🔐 PKI-Карнавал на Каменном острове

Я в маске рыжей обезьяны
На форум к вам попасть мечтал
Но мой доклад про Головной УЦ
Комом вам в горле встал

Санкт-Петербург заслуженно сравнивают с Венецией — схожесть двум городам придают загадочная атмосфера, многочисленные каналы, переплетения истории и выдающаяся архитектура. PKI-Форум 2026 сделает эту связь предельно наглядной, устроив для участников мероприятия пышный PKI-Карнавал.

Вычурные костюмы, барочные украшения и зрелищные представления помогут погрузиться в карнавальную атмосферу и получить свежие впечатления после интенсивной работы в первый день конференции 15 сентября.

Местом событий станет Государственная резиденция К-2 на набережной реки Малой Невки.

✍️Телеграм-канал "Об ЭП и УЦ" уже четвертый раз выступает информационным партнёром форума

✍️Поднятая волна со сдачей отчётностью в СФР не могла не сказаться на динамике перевыпуска сертификатов УЦ ФНС России, которую можно изучить по отзывам сертификатов. В августе 2026 истекают сертификаты, выданные в мае 2025 - и в мае прошлого года сертификатов было выдано меньше, чем в апреле.

Если же посмотреть на динамику отзыва, то в рабочие дни июля отзыв стабильно держался на уровне 15-18 тыс., а в августе взлетел до 25 тыс, а с января отзыв вырос в 2,6 раза. Вот и последствия от перехода СФР - разница в 10 тыс., которая видна на графике. За 18 дней было отозвано 313 тыс. сертификатов (многие из них конечно истекали сами по себе), по итогу августа цифра приблизится к 500 тыс.

✍️"Об ЭП и УЦ"

✍️Госуслуги продолжат использование ГОСТ 28147‑89

В продолжение темы использования ГОСТ 28147-89 получен ответ Минцифры о сроках окончания использования данного ГОСТ в рамках портала Госуслуг:

Модернизация криптографической инфраструктуры Портала госуслуг проводится в плановом порядке с учетом требований законодательства в области информационной безопасности, технических возможностей интеграционных решений и необходимости сохранения непрерывности предоставления государственных услуг.

Конкретные сроки полного вывода из эксплуатации ГОСТ 28147‑89 в настоящее время не определены: они будут установлены по итогам завершения комплекса работ по тестированию, адаптации компонентов системы и обеспечению совместимости со всеми клиентскими платформами

✍️"Об ЭП и УЦ"

❓Почему сайт Минцифры до сих пор не перешёл на сертификат безопасности от Минцифры?

Ответ следующий:

С учетом изменений, принятых Федеральным законом от 26 июня 2026 года № 210-ФЗ «О внесении изменений в Федеральный закон О связи и отдельные законодательные акты Российской Федерации», Правительство Российской Федерации вправе установить случаи, при которых использование сертификатов Национального удостоверяющего центра будет являться обязательным. В текущий момент в действующем законодательстве не установлены требования по обязательному использованию сертификатов безопасности какого-либо удостоверяющего центра. Выбор сертификата остается на усмотрения владельца ресурса.

Использование сертификата международного удостоверяющего центра связанно с необходимостью сохранения беспрепятственного доступа к ресурсу возможно широкого круга пользователей.

Не только Минцифры, но и владелец любого другого ресурса до последнего будет стараться оставаться на сертификатах международных УЦ. Только отсутствие всех альтернатив вынуждает переходить на сертификаты НУЦ (на RSA конечно, ГОСТ - слишком экзотичен), у которого количество действующих сертификатов превысило 13,5 тыс,  общее количество выданных приближается к 31 тыс.

✍️"Об ЭП и УЦ"

📣Изменение сроков проведения работ по смене мастер-ключей в СМЭВ на базе СКЗИ ViPNet

Новый период работ - с 17 августа по 29 сентября 2026 года. В связи с этим Участникам необходимо проверить все условия, требуемые для обновления МК.

Сроки смены ключей разделены на несколько этапов и проводятся в период с 17 августа по 2 сентября и с 22 по 29 сентября 2026 года.

Cмена мастер-ключей (МК) в защищенных сетях ViPNet СМЭВ:
🔹в период с 17 по 20 августа - для сети 1388 (ФОИВ);
🔹в период с 1 по 2 сентября - в сетях № 1578, 2450-2455 (РОИВ);
🔹в период с 22 по 29 сентября - для сети 6024 (КО).

В период проведения технических работ при применении мастер-ключа доступ к СМЭВ для участника может быть временно недоступен - продолжительность прерывания до 10 минут. На каждой сети до момента применения мастер-ключа вводится Мораторий на все запросы в службу поддержки ЗСПД СМЭВ (заявки на подключение / на решение критических инцидентов, аварий и прочего, что влечет изменение конфигурации оборудования на сети не выполняются):
🔹Смена МК в сети № 1388 - 17.08.2026-20.08.2026 (4 дня Мораторий);
🔹Смена МК в сетях №1578, 2450-2455 - 28.08.2026 - 02.09.2026 (5 дней Мораторий).
🔹Смена МК в сети № 6024 - 22.09.2026 - 29.09.2026 (8 дней Мораторий)

В случае возникновения проблем, связанных со сменой мастер-ключей, необходимо создать запрос в личном кабинете Ситуационного центра в службу поддержки ЗСПД СМЭВ с темой "Смена мастер-ключей.Тип(ФОИВ,РОИВ,КО)":
Соглашение/Услуга: Инциденты ИС ИЭП;
Тип запроса: Запрос/инцидент;
Система ИЭП: ЗСПД СМЭВ;

В рамках запроса рекомендуется направлять дополнительную информацию: серийные номера криптооборудования и контакты ответственного инженера от организации. В случае выхода из строя криптоканала, необходимо будет организовать удаленный доступ к криптооборудованию при помощи консольного кабеля RS-232.

Тяжело Росархиву разбираться в вопросах нашей сферы - в приказе от 09.07.2026 № 91 (завтра вступает в силу) о внесении изменений в Правила делопроизводства в госорганах говорится про наделение сотрудников полномочиями по подписанию электронной подписью госоргана, т.е. автоподпись.

Но ещё четыре года назад в 63-ФЗ 339-ФЗ были внесены изменения, что распорядительным актом госоргана определяется ни один сотрудник, а сразу два, первый - ответственный за автоматическое создание/проверку электронной подписи в информационной системе, а второй - за содержание информации, подписываемой такой автоподписью.

Консервативным сотрудникам Росархива можно рекомендовать не игнорировать посещение профильных конференций. Например, в программу PKI-Форума включен доклад "О предложениях профессионального сообщества по совершенствованию нормативного регулирования в сфере управления документами по итогам Всероссийского профессионального форума АРХИВЫ–2026", доклад Росархива "Криптографическая консервация: обеспечение легитимности электронных документов в архивном хранении" в стадии согласования.

✍️"Об ЭП и УЦ"

🔘 Интервью Дмитрия Гусева, заместителя генерального директора, для журнала NBJ в рамках конференции «Криптография и Цифровой рубль»

Дмитрий рассказал, почему в последнее время в финтехе уделяется повышенное внимание использованию СКЗИ, будут ли востребованы в других финтех-проектах решения по защите информации, внедряемые в проекте по цифровому рублю, началось ли массовое внедрение отечественной криптографии для защиты информации во всех банковских процессах, а также о роли компании в этих процессах.

🔗 Смотреть RuTube / ВК

⚪️Мы в МАХ

📣ИнфоТеКС - 35 лет!

Поздравляю компанию "ИнфоТеКС" с 35-летним юбилеем, ваш путь - это история становления целой отрасли!

Ваши решения линейки ViPNet являются технологической основой для ключевых инфраструктур, без которых цифровой мир России сегодня немыслим.

Передача защищенных запросов СМЭВ между ведомствами базируется на ваших комплексах, мобильная технология квалифицированной и неквалифицированной подписи использует ваши средства удостоверяющего центра. Ваша
экспертиза проявилась в полной мере при создании ифраструктуры цифрового рубля, ПАК использованные при создании PKI-решений,  автоматизирующие выдачу TLS-сертификатов и неквалифицированной подписи для пользователей платформы цифрового рубля полностью соответствуя требованиям Банка России.

Что мне лично особо дорого - ваш ViPNet HSM в основе УЦ Федерального казначейства, обеспечивает хранение закрытого ключа УЦ.

Спасибо, что 35 лет вы создаете фундамент доверия - от рядового пользователя до государственных и финансовых систем национального масштаба!

С праздником, "ИнфоТеКС! Желаю , чтобы ваша работа оставалась надежным щитом для новых рубежей цифровой экономики🏆

Телеграм-канал ✍️"Об ЭП и УЦ"

🪙Цифровой рубль - новый этап внедрения массовой отечественной криптографии

Через неделю мобильные приложения самых крупных банков должны получить апгрейд, по итогу которого каждый телефон получит своё СКЗИ (год назад таким образом в приложение Госуслуг был интегрирован TrustCryptoBase Госключ).

Как вы узнаете про это? Будут знаки. ЦБ сообщает, что на главной странице приложений появится специальная кнопка с логотипом цифрового рубля.

Но я про другое - сбор энтропии. Это такой механизм выработки последовательности случайных чисел для генерации пары криптографических ключей с использованием биометрического датчика случайных чисел, проще говоря - нужно будет поводить пальцем по экрану (один раз минимум). БиоДСЧ обязательно должен вызываться перед началом работы с криптографией на мобильном устройстве, это требует класс КС1 .

🔐 PKI - основа инфраструктуры Цифрового рубля:
🔹Два Головных УЦ в Банке России для НЭП и TLS.
🔹в самих банках два УЦ, уже подчиненных - аналогично для НЭП и TLS (в 2027 году - переход на НУЦ), а также TLS-шлюзы и СКЗИ класса КС3,
🔹в мобильных приложениях граждан - средства ЭП КС1, на рабочих местах корпоративных CSP, криптоплагины и браузеры с ГОСТ-TLS.

Согласно программе PKI-Форума заместитель Председателя Банка России приглашена к участию в стратегической сессии "Куда и как развивается отрасль" по вопросу "PKI в цифровом рубле".

✍️Телеграм-канал "Об ЭП и УЦ" четвертый раз выступает информационным партнёром форума.

✍️CA/Browser Forum: корректировка причин отзыва сертификатов

Mozilla предлагает пересмотреть существующие причины отзывов сертификатов. Причина понятна, УЦ по-разному трактуют, браузеры по-разному интерпретирует одни и те же коды причин отзывов.

Статистика показывает большой разброс: одни УЦ массово используют код "unspecified", другие "superseded", третьи "cessationOfOperation", что и говорит о разной трактовке одного и того же стандарта.

Ключевое предложение - код должен показывать причину отзыва, а не административное действие. Если ключ был скомпрометирован - код должен быть keyCompromise, даже если сертификат в итоге был заменен.

Представитель TWCA сообщил, что Chrome, публично заявил - отзывы сертификатов добавляются в CRLSet на основе указанного кода причины (keyCompromise или privilegeWithdrawn). Однако, согласно официальной документации, в CRLSet сейчас попадают только keyCompromise, но не privilegeWithdrawn.

В любом случае это означает, что неправильный выбор УЦ кода отщыва влияет на пользователей, т.к. браузер может продолжать принимать скомпрометированный сертификат, если УЦ поставил не тот код. Firefox через механизм CRLite также пытается разделять причины отзывов, но когда семантика кодов размыта - эффективность таких механизмов падает.

Предлагается поэтапный план:
Этап 1 - пересмотр раздела 4.9.1.1 (обстоятельства, требующие отзыва):
🔹установить иерархию, чтобы конкретная причина имеет приоритет над общей
🔹убрать дублирования и пересекающиеся формулировки 🔹чётко разграничить: ключевая безопасность, валидация, авторизация, техническое соответствие
🔹ввести дерево решений для аудиторов и операторов УЦ
🔹пересмотреть, вписываются ли 24-часовые и 5-дневные сроки в новую семантику
🔹определить, как быть с требованиями CP/CPS, которые строже BR - считать ли их нарушением BR или выделять отдельно.

Этап 2 - пересмотр раздела 7.2.2
/RFC 5280 (сопоставление с кодами CRL):
🔹сделать использование кодов единообразным для всех УЦ
🔹пересмотреть устаревшие коды (holdInstruction, removeFromCRL)
🔹чётко определить, когда использовать superseded (только для плановой замены, а не для компрометации)
🔹обсудить возможность изменения RFC 5280 (это более масштабная задача ведь текущие определения не работают)

Как обычно, вопросов много:
1. Как быть с выбором кода неопытным оператором, если он выбирает "на глаз"?
2. Должен ли УЦ проверять обстоятельства или достаточно заявления пользователя?
3. Как УЦ должен проверять причины, заявленные пользователем? Как независимо подтвердить прекращение деятельности?
4. Должен ли УЦ изменить код, если его анализ показывает другую причину?
5. Не пора ли менять RFC 5280, если существующие коды не соответствуют современным реалиям?

✍️"Об ЭП и УЦ"