❌ Головной удостоверяющий центр нарушает 63-ФЗ и 796 приказ ФСБ России

Согласно пункту 29.5 Приложения 2 - Требований к средствам удостоверяющего центра, утвержденным 796 приказом ФСБ России, средства для УЦ самого минимального класса КС1 (на практике КС1 не встречается, но данное требование наследуется вышестоящими классами) в отношении владельца сертификата ключа проверки ЭП должны быть реализованы механизмы проверки уникальности ключа проверки ЭП и обладания соответствующим ключом ЭП.

Что это обозначает на практике - с помощью средств УЦ должно быть невозможно создать новый квалифицированный сертификат с использованием ключа проверки ЭП, для которого ранее выдавался квалифицированный сертификат, такой открытый ключ не должен проходить обязательную проверку на уникальность.

Более того, пункты 5 и 6 статьи 2 63-ФЗ определяют ключ электронной подписи и ключ проверки (открытый ключ) как "уникальную последовательность символов". На уровне 63-ФЗ говорится, что два разных сертификата не могут иметь одну и ту же уникальную последовательность - ни открытый, от закрытый ключи. Помните историю с "ковидными сертификатами" и почему она не сработала?

Лет 10 назад с коллегой из 8 Центра обсуждали данную норму, как АУЦ вообще понять, что по направленному запросу не был выдан сертификат другим АУЦ, ведь реестра значений открытых ключей нет, к которому было бы возможно обратиться, например, в рамках проверок СМЭВ (АУЦ предварительно должны эти сведения в СМЭВ направить). Получен ответ - открытый ключ из запроса на сертификат уникальный, сертификат выдаётся, ответ - открытый ключ уже присутствует в другом сертификате - отказ. В общем пришли к мнению, что на практике эта реализация возможна только в рамках одного конкретного АУЦ.

Теперь к теме заголовка, Головной удостоверяющий центр в очередной раз продемонстрировал, что на него не распространяется действующая нормативная правовая система в области электронной подписи. 19 февраля и 16 марта на основании одного и того же файла запроса, на одном и том же корневом сертификате ГУЦ были выданы два разных сертификата для АУЦ 1С. Сертификат от 19 февраля был отозван, но это не отменяет факта что нарушений ГУЦ 63-ФЗ и 796-ФСБ.

Доклад с обзором сомнительных практик ГУЦ был отклонен Программным комитетом PKI-Форума, говорить на конференции по проблематике инфраструктуры открытых ключей и электронной подписи про проблематику не принято.

✍️"Об ЭП и УЦ"

📣Минцифры продляет свои приказы до 2032 года

Минцифры вслед за ФСБ также продляет 6 своих приказов до 1 сентября 2032.

Все шесть данных приказов были указаны в рамках "Проблемы 2027".

✍️"Об ЭП и УЦ"

В конце августа прошлого года стало известно, что с 1 сентября 2026 года СФР не будет принимать отчётность страхователей, подписанную с использованием квалифицированных сертификатов, если они не содержат следующие атрибуты:
🔹«Согласование ключей» (keyAgreement)
🔹«Шифрование данных» (Data encipherment)
🔹«Шифрование ключа» (Key encipherment)

Упор - на «Согласование ключей». Что это за атрибут, для чего он нужен и почему СФР начнет его требовать?

Атрибут keyAgreement нужен для выработки общего сессионного ключа между двумя участвующими в обмене документами сторонами. Проще говоря - без него обмен документами по новой технологии будет невозможен.

Почему технология изменилась?
Соцфонд переводит прием отчетности на Единую цифровую платформу социальной сферы, переход начался год назад.

Оголтелые бухгалтеры и операторы ЭДО, без понимания кому и что менять, уже погнали всех своих клиентов на получение новых сертификатов. Мало им весны было. Например, Тензор, даже если используется сертификат, который содержит все необходимые атрибуты, всё равно присылает уведомление при каждом отчёте и не являясь доверенным лицом УЦ ФНС России предлагают бесплатную услугу по получению новых сертификатов за 4 тыс. руб.

Новые сертификаты в УЦ ФНС России нужно получать только тем клиентам, если им конечно нужно сдавать отчётность в Соцфонд, если их сертификат был получен до 28.08.2025 (УЦ добавил атрибут после поста в нашем канале...). С остальными госУЦ и коммерческими АУЦ, как правило, проблем нет.

Почему второй раз за год появляется необходимость преждевременной смены сертификатов и можно ли это было исключить?

Если бы сроки сертификатов были 12 месяцев, то к концу августа все ранее выданные сертификаты просто бы истекли и были в плановом порядке заменены новыми. Но сроки сертификатов 15 месяцев, поэтому под замену теоретически попадают все сертификаты, полученные за три месяца лета прошлого года (а это 1,4 млн. между прочим). Если бы Соцфонд оповестил о своем требовании к сертификатам не в конце лета прошлого года, а в конце весны - проблемы бы не было.

✍️"Об ЭП и УЦ"