Об ЭП и УЦ
📊График отзыва сертификатов УЦ ФНС по дням не протяжении года. Резкий рост в августе с пиковыми значениями в конце месяца до 38 тыс. и возвращение к стандартным 15 тыс. в первые дня недели сентября.
Причина - не электронные транспортные документы, а требование СФР, когда ЮЛ/ИП ринулись менять сертификаты (кому-то действительно нужно было, а кому нет, но шли т.к. "бухгалтер сказала"), что и приводило к отзыву ранее действующих. Непродуманный ввод этого требования стал причиной этой волны перевыпуска сертификатов.
✍️ "Об ЭП и УЦ"
Причина - не электронные транспортные документы, а требование СФР, когда ЮЛ/ИП ринулись менять сертификаты (кому-то действительно нужно было, а кому нет, но шли т.к. "бухгалтер сказала"), что и приводило к отзыву ранее действующих. Непродуманный ввод этого требования стал причиной этой волны перевыпуска сертификатов.
Please open Telegram to view this post
VIEW IN TELEGRAM
Server Certificate Working Group - рабочая группа в рамках CA/Browser Forum, которая занимается разработкой и поддержкой Baseline Requirements (BR) - базовых требований по выдаче и управлению TLS-сертификатами. В неё входят удостоверяющие центры и производители браузеров и операционных систем (поэтому и такое название - CA/B Forum, не хватает OS - CA/B/OS).
Huawei была подана заявка на вступление в рабочую группу в качестве потребителя TLS-сертификатов - разработчика браузера, что даёт право голоса по вопросам, касающихся сертификатов.
В рамках заседания 10 сентября рабочей группой дана оценка соответствия заявки семи критериям устава.
Первые пять были выполнены:
✅ Предоставляет ПО для просмотра веб-страниц
✅ Выпускает регулярные обновления
✅ Документация требует от УЦ соблюдать BR
✅ Проверяет цепочки доверия
✅ Публикует документацию о хранилище доверия
По двум были вопросы:
❌ Отсутствует общедоступная документация о шагах для признания УЦ доверенным
❌ Отсутствует общедоступная документация с контактами для сообщений о нарушениях
Отдельно было отмечено, что корневые сертификаты ISRG (Let's Encrypt) уже включены в хранилище доверия Huawei без какого-либо уведомления ISRG об этом.
Таким образом, причиной отклонения заявки стало отсутствие документации, а не технические проблемы. Рабочая группа запросит у Huawei разъяснения по критериям 6 и 7, проверит работоспособность браузера и обсудит вопрос на очной встрече в октябре.
Пока CA/B Forum разбирается со своим же процедурами, в экосистеме Huawei всё намного жёстче:
🔹HarmonyOS Next 5.0+ блокирует ручную установку корневых сертификатов;
🔹Free DV сертификаты Huawei Cloud отклоняются при "чувствительных" словах в названии домене;
🔹Ошибки при импорте сертификатов УЦ ломают проверку.
Please open Telegram to view this post
VIEW IN TELEGRAM
Об ЭП и УЦ
Photo
Продолжение истории с требованиями СФР к квалифицированным сертификатам, фондом направлено письмо в адрес аккредитованных УЦ с просьбой о направлении информации о включении согласования ключей в выдаваемые сертификаты. Кто из АУЦ его получил? Данное письмо опоздало на полтора года.
А письмо в прошлом году кто получал?
На самом деле в 795 приказе требования об обязательном заполнении согласования ключей нет, пункт 25 говорит о том, как заполнять дополнение keyUsage, определяющее область использования ключа проверки ЭП. Продолжение следует.
Please open Telegram to view this post
VIEW IN TELEGRAM
Операторы мобильной связи получили право создавать и выдавать ключи простой электронной подписи для получения Госуслуг, проще говоря - подтверждать учётные записи ЕСИА. Изменения внесены постановлением Правительства от 23.09.2026 № 1223, которое вступает в силу 1 октября 2026 года.
Этим же документом ПЭП ЕСИА добавлена к двум другим видам подписи (КЭП, НЭП Госключа
Более интересный второй пункт, который говорит, что при подписании ПЭП ЕСИА документов в информационных системах, не входящих в состав инфраструктуры электронного правительства, такой электронный документ направляется в Единую цифровую платформу подписания и хранения документов.
Please open Telegram to view this post
VIEW IN TELEGRAM
Ростелеком - новый номинант премии "Профанация года". Нельзя писать так безграмотно (1, 2):
1. В стране 43 АУЦ.
2. Норма закона в отношении госУЦ вступила в силу 01.01.2022.
1. В стране 43 АУЦ.
2. Норма закона в отношении госУЦ вступила в силу 01.01.2022.
🏛 Судебная практика - "ключ под контролем хакера" или "а был ли взлом?"
Можете представить, что хакеры, получив удаленный доступ до компьютера и обнаружив подключенный носитель с ключом ЭП, подадут за организацию декларацию уточнённую декларацию по НДС, которая будет убирать ранее указанный налоговый вычет?
Я не могу, а наши суды могут - дело А40-290966/23, традиционные три инстанции.
ООО оспаривало действия налоговой инспекции в отказе привести сальдо Единого налогового счета (ЕНС) в соответствие с уточненной налоговой декларацией по НДС за 3-й квартал 2018 года (корректировка №2) от 17.11.2022.
Общество утверждало, что уточненная декларация (корректировка №1) от 26.04.2022, которая ухудшила его положение (убрала налоговый вычет), была подана неустановленными лицами в результате кибератаки и "взлома электронной цифровой подписи".
Суд кассационной инстанции подтвердил, что действия (бездействие) налоговой инспекции по неприведению сальдо ЕНС в соответствие с уточненной декларацией от 17.11.2022 являются незаконными, и обязал налоговый орган устранить нарушение.
Доводы налоговой инспекции о том, что ООО под предлогом хакерской атаки пытается восстановить вычеты по НДС после истечения сроков на привлечение к ответственности, были отклонены.
Ключевым доказательством, которое убедило апелляцию и кассацию, стал нотариальный протокол осмотра доказательств. Он подтвердил факт кибератаки, удаленного копирования ключа ЭП и как следствие - отсутствие контроля со стороны директора над ключом в спорный период.
Протокол от нотариуса, составленный спустя 2 года после предполагаемой атаки, которому поверил суд. Нотариус - которые до сих пор продолжают выдавать доверенности на "получение ЭЦП", выступил в роли специалиста по расследованию киберпреступлений, такой пентест-постфактум.
Норму 63-ФЗ про обеспечение конфиденциальности ключа электронной подписи ни одна судебная инстанция даже не рассматривала. Вот такая "удаленная бухгалтерия", ...
✍️ "Об ЭП и УЦ"
Можете представить, что хакеры, получив удаленный доступ до компьютера и обнаружив подключенный носитель с ключом ЭП, подадут за организацию декларацию уточнённую декларацию по НДС, которая будет убирать ранее указанный налоговый вычет?
Я не могу, а наши суды могут - дело А40-290966/23, традиционные три инстанции.
ООО оспаривало действия налоговой инспекции в отказе привести сальдо Единого налогового счета (ЕНС) в соответствие с уточненной налоговой декларацией по НДС за 3-й квартал 2018 года (корректировка №2) от 17.11.2022.
Общество утверждало, что уточненная декларация (корректировка №1) от 26.04.2022, которая ухудшила его положение (убрала налоговый вычет), была подана неустановленными лицами в результате кибератаки и "взлома электронной цифровой подписи".
Суд кассационной инстанции подтвердил, что действия (бездействие) налоговой инспекции по неприведению сальдо ЕНС в соответствие с уточненной декларацией от 17.11.2022 являются незаконными, и обязал налоговый орган устранить нарушение.
Доводы налоговой инспекции о том, что ООО под предлогом хакерской атаки пытается восстановить вычеты по НДС после истечения сроков на привлечение к ответственности, были отклонены.
Ключевым доказательством, которое убедило апелляцию и кассацию, стал нотариальный протокол осмотра доказательств. Он подтвердил факт кибератаки, удаленного копирования ключа ЭП и как следствие - отсутствие контроля со стороны директора над ключом в спорный период.
Протокол от нотариуса, составленный спустя 2 года после предполагаемой атаки, которому поверил суд. Нотариус - которые до сих пор продолжают выдавать доверенности на "получение ЭЦП", выступил в роли специалиста по расследованию киберпреступлений, такой пентест-постфактум.
Норму 63-ФЗ про обеспечение конфиденциальности ключа электронной подписи ни одна судебная инстанция даже не рассматривала. Вот такая "удаленная бухгалтерия", ...
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
Об ЭП и УЦ
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
В преддверии 15 тыс. действующих сертификатов НУЦ (при общем объеме выдачи в 33,5 тыс., 10 тыс. действующих были в середине июля) подготовлена самая полная статистика выдачи сертификатов НУЦ за 5 лет.
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM