🔒 «Ни один из выданных НУЦом сертификатов не соответствует проектируемым требованиям»: Минцифры подготовило правила для сертификатов Национального удостоверяющего центра

🔍 Минцифры опубликовало приказ о требованиях к сертификатам безопасности НУЦ, который вступит в силу 1 марта 2027 года. Документ вводит 11 видов сертификатов, разделённых на группы RSA и ГОСТ, включая корневые, выпускающие, для сайтов, ПО и корпоративные. При этом приказ не делает НУЦ единственным центром сертификации для Рунета, а устанавливает требования только к сертификатам, которые выпускает Национальный удостоверяющий центр.

Эксперты отмечают, что ни один из уже выданных НУЦом сертификатов не соответствует новым требованиям, а проект в текущем виде, скорее всего, не будет принят. В частности, в сертификатах безопасности предусмотрены oid характерные для квалифицированных сертификатов.

Подробнее — в материале SecPost😍

—
Подать заявку в рейтинг «Новая элита кибербеза»

✍️Про сертификаты платформы Цифрового рубля

Их два - TLS-сертификат для защиты канала и неквалифицированной электронной подписи.

Если со структурой TLS-сертификатов вопросов нет, их структура:

C= RU
O = g.ru.cbrdc.prt.***
CN= ФИО
L = CBDCTLS
SNILS = СНИЛС

То к сертификатам, создаваемым подчиненными подсистеме Удостоверяющего центра платформы Цифрового рубля Банка России, вопрос возник сразу - кто придумал такую структуру заполнения полей и включил в поле Street - ФИО получателя сертификата?

Структура и состав Сертификатов ПУЦ и Пользователя ПлЦР, сроки действия ключей Пользователя ПлЦР определяются в соответствии с Правилами заполнения полей сертификатов Платформы ЦР, ЦБРФ.62.0.39725.ПЕ.Э - документ отсутствует в открытом доступе, что зря, так его изучение экспертным сообществом позволило бы быстрее выявить его ошибки.

И второй вопрос, равнозначность подписываемого Договора счета цифрового рубля между оператором платформы цифрового рубля и пользователем платформы собственноручной подписи, обеспечивается ПЭП ЕСИА или только что созданным ключом НЭП? Но ведь нельзя подписать договор НЭП, в котором есть норма о равнозначности НЭП собственноручной подписи.

✍️"Об ЭП и УЦ"

📣 Аккредитация УЦ 2026

В соответствии с решением Правительственной комиссии, уполномоченной на принятие решения об аккредитации удостоверяющих центров (протокол от 27.08.2026 № 4пр), продлена аккредитация УЦ Тандер (Магнит) и Энергоцентр.

Количество аккредитованных УЦ - не изменилось, 44 шт.

✍️"Об ЭП и УЦ"

⚡️Госуслуги - выбранный сертификат не подходит

Руководитель организации использовал свой сертификат для аутентификации через ЕСИА, быстро и удобно, без подтверждения СМС. Но в один момент - ошибка, сертификат не подходит: войдите другим способом или выберите другой сертификат. Сертификат не истёк, ключ тоже (про встречающийся рассинхон времени действия ключей ЭП и сертификата рассказывать не нужно). Информативность текста ЕСИА в части понимания причины оставляет желать лучшего, почему нельзя писать, что сертификат был отозван с указанием даты отзыва?

Да, сертификат был отозван, а руководитель организации не знал про это. Как же так произошло?

Руководитель был назначен "через увольнение", т.е. его уволили, а потом снова назначили на должность. Функционал УЦ ФНС России автоматического прекращения действия квалифицированных сертификатов - в действии.

Сертификаты автоматически прекращают действие на основе актуальных данных из государственных реестров (ЕГРЮЛ, ЕГРИП, ЕГРН), если прекращены полномочия руководителя. Факт прекращения полномочий был, сертификат - отозван. Новое назначение и новое получение сертификата.

✍️"Об ЭП и УЦ"

📊Лучшие Telegram-каналы по кибербезопасности - рейтинг по читаемости

Рейтинг Telegram-каналов по кибербезопасности по относительной читаемости: охват, ERR, перцентиль, активность и регистрация РКН/A+, подготовленный Денисом Батранковым - https://batrankov.ru/blog/telegram-kanaly-kiberbezopasnost/

✍️Телеграм-канал "Об ЭП и УЦ" на 24 месте в хорошей компании💪

🏛 Судебная практика: фокус с передачей ключа электронной подписи

Фокус не прошел и суд взыскал с иллюзиониста более 8 миллионов рублей.

Номинальная руководство ещё одна проблема компрометации ключей ЭП, до бухгалтеров им далеко - эти давно скомпрометировали всё и вся.

В 2025 году банк и компания заключили договор о предоставлении банковской гарантии, обеспечением по которому выступило личное поручительство директора организации. Документы оформлялись в электронном виде с использованием квалифицированной подписи.

Фирма не выполнила взятые на себя обязательства и не возместила выплаченные по гарантии денежные средства, банк обратился в суд с требованием взыскать с должника и поручителя 5,2 миллиона рублей основного долга и более 3 миллионов рублей неустойки.

В судебном заседании директор организации заявленный иск не признал и пояснил, что является артистом-иллюзионистом и опыта управления бизнесом не имеет. По его словам, в 2024 году знакомый предложил ему стать формальным директором вновь создаваемого юридического лица за ежемесячное вознаграждение около 23 000 рублей. Мужчина согласился, оформил компанию на себя и добровольно передал знакомому носитель с ключом электронной подписи.

Передача ключа ЭП третьим лицам не снимает с гражданина правовой и имущественной ответственности за подписанные ею документы и их финансовые последствия.

- решил суд.

Статьей 173.2 УК РФ предусмотрена уголовная ответственность номинального директора.

✍️"Об ЭП и УЦ"

​​📌 Изменения в ПП-313 ➤

Официально опубликовано постановление Правительства Российской Федерации от 28.08.2026 № 1103 «О внесении изменений в некоторые акты Правительства Российской Федерации», которым предусматривается внесение изменений в Положение о лицензировании деятельности по разработке, производству, распространению шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, выполнению работ, оказанию услуг в области шифрования информации, техническому обслуживанию шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств (за исключением случая, если техническое обслуживание шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя) и признании утратившими силу отдельных положений актов Правительства Российской Федерации, утвержденное постановлением Правительства Российской Федерации от 16.04.2012 № 313.

Изменениями устраняется неопределенность относительно необходимости наличия лицензии для собственных нужд.

✍️Минстройцифры

Минстрой после истории с написанием в феврале письма по подписанию проектной документации КЭП и его отзывом в августе, боится комментировать что-то связанное с электронной подписью.

В ответе на обращение  о подписании изменений в проектную документацию для проведения экспертизы электронной подписью Минстрой адресует данный вопрос в адрес Минцифры:

Вместе с тем стоит отметить, что требование о представлении электронных документов, подписанных электронной подписью, содержится в нормах Федерального закона от 6 апреля 2011 г. № 63-ФЗ "Об электронной подписи" (далее - Федеральный закон № 63-ФЗ).

В соответствии с Положением о Министерстве цифрового развития, связи и массовых коммуникаций Российской Федерации, утвержденного постановлением Правительства Российской Федерации от 2 июня 2008 г. № 418, Минцифры России является федеральным органом исполнительной власти, уполномоченным в сфере использования электронной подписи. В целях получения соответствующих разъяснений по вопросам использования электронной подписи рекомендуем обратиться в Минцифры России в установленном порядке.

Устанавливать необходимость подписания проектной документации электронной подписью Минстрой в своем приказе может, а разъяснять, что же там написано, не может.

✍️"Об ЭП и УЦ"