Об ЭП и УЦ
14.09.2026 прекращена аккредитация удостоверяющего центра ООО «Удостоверяющий центр Тензор» ("маленький" Тензор, ИНН 7604094283).
Все квалифицированные сертификаты УЦ, аккредитация которых прекращена, также прекращают свое действие согласно части 5 статьи 17 63-ФЗ:
Таких сертификатов немного - 8 сотен.
Количество аккредитованных УЦ в стране сократилось до 43 шт.
✍️ "Об ЭП и УЦ"
Все квалифицированные сертификаты УЦ, аккредитация которых прекращена, также прекращают свое действие согласно части 5 статьи 17 63-ФЗ:
В случае аннулирования или досрочного прекращения действия квалифицированного сертификата, выданного аккредитованному удостоверяющему центру, выдавшему квалифицированный сертификат заявителю, либо в случае досрочного прекращения или истечения срока аккредитации удостоверяющего центра квалифицированный сертификат, выданный аккредитованным удостоверяющим центром заявителю, прекращает свое действие.
Таких сертификатов немного - 8 сотен.
Количество аккредитованных УЦ в стране сократилось до 43 шт.
Please open Telegram to view this post
VIEW IN TELEGRAM
📣 Аккредитация УЦ 2026, пятый протокол
В соответствии с решением Правительственной комиссии, уполномоченной на принятие решения об аккредитации удостоверяющих центров (протокол от 16.09.2026 № 5пр), продлена аккредитация удостоверяющего центра ООО "Компания "Тензор" ("большой" Тензор из топ-10). Продление аккредитации и стало основанием для вчерашней актуализации реестров на сайте Минцифры. Аккредитация действовала до 22 сентября, поэтому получение новой очень своевременно.
До конца года аккредитация истекает у 4 УЦ: Модум, Роскадастр, Аналитический центр и Электронная Москва.
✍️ "Об ЭП и УЦ"
В соответствии с решением Правительственной комиссии, уполномоченной на принятие решения об аккредитации удостоверяющих центров (протокол от 16.09.2026 № 5пр), продлена аккредитация удостоверяющего центра ООО "Компания "Тензор" ("большой" Тензор из топ-10). Продление аккредитации и стало основанием для вчерашней актуализации реестров на сайте Минцифры. Аккредитация действовала до 22 сентября, поэтому получение новой очень своевременно.
До конца года аккредитация истекает у 4 УЦ: Модум, Роскадастр, Аналитический центр и Электронная Москва.
Please open Telegram to view this post
VIEW IN TELEGRAM
В рамках обсуждения нового бюллетеняSC-107: Improve Certificate Problem Reports and Clarify the Meaning of Revocation предлагается внести изменения в "Базовые требования к выдаче и управлению общедоступными доверенными сертификатами TLS-серверов", в том числе уточнить значение термина отзыв или аннулирование сертификата. Это у нас в 63-ФЗ сейчас есть разделение на прекращение действия и аннулирование, для сертификатов безопасности будет только прекращение действия.
Уже высказано опасение, что предложенное определение может сработать не во всех случаях, например, с 15 февраля 2027 года для того, чтобы сертификат считался отозванным, должны быть выполнены следующие условия:
🔹Если сертификат содержит адрес точки распространения списка отзыва сертификатов (CRL): любой запрос для получения CRL возвращает список отзыва сертификатов, содержащий серийный номер сертификата.
🔹Если сертификат содержит адрес доступа к службе OCSP: любой запрос к OCSP для проверки статусе сертификата приводит к ответу со значением revoked.
В реальности может возникнуть ситуация, когда сертификат содержит адреса CRL, OCSP, но они с ошибками (примерно, как oid в 472 приказе), ошибочный сертификат необходимо отозвать и определение выше - не работает, обращаясь к сервисы с ошибкой в адресе - статус сертификата никогда не проверишь, получается коллизия.
Посмотрим, какое определение по итогу будет включено в Базовые требования.
Please open Telegram to view this post
VIEW IN TELEGRAM
Сертификат ключа проверки ЭП должен быть выдан членам избирательной комиссии с правом решающего голоса именно как должностным лицам избирательной комиссии. Это означает, что использование личной УКЭП физического лица (не увязанной с его полномочиями в комиссии) для этих целей недопустимо. Также отдельно выделяется УКЭП председателя (заместителя председателя) и секретаря избирательной комиссии. В то же время в законе об электронной подписи предусмотрены только две разновидности УКЭП: УКЭП физического лица и УКЭП юридического лица.Не секрет, что избиркомы получали свои квалифицированные сертификаты по форме - должностного лица в органах Федерального казначейства (при этом сертифицированная версия СКЗИ для генерации ключей применение нашла не сразу).
Бардак с электронной подписью и голосованием был всегда - это и самоподписанные сертификаты ПАК УЦ с ИНН 2222222222 и ОГРН 8888888888888, и судебные решения к которым вопросов ещё больше - какой же вид ЭП используется и какими средствами создаётся, а избирательные комиссии, сведения о которые не включены в ЕГРЮЛ, получили право получать сертификаты в органах Федерального казначейства только год назад, но и спустя год они отсутствуют в Перечне.
Please open Telegram to view this post
VIEW IN TELEGRAM
Об ЭП и УЦ
📊График отзыва сертификатов УЦ ФНС по дням не протяжении года. Резкий рост в августе с пиковыми значениями в конце месяца до 38 тыс. и возвращение к стандартным 15 тыс. в первые дня недели сентября.
Причина - не электронные транспортные документы, а требование СФР, когда ЮЛ/ИП ринулись менять сертификаты (кому-то действительно нужно было, а кому нет, но шли т.к. "бухгалтер сказала"), что и приводило к отзыву ранее действующих. Непродуманный ввод этого требования стал причиной этой волны перевыпуска сертификатов.
✍️ "Об ЭП и УЦ"
Причина - не электронные транспортные документы, а требование СФР, когда ЮЛ/ИП ринулись менять сертификаты (кому-то действительно нужно было, а кому нет, но шли т.к. "бухгалтер сказала"), что и приводило к отзыву ранее действующих. Непродуманный ввод этого требования стал причиной этой волны перевыпуска сертификатов.
Please open Telegram to view this post
VIEW IN TELEGRAM
Server Certificate Working Group - рабочая группа в рамках CA/Browser Forum, которая занимается разработкой и поддержкой Baseline Requirements (BR) - базовых требований по выдаче и управлению TLS-сертификатами. В неё входят удостоверяющие центры и производители браузеров и операционных систем (поэтому и такое название - CA/B Forum, не хватает OS - CA/B/OS).
Huawei была подана заявка на вступление в рабочую группу в качестве потребителя TLS-сертификатов - разработчика браузера, что даёт право голоса по вопросам, касающихся сертификатов.
В рамках заседания 10 сентября рабочей группой дана оценка соответствия заявки семи критериям устава.
Первые пять были выполнены:
✅ Предоставляет ПО для просмотра веб-страниц
✅ Выпускает регулярные обновления
✅ Документация требует от УЦ соблюдать BR
✅ Проверяет цепочки доверия
✅ Публикует документацию о хранилище доверия
По двум были вопросы:
❌ Отсутствует общедоступная документация о шагах для признания УЦ доверенным
❌ Отсутствует общедоступная документация с контактами для сообщений о нарушениях
Отдельно было отмечено, что корневые сертификаты ISRG (Let's Encrypt) уже включены в хранилище доверия Huawei без какого-либо уведомления ISRG об этом.
Таким образом, причиной отклонения заявки стало отсутствие документации, а не технические проблемы. Рабочая группа запросит у Huawei разъяснения по критериям 6 и 7, проверит работоспособность браузера и обсудит вопрос на очной встрече в октябре.
Пока CA/B Forum разбирается со своим же процедурами, в экосистеме Huawei всё намного жёстче:
🔹HarmonyOS Next 5.0+ блокирует ручную установку корневых сертификатов;
🔹Free DV сертификаты Huawei Cloud отклоняются при "чувствительных" словах в названии домене;
🔹Ошибки при импорте сертификатов УЦ ломают проверку.
Please open Telegram to view this post
VIEW IN TELEGRAM
Об ЭП и УЦ
Photo
Продолжение истории с требованиями СФР к квалифицированным сертификатам, фондом направлено письмо в адрес аккредитованных УЦ с просьбой о направлении информации о включении согласования ключей в выдаваемые сертификаты. Кто из АУЦ его получил? Данное письмо опоздало на полтора года.
А письмо в прошлом году кто получал?
На самом деле в 795 приказе требования об обязательном заполнении согласования ключей нет, пункт 25 говорит о том, как заполнять дополнение keyUsage, определяющее область использования ключа проверки ЭП. Продолжение следует.
Please open Telegram to view this post
VIEW IN TELEGRAM
Операторы мобильной связи получили право создавать и выдавать ключи простой электронной подписи для получения Госуслуг, проще говоря - подтверждать учётные записи ЕСИА. Изменения внесены постановлением Правительства от 23.09.2026 № 1223, которое вступает в силу 1 октября 2026 года.
Этим же документом ПЭП ЕСИА добавлена к двум другим видам подписи (КЭП, НЭП Госключа
Более интересный второй пункт, который говорит, что при подписании ПЭП ЕСИА документов в информационных системах, не входящих в состав инфраструктуры электронного правительства, такой электронный документ направляется в Единую цифровую платформу подписания и хранения документов.
Please open Telegram to view this post
VIEW IN TELEGRAM
Ростелеком - новый номинант премии "Профанация года". Нельзя писать так безграмотно (1, 2):
1. В стране 43 АУЦ.
2. Норма закона в отношении госУЦ вступила в силу 01.01.2022.
1. В стране 43 АУЦ.
2. Норма закона в отношении госУЦ вступила в силу 01.01.2022.
🏛 Судебная практика - "ключ под контролем хакера" или "а был ли взлом?"
Можете представить, что хакеры, получив удаленный доступ до компьютера и обнаружив подключенный носитель с ключом ЭП, подадут за организацию декларацию уточнённую декларацию по НДС, которая будет убирать ранее указанный налоговый вычет?
Я не могу, а наши суды могут - дело А40-290966/23, традиционные три инстанции.
ООО оспаривало действия налоговой инспекции в отказе привести сальдо Единого налогового счета (ЕНС) в соответствие с уточненной налоговой декларацией по НДС за 3-й квартал 2018 года (корректировка №2) от 17.11.2022.
Общество утверждало, что уточненная декларация (корректировка №1) от 26.04.2022, которая ухудшила его положение (убрала налоговый вычет), была подана неустановленными лицами в результате кибератаки и "взлома электронной цифровой подписи".
Суд кассационной инстанции подтвердил, что действия (бездействие) налоговой инспекции по неприведению сальдо ЕНС в соответствие с уточненной декларацией от 17.11.2022 являются незаконными, и обязал налоговый орган устранить нарушение.
Доводы налоговой инспекции о том, что ООО под предлогом хакерской атаки пытается восстановить вычеты по НДС после истечения сроков на привлечение к ответственности, были отклонены.
Ключевым доказательством, которое убедило апелляцию и кассацию, стал нотариальный протокол осмотра доказательств. Он подтвердил факт кибератаки, удаленного копирования ключа ЭП и как следствие - отсутствие контроля со стороны директора над ключом в спорный период.
Протокол от нотариуса, составленный спустя 2 года после предполагаемой атаки, которому поверил суд. Нотариус - которые до сих пор продолжают выдавать доверенности на "получение ЭЦП", выступил в роли специалиста по расследованию киберпреступлений, такой пентест-постфактум.
Норму 63-ФЗ про обеспечение конфиденциальности ключа электронной подписи ни одна судебная инстанция даже не рассматривала. Вот такая "удаленная бухгалтерия", ...
✍️ "Об ЭП и УЦ"
Можете представить, что хакеры, получив удаленный доступ до компьютера и обнаружив подключенный носитель с ключом ЭП, подадут за организацию декларацию уточнённую декларацию по НДС, которая будет убирать ранее указанный налоговый вычет?
Я не могу, а наши суды могут - дело А40-290966/23, традиционные три инстанции.
ООО оспаривало действия налоговой инспекции в отказе привести сальдо Единого налогового счета (ЕНС) в соответствие с уточненной налоговой декларацией по НДС за 3-й квартал 2018 года (корректировка №2) от 17.11.2022.
Общество утверждало, что уточненная декларация (корректировка №1) от 26.04.2022, которая ухудшила его положение (убрала налоговый вычет), была подана неустановленными лицами в результате кибератаки и "взлома электронной цифровой подписи".
Суд кассационной инстанции подтвердил, что действия (бездействие) налоговой инспекции по неприведению сальдо ЕНС в соответствие с уточненной декларацией от 17.11.2022 являются незаконными, и обязал налоговый орган устранить нарушение.
Доводы налоговой инспекции о том, что ООО под предлогом хакерской атаки пытается восстановить вычеты по НДС после истечения сроков на привлечение к ответственности, были отклонены.
Ключевым доказательством, которое убедило апелляцию и кассацию, стал нотариальный протокол осмотра доказательств. Он подтвердил факт кибератаки, удаленного копирования ключа ЭП и как следствие - отсутствие контроля со стороны директора над ключом в спорный период.
Протокол от нотариуса, составленный спустя 2 года после предполагаемой атаки, которому поверил суд. Нотариус - которые до сих пор продолжают выдавать доверенности на "получение ЭЦП", выступил в роли специалиста по расследованию киберпреступлений, такой пентест-постфактум.
Норму 63-ФЗ про обеспечение конфиденциальности ключа электронной подписи ни одна судебная инстанция даже не рассматривала. Вот такая "удаленная бухгалтерия", ...
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
Об ЭП и УЦ
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
В преддверии 15 тыс. действующих сертификатов НУЦ (при общем объеме выдачи в 33,5 тыс., 10 тыс. действующих были в середине июля) подготовлена самая полная статистика выдачи сертификатов НУЦ за 5 лет.
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM