413-ПП в 20-дневный срок со дня издания постановления Минцифры утвержден план-график проведения эксперимента, и если не был, то по какой причине и когда планируется утвердить.
Please open Telegram to view this post
VIEW IN TELEGRAM
ЦИПР 2026. День второй
⚡️ ЭДО для госсектора и бизнеса. Правовые аспекты, технологии и кейсы внедрения - тема очень объемная для обсуждения заявленным составом, на вопрос про план-график конечно же никто не ответил, финальное выступление по моему мнению самое ценное.
Госключ назван "Единым инструментом подписания для бизнеса и госорганов", что может говорить и недостаточном информировании спикера секции. Не нужно так говорить, а то организаторам снова не успеют передать презентацию выступающего.
⚡️ Корень облачного доверия
⚡️ Поехавшие МИГОМ. Путешествия без паспорта
⚡️ Доверенное программное обеспечение и подпись кода в промышленности
✍️ "Об ЭП и УЦ"
Госключ назван "Единым инструментом подписания для бизнеса и госорганов", что может говорить и недостаточном информировании спикера секции. Не нужно так говорить, а то организаторам снова не успеют передать презентацию выступающего.
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥ФСБ России против избыточных требований в части лицензирования деятельности по СКЗИ
Размещенный проект изменений в 313-ПП в части пунктов 12, 13, 14 и 15 включает слова "за исключением случая, если проведение указанных работ предусмотрено эксплуатационной документацией без привлечения лицензиата Федеральной службы безопасности Российской Федерации и они проводятся для обеспечения собственных нужд юридического лица или индивидуального предпринимателя»".
Правильное изменение, которое снимет вопросы о лицензии для собственных нужд.
✍️ "Об ЭП и УЦ"
Размещенный проект изменений в 313-ПП в части пунктов 12, 13, 14 и 15 включает слова "за исключением случая, если проведение указанных работ предусмотрено эксплуатационной документацией без привлечения лицензиата Федеральной службы безопасности Российской Федерации и они проводятся для обеспечения собственных нужд юридического лица или индивидуального предпринимателя»".
Согласно Положению, утвержденному постановлением Правительства Российской Федерации от 16 апреля 2012 г. № 313, юридические лица и индивидуальные предприниматели, планирующие осуществлять 28 видов работ, связанных с шифровальными (криптографическими) средствами, обязаны получать лицензии органов безопасности.
К таким работам в 2012 году, в том числе были отнесены монтаж, установка (инсталляция), наладка шифровальных (криптографических) средств (программные и программно-аппаратные средства для обработки и передачи конфиденциальной информации, для защиты государственной тайны не используются).
В настоящее время с учетом обострения угроз информационной безопасности, изменения видов используемых шифровальных (криптографических) средств, широкого их распространения для внутрикорпоративного использования, требования о лицензировании указанной деятельности для обеспечения собственных нужд организаций и индивидуальных предпринимателей (за исключением оказания услуг сторонним организациям) являются избыточными.
Правильное изменение, которое снимет вопросы о лицензии для собственных нужд.
Please open Telegram to view this post
VIEW IN TELEGRAM
Telegram
Об ЭП и УЦ
Мифы об электронной подписи.
Миф 16. Установка средств электронной подписи для собственных нужд требует наличие лицензии ФСБ России
Может ли организация без лицензии ФСБ России установить СКЗИ для собственных нужд? Причиной данного мифа является пункт 12…
Миф 16. Установка средств электронной подписи для собственных нужд требует наличие лицензии ФСБ России
Может ли организация без лицензии ФСБ России установить СКЗИ для собственных нужд? Причиной данного мифа является пункт 12…
ЦИПР 2026. День третий
⚡️ Цифровые коллапсы. Есть ли гарантии надежности
- заместитель Министра цифрового развития, А.М. Шойтов.
✍️ "Об ЭП и УЦ"
Система, которая правильно защищена, в которой правильно построена криптографическая защита, встроенная уже изначально, кардинально более защищённая. Возможно, её и не взломают.
- заместитель Министра цифрового развития, А.М. Шойтов.
Please open Telegram to view this post
VIEW IN TELEGRAM
Антифрод 3
Запись круглого стола в Совете Федерации "Цифровизация экономики без рисков мошенничества", прошедшего в апреле 2026.
🔹Первый пакет мер был подписан в апреле 2025 года (40-ФЗ) и вступил в силу в сентябре 2025): создана ГИС Антифрод, на данный момент подключены первые 10 участников (банки, операторы связи).
🔹Второй пакет принят Госдумой в I чтении 10.02.2026, сейчас активно обсуждаются поправки, которыми заложено создание системы возмещения ущерба.
🔹Параллельно готовится третий пакет - Антифрод 3.
✍️ "Об ЭП и УЦ"
Запись круглого стола в Совете Федерации "Цифровизация экономики без рисков мошенничества", прошедшего в апреле 2026.
🔹Первый пакет мер был подписан в апреле 2025 года (40-ФЗ) и вступил в силу в сентябре 2025): создана ГИС Антифрод, на данный момент подключены первые 10 участников (банки, операторы связи).
🔹Второй пакет принят Госдумой в I чтении 10.02.2026, сейчас активно обсуждаются поправки, которыми заложено создание системы возмещения ущерба.
🔹Параллельно готовится третий пакет - Антифрод 3.
Please open Telegram to view this post
VIEW IN TELEGRAM
Мифы об электронной подписи
Мифы 21 "Про классы СКЗИ и гостайну".
Автором данного мифа стал Т-Банк, который в статье "В чем особенность СКЗИ и зачем они нужны" пишет про назначение классов СКЗИ:
Ни для какой гостайны использовать классы КС, КВ, КА нельзя. А ведь на таких статьях могут нейросети учиться...
Я не говорю, чтобы авторы этой статьи открыли выписку из реестра сертифицированных СКЗИ, но хотя бы, прежде чем писать на свою аудиторию, посмотрели примеры сертификатов соответствия - черным по белому написано, что данные классы соответствует Требованиям к средствам криптографической защиты информации, предназначенным для защиты информации, не содержащей сведений, составляющих государственную тайну и могут использоваться для криптографической защиты (создание и управление ключевой информацией) информации, не содержащей сведений, составляющих государственную тайну.
Для гостайны есть свои классы, например, КСШ-1.02, КИА-1.02 (их обсуждают только на соответствующих сессиях), поэтому информация из статьи Т-Банка - миф.
P.S. А ещё, как сообщил давний подписчик - 21 мая им был получен квалифицированный сертификат от УЦ Т-Банка, но по какой-то неизвестной причине была нарушена норма ч. 3 ст. 18 63-ФЗ и не проведено ознакомление его с информацией, содержащейся в созданном квалифицированном сертификате. Всё таки победитель в номинации PKI "УЦ года" должен держать марку несмотря на штатные мероприятия.
Мифы 21 "Про классы СКЗИ и гостайну".
Автором данного мифа стал Т-Банк, который в статье "В чем особенность СКЗИ и зачем они нужны" пишет про назначение классов СКЗИ:
🔹КС1 - для защиты общедоступной информации
🔹КС2 - ДСП
🔹КС3 - Секретная
🔹КВ - Совсекретная
🔹КА - Особой важности
Ни для какой гостайны использовать классы КС, КВ, КА нельзя. А ведь на таких статьях могут нейросети учиться...
Я не говорю, чтобы авторы этой статьи открыли выписку из реестра сертифицированных СКЗИ, но хотя бы, прежде чем писать на свою аудиторию, посмотрели примеры сертификатов соответствия - черным по белому написано, что данные классы соответствует Требованиям к средствам криптографической защиты информации, предназначенным для защиты информации, не содержащей сведений, составляющих государственную тайну и могут использоваться для криптографической защиты (создание и управление ключевой информацией) информации, не содержащей сведений, составляющих государственную тайну.
Для гостайны есть свои классы, например, КСШ-1.02, КИА-1.02 (их обсуждают только на соответствующих сессиях), поэтому информация из статьи Т-Банка - миф.
P.S. А ещё, как сообщил давний подписчик - 21 мая им был получен квалифицированный сертификат от УЦ Т-Банка, но по какой-то неизвестной причине была нарушена норма ч. 3 ст. 18 63-ФЗ и не проведено ознакомление его с информацией, содержащейся в созданном квалифицированном сертификате. Всё таки победитель в номинации PKI "УЦ года" должен держать марку несмотря на штатные мероприятия.
Международные новости: в Молдове массовые жалобы на технологию электронной подписи в ID-картах
Ситуация в Молдове - хороший кейс, как реализация госуслуг может столкнуться с реальностью пользовательского опыта.
Местные СМИ сообщают о волне недовольства среди граждан:
🔹требуется установить целый пакет сторонних приложений, плагинов и специфических драйверов.
🔹приходится самостоятельно покупать специальные карт-ридеры.
🔹обязательно заключить отдельный специальный контракт с оператором мобильной связи.
Внедрение технологии квалифицированной электронной подписи в удостоверение личности обернулось сложностями при использовании:
❓ Как считаете, является ли встраивание технологии ЭП непосредственно в ID-карту оптимальным решением, или лучше развивать облачные подписи и мобильные приложения?
P.S. Нужно было использовать Госключ.
✍️ "Об ЭП и УЦ"
Ситуация в Молдове - хороший кейс, как реализация госуслуг может столкнуться с реальностью пользовательского опыта.
Местные СМИ сообщают о волне недовольства среди граждан:
🔹требуется установить целый пакет сторонних приложений, плагинов и специфических драйверов.
🔹приходится самостоятельно покупать специальные карт-ридеры.
🔹обязательно заключить отдельный специальный контракт с оператором мобильной связи.
Внедрение технологии квалифицированной электронной подписи в удостоверение личности обернулось сложностями при использовании:
Идея создания единого цифрового документа полностью уничтожена сложной реализацией. Вместо мобильности люди получили привязку к офису, куче проводов и операторам связи
❓ Как считаете, является ли встраивание технологии ЭП непосредственно в ID-карту оптимальным решением, или лучше развивать облачные подписи и мобильные приложения?
P.S. Нужно было использовать Госключ.
Please open Telegram to view this post
VIEW IN TELEGRAM
Fox Tempest: когда код УЦ используется для доставки шифровальщиков
Пока рынок в нашей стране обсуждает очередные антифрод-поправки, которые в том числе предусматривают создание Национального удостоверяющего центра, злоумышленники используют легитимные сервисы доверенного подписания кода. Microsoft опубликован подробный разбор деятельности "Fox Tempest" - полноценного бизнеса по модели "подписание кода как услуга" (MSaaS) с тысячами выданных сертификатов.
Как это работало с точки зрения PKI и доверия
Злоумышленники не использовали самоподписанные сертификаты в надежде, что жертва нажмет "Установить в хранилище", они пошли официальным путём: используя сервис Microsoft Artifact Signing (бывший Azure Trusted Signing), пройдя подтверждение личности (вероятно, по краденым документам граждан США и Канады), они получали короткоживущие (72 часа) легитимные сертификаты для подписи кода.
Файлы со зловредами (Oyster, Lumma, Vidar, Rhysida и др.) подписывались валидной подписью доверенного центра, имя издателя маскировалось под легитимный софт (AnyDesk, Teams, Webex). Операционные системы и средства защиты не видели угрозы, так как доверяли сертификатам подписи кода.
Цепочка атак Vanilla Tempest и Fox Tempest
Работало это через домен Signspace.cloud (сейчас заблокирован). Там была классическая админка: подписчики загружали свои зловреды, а операторы Fox Tempest подписывали. Ценник на услугу был выставлен от $5000 до $9000.
В феврале 2026 года схема усовершенствовалась: клиентам начали выдавать преднастроенные виртуальные машины (VPS), где уже были скрипты PowerShell и конфиги metadata.json с привязкой к конкретной учетке подписания. Всё было автоматизировано и поставлено на поток. Техническая поддержка велась через Telegram-канал и Google-формы (на русском и английском языках).
- говорится в отчёте. Мне удалось найти на одном из форумов пост с данного аккаунта о продаже сертификатов подписи кода.
Microsoft зафиксированы тысячи сертификатов от Fox Tempest, все они отозваны. Ключевой индикатор для сферы электронной подписи - использование легитимной инфраструктуры УЦ для обхода эвристики. Зловред больше не "серый", он имеет валидную подпись и сертификат от доверенного издателя. Без контроля цепочки сертификатов и средств поведенческого анализа (XDR/EDR) полагаться только на наличие "замочка" подписи - больше не приходится.
✍️ "Об ЭП и УЦ"
Пока рынок в нашей стране обсуждает очередные антифрод-поправки, которые в том числе предусматривают создание Национального удостоверяющего центра, злоумышленники используют легитимные сервисы доверенного подписания кода. Microsoft опубликован подробный разбор деятельности "Fox Tempest" - полноценного бизнеса по модели "подписание кода как услуга" (MSaaS) с тысячами выданных сертификатов.
Как это работало с точки зрения PKI и доверия
Злоумышленники не использовали самоподписанные сертификаты в надежде, что жертва нажмет "Установить в хранилище", они пошли официальным путём: используя сервис Microsoft Artifact Signing (бывший Azure Trusted Signing), пройдя подтверждение личности (вероятно, по краденым документам граждан США и Канады), они получали короткоживущие (72 часа) легитимные сертификаты для подписи кода.
Файлы со зловредами (Oyster, Lumma, Vidar, Rhysida и др.) подписывались валидной подписью доверенного центра, имя издателя маскировалось под легитимный софт (AnyDesk, Teams, Webex). Операционные системы и средства защиты не видели угрозы, так как доверяли сертификатам подписи кода.
Цепочка атак Vanilla Tempest и Fox Tempest
Работало это через домен Signspace.cloud (сейчас заблокирован). Там была классическая админка: подписчики загружали свои зловреды, а операторы Fox Tempest подписывали. Ценник на услугу был выставлен от $5000 до $9000.
В феврале 2026 года схема усовершенствовалась: клиентам начали выдавать преднастроенные виртуальные машины (VPS), где уже были скрипты PowerShell и конфиги metadata.json с привязкой к конкретной учетке подписания. Всё было автоматизировано и поставлено на поток. Техническая поддержка велась через Telegram-канал и Google-формы (на русском и английском языках).
Компания Fox Tempest взаимодействовала с клиентами напрямую через Telegram-канал EV Certs for Sale by SamCodeSign под учетной записью пользователя arbadakarba2000
- говорится в отчёте. Мне удалось найти на одном из форумов пост с данного аккаунта о продаже сертификатов подписи кода.
Microsoft зафиксированы тысячи сертификатов от Fox Tempest, все они отозваны. Ключевой индикатор для сферы электронной подписи - использование легитимной инфраструктуры УЦ для обхода эвристики. Зловред больше не "серый", он имеет валидную подпись и сертификат от доверенного издателя. Без контроля цепочки сертификатов и средств поведенческого анализа (XDR/EDR) полагаться только на наличие "замочка" подписи - больше не приходится.
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from СПЧ
Татьяна Мерзлякова призвала усложнить схему электронной подписи из-за роста мошенничества
«Тему мошенничества с жильем мы должны вести дальше. У нас слабо работает финансовое просвещение, а сейчас появились первые и очень опасные тенденции, когда заявители не признают юридических последствий цифровой подписи.
Необходимо усложнять схему электронной подписи, поскольку она сегодня становится уязвимым местом», - призвала член СПЧ, свердловский омбудсмен Татьяна Мерзлякова, выступая в Светлогорске на международной конференции по линии «Петербургского диалога» на тему: «Участие гражданского общества в защите прав жертв киберпреступлений: риски цифровизации и успешные практики».
СПЧ в МАХ
«Тему мошенничества с жильем мы должны вести дальше. У нас слабо работает финансовое просвещение, а сейчас появились первые и очень опасные тенденции, когда заявители не признают юридических последствий цифровой подписи.
Необходимо усложнять схему электронной подписи, поскольку она сегодня становится уязвимым местом», - призвала член СПЧ, свердловский омбудсмен Татьяна Мерзлякова, выступая в Светлогорске на международной конференции по линии «Петербургского диалога» на тему: «Участие гражданского общества в защите прав жертв киберпреступлений: риски цифровизации и успешные практики».
СПЧ в МАХ
СПЧ
Татьяна Мерзлякова призвала усложнить схему электронной подписи из-за роста мошенничества «Тему мошенничества с жильем мы должны вести дальше. У нас слабо работает финансовое просвещение, а сейчас появились первые и очень опасные тенденции, когда заявители…
Уважаемые подписчики, а вы понимаете, что имела в виду свердловский омбудсмен, когда говорила про "усложнение схемы электронной подписи, поскольку она сегодня становится уязвимым местом"?
Изменить процедуру идентификации заявителя, вместо токенов всем использовать HSM, закрытый ключ на 512 бит, а не 256?
Не электронная подпись, а массовая безграмотность, в том числе таких омбудсменов, является уязвимым местом.
Изменить процедуру идентификации заявителя, вместо токенов всем использовать HSM, закрытый ключ на 512 бит, а не 256?
Не электронная подпись, а массовая безграмотность, в том числе таких омбудсменов, является уязвимым местом.
Сегодня кандидатом на PKI-Профанацию года стал Озон seller, которые не может установить новую цепочку доверия сертификатов.
Фактура простая - УЦ Тензор 21 мая выдал квалифицированный сертификат своему клиенту на новом подчинённом сертификате, который в свою очередь получен на новом корневом сертификате Минцифры.
«перевыпустите подпись» - это не решение проблемы, с новым сертификатом будет такая же история.
УЦ Тензор в данном случае тоже не особо хочет решать проблему своего клиента и связаться с Озон, чтобы пояснить что и где установить.
Фактура простая - УЦ Тензор 21 мая выдал квалифицированный сертификат своему клиенту на новом подчинённом сертификате, который в свою очередь получен на новом корневом сертификате Минцифры.
«перевыпустите подпись» - это не решение проблемы, с новым сертификатом будет такая же история.
УЦ Тензор в данном случае тоже не особо хочет решать проблему своего клиента и связаться с Озон, чтобы пояснить что и где установить.