✍️ЕАЭС продолжает работу по взаимному признанию электронной подписи

Информацию сообщил член Коллегии ЕЭК Максим Ермолович:

Если раньше принимали документы в бумажном виде наряду с электронными, то теперь переходят только на электронный формат. И критически важно, пока идет этот переходный период, создать систему взаимного признания электронной цифровой подписи, чем и занимается Евразийская экономическая комиссия. Перед нами стоит задача обеспечить взаимное признание ЭЦП всеми пятью странами. Из-за технических сложностей это оказалось достаточно проблематичным

Пилотный проект решено реализовать между Беларусью и Россией и завершить до конца года. План мероприятий был утвержден в марте 2025 года, основные комментарии по его реализации были от белорусской стороны.

✍️ГОСТ сертификаты НУЦ: зазор есть, CT-логов нет

С нашим каналом своим экспертным комментарием поделился Николай Лобанов, автор канала "На стадии обсуждения". Николай также направлял свои предложения к проекту приказа Минцифры о требованиях к сертификатам безопасности.

Минцифры обработало мои предложения к проекту приказа о требованиях к сертификатам безопасности НУЦ. Кроме типового "Документ приведен в соответствие с требованиями законодательства РФ", в ответе нашлось одно место по существу, про журналы прозрачности:

Гост сертификаты выпускаются через воздушный зазор. У подсистемы ГОСТ нету доступа к публичным логам.

Что в проекте. DV и OV сертификаты на RSA должны содержать три SCT-метки, то есть пресертификат учитывается в CT-логе до выдачи (п. 117 и 169 приложения 1, дополнение 1.3.6.1.4.1.11129.2.4.2). В профилях DV и OV на ГОСТ такого требования нет.

Зачем это владельцу домена. По CT-логу он видит сертификат, выпущенный на его домен без его ведома (RFC 6962, раздел 1). Если ГОСТ сертификаты НУЦ в логи не попадают, такой сертификат он не увидит.

Почему зазор не довод. Встроить SCT-метку он действительно мешает: для этого пресертификат должен уйти в лог и вернуться с меткой до выдачи. Но учесть сертификат в логе можно и после выдачи, подать его туда может кто угодно (раздел 3.1 того же RFC). Выданный сертификат всё равно выходит из закрытого контура к владельцу. Тем же путём он может уйти и в лог.

Какой лог его примет, отдельный вопрос: лог проверяет подпись цепочки и принимает только цепочки до корней из своего опубликованного списка (там же). Поэтому я предлагал, чтобы журнал вёл сам НУЦ или определённый им российский оператор, а сведения о журналах были записаны в порядке выдачи сертификатов.

Ответ на это: "Предложения указанные в приложении будут учитываться при развитии". Статус: Частично учтено.

Тема воздушного зазора актуальна не только в деятельности НУЦ, но и для АУЦ.

Аккредитованный УЦ должен включить в Регламент перечень аппаратных средств, которые запрещается подключать к сетям общего пользования.

- из презентации PKI-Форума 2017.

Воздушный зазор между центром регистрации и центром сертификации, на флешке в одну сторону передаются файлы запросов на сертификаты, а в другую файлы сертификатов и CRL (однонаправленный шлюз не предлагать). Если бы это нашло применение на практике, то удалось бы АУЦ выйти на текущий уровень автоматизации выдачи сертификатов - около 70 тыс. в сутки?

✍️Об ЭП и УЦ

🔥Видео с PKI-Форума 2026

🔹Фильм памяти Владимира Георгиевича Матюхина (1945–2026)
🔹Стратегическая сессия «Куда и как развивается отрасль»
🔹Сессия 1 «Актуальные вопросы национального пространства доверия»
🔹Сессия 2 «Мобильная электронная подпись»
🔹Сессия 3 «Трансграничное признание иностранной ЭП»
🔹Сессия 4 «Новые отраслевые аспекты PKI»
🔹Сессия 5 «Правовые вопросы PKI, судебная практика»
🔹Сессия 6 «PKI в прикладных системах. PKI-проекты и продукты»
🔹Сессия 7 «Системный подход в отрасли PKI»
🔹Экспертная панель 1 «Критические аспекты надежности и устойчивости»
🔹Экспертная панель 2 «Электронные архивы с ЭП»
🔹Экспертная панель 3 «Электронная подпись»

✅Видео о прошедшем форуме 2026 года

✍️ Телеграм-канал "Об ЭП и УЦ" четвертый раз выступал информационным партнёром форума.

​​🔖 Юридически значимая электронная почта ➤

Для общественного обсуждения представлен проект постановления Правительства Российской Федерации «Об электронной почтовой системе».
Раздел по защите информации явно нуждается в доработке: взаимодействие с ГосСОПКА, противодействие КА и реагирование на КИ.

В Москве не умеют работать с электронными подписями и документами

Да, согласны, заголовок провокационный и не про всю Москву мы, конечно, будем говорить))

Казалось бы, столица - это пример продвинутости и готовности к инновациям. Но это не всегда так.

Сегодня поделимся историей, которая произошла в течение последней недели.

Есть информационная платформа «PRO.Культура.РФ», которая позволяет
учреждениям культуры анонсировать мероприятия на портале «Культура.РФ» и страницах других партнеров проекта. В том числе для того, чтобы пользователи Пушкинской карты (а это молодежь) могли быть ближе к культуре и искусству.

Для возможности информировать о своем мероприятии на платформе надо направить заявление и вот тут начинается интересное.

Заявление надо либо подписать электронной подписью, либо приложить скан с печатью.

Как раз на этом этапе к нам и обратились за помощью в настройке процесса подписания, потому как ребята молодые и хотят пользоваться современными инструментами, а печать для ИП уже давно не обязательна.

Настроили, подписали, отправили. Проходит время, ребята возвращаются: отказ, не подтверждено авторство заявителя. Вот тут стало по-настоящему интересно. Обращение в службу поддержки привело вот к такому ответу: надо, чтобы была синяя печать или синий штамп подписи на документе. Попытка выяснить у службы поддержки, почему правильно подписанный документ их не устраивает, успехом не увенчались.

Чертыхаясь и грустя помогли визуализировать подписанный документ. Думали, что процесс закончился, но оказалось, что нет.

Пришёл ответ: "В добавленном вами документе печать организации отсутствует или нечитабельна. Документ должен быть заверен синей или электронной печатью".

Занавес.

Работать с электронной подписью не умеют, служба поддержки ориентируется слабо, ещё и придумали новый термин "электронная печать".

Цифровые сервисы - это хорошо, но при внедрении надо не забывать о необходимости иметь компетенцию, как всем этим пользоваться.

🚀 ЭДО для бизнеса

#москва #пушкинскаякарта

✍️CA/Browser Forum обновлены базовые требования - AIA, как опция

По итогу голосования в рамках бюллетеня SC104 наличие расширения AIA установлено в значение SHOULD (необязательное), ранее было MUST. Также требование о наличии хотя бы одного параметра внутри расширения дополняется оговоркой "If present" (если присутствует).

Объяснение данной корректировки простое - внутри расширения AIA уже существуют разные уровни обязательности для методов доступа.

Расширение AIA (Authority Information Access) в сертификате показывает дополнительную информацию об удостоверяющем центре, выдавшем этот сертификат. В обязательном порядке включает адрес OCSP-службы для проверки статуса сертификата (метод id-ad-ocsp) и как опцию ссылку на сертификат УЦ (метод id-ad-caIssuers). Например, если в TLS-рукопожатии клиенту не хватает промежуточного сертификата, AIA может указать, где его скачать.

Если ссылка на сертификат издателя опциональна, а адрес OCSP - обязательный, то обязательность AIA теряет смысл, указание адреса OCSP - потребует наличие расширения AIA, но если AIA отсутвует, то ни OCSP, ни ссылки на сертификат УЦ в сертификате не будет.

Новая версия базовых рекомендаций 2.3.1 опубликована 04.10.2026.

✍️Об ЭП и УЦ

🛡 «Проверка на прочность»: «мы проверяемся» ≠ «мы понимаем свои риски»

Аудит пройден, пентест проведён, отчёт подписан. А утечка всё равно случилась.

14 октября в Москве форум «Проверка на прочность» разберётся, как не перепутать активность с результатом.

На стыке права, данных и безопасности:
🔹 что на самом деле хочет регулятор (CISO Билайна, Т-Банка, МТС Банка, Райффайзена, HeadHunter, Почты России)
🔹 право на взлом: где граница между этичным хакером и нарушителем
🔹 ИИ в оценке защищённости: где помогает, а где создаёт новую иллюзию
🔹 подрядчики, которые могут уронить вас быстрее хакера
🔹 интерактивный мастер-класс Алексея Лукацкого «50 оттенков зелёного»: как метрики ИБ создают иллюзию защищённости

📍 14 октября, Холидей Инн Сокольники, 9:00–18:00
👉 Программа и регистрация: breakme-forum.ru

✍️Телеграм-канал "Об ЭП и УЦ" выступает медиа партнёром конференции

✍️Внесены изменения в требования к формату нотариально оформляемого документа в электронной форме

Приказом Минюста от 29.09.2026 № 268 внесены изменения в пункты 3 и 8 Требований к формату нотариально оформляемого документа в электронной форме.

Пункт 3 переписан полностью, если для документа предусмотрена XML-схема, то нотариус направляет получателю два файла:
🔹XML - для информационных систем, подписывается КЭП нотариуса.
🔹PDF - для визуализации XML-документа, содержит отметку об электронной подписи.

Из пункта 8 исключено второе предложение о том, что ранее пакет из XML и PDF подписывался КЭП Нотариуса, про визуализацию речи не было.

Первое предложение пункта 8 вызывает вопросы:

Документ в электронной форме подписывается усиленной квалифицированной электронной подписью нотариуса, консульского должностного лица в формате PKCS#7 (отделенная электронная подпись в кодировке DER)

PKCS#7 - устаревший формат, который не проходит проверку сервисом Головного УЦ. Не хочет Минюст ссылаться на 472 приказ Минцифры.

Вот и думайте, какой смысл от экспертных советов с приглашением толпы людей, рабочих групп, форумов и конференций, если приказы министерств годами содержат грубейшие ошибки.

✍️"Об ЭП и УЦ"

📊 Топ-10 аккредитованных удостоверяющих центров за девять месяцев 2026 года

Общий рост выдачи по сравнению с прошлым годом, прогноз по итогам года - 23 млн. Рост Госключа (ИИТ) - сказывается переход на электронные транспортные документы. Пока топ-10 без изменений, они будут по итогам октября.

✍️"Об ЭП и УЦ"