✍️CA/Browser Forum обновлены базовые требования - AIA, как опция

По итогу голосования в рамках бюллетеня SC104 наличие расширения AIA установлено в значение SHOULD (необязательное), ранее было MUST. Также требование о наличии хотя бы одного параметра внутри расширения дополняется оговоркой "If present" (если присутствует).

Объяснение данной корректировки простое - внутри расширения AIA уже существуют разные уровни обязательности для методов доступа.

Расширение AIA (Authority Information Access) в сертификате показывает дополнительную информацию об удостоверяющем центре, выдавшем этот сертификат. В обязательном порядке включает адрес OCSP-службы для проверки статуса сертификата (метод id-ad-ocsp) и как опцию ссылку на сертификат УЦ (метод id-ad-caIssuers). Например, если в TLS-рукопожатии клиенту не хватает промежуточного сертификата, AIA может указать, где его скачать.

Если ссылка на сертификат издателя опциональна, а адрес OCSP - обязательный, то обязательность AIA теряет смысл, указание адреса OCSP - потребует наличие расширения AIA, но если AIA отсутвует, то ни OCSP, ни ссылки на сертификат УЦ в сертификате не будет.

Новая версия базовых рекомендаций 2.3.1 опубликована 04.10.2026.

✍️Об ЭП и УЦ

🛡 «Проверка на прочность»: «мы проверяемся» ≠ «мы понимаем свои риски»

Аудит пройден, пентест проведён, отчёт подписан. А утечка всё равно случилась.

14 октября в Москве форум «Проверка на прочность» разберётся, как не перепутать активность с результатом.

На стыке права, данных и безопасности:
🔹 что на самом деле хочет регулятор (CISO Билайна, Т-Банка, МТС Банка, Райффайзена, HeadHunter, Почты России)
🔹 право на взлом: где граница между этичным хакером и нарушителем
🔹 ИИ в оценке защищённости: где помогает, а где создаёт новую иллюзию
🔹 подрядчики, которые могут уронить вас быстрее хакера
🔹 интерактивный мастер-класс Алексея Лукацкого «50 оттенков зелёного»: как метрики ИБ создают иллюзию защищённости

📍 14 октября, Холидей Инн Сокольники, 9:00–18:00
👉 Программа и регистрация: breakme-forum.ru

✍️Телеграм-канал "Об ЭП и УЦ" выступает медиа партнёром конференции

✍️Внесены изменения в требования к формату нотариально оформляемого документа в электронной форме

Приказом Минюста от 29.09.2026 № 268 внесены изменения в пункты 3 и 8 Требований к формату нотариально оформляемого документа в электронной форме.

Пункт 3 переписан полностью, если для документа предусмотрена XML-схема, то нотариус направляет получателю два файла:
🔹XML - для информационных систем, подписывается КЭП нотариуса.
🔹PDF - для визуализации XML-документа, содержит отметку об электронной подписи.

Из пункта 8 исключено второе предложение о том, что ранее пакет из XML и PDF подписывался КЭП Нотариуса, про визуализацию речи не было.

Первое предложение пункта 8 вызывает вопросы:

Документ в электронной форме подписывается усиленной квалифицированной электронной подписью нотариуса, консульского должностного лица в формате PKCS#7 (отделенная электронная подпись в кодировке DER)

PKCS#7 - устаревший формат, который не проходит проверку сервисом Головного УЦ. Не хочет Минюст ссылаться на 472 приказ Минцифры.

Вот и думайте, какой смысл от экспертных советов с приглашением толпы людей, рабочих групп, форумов и конференций, если приказы министерств годами содержат грубейшие ошибки.

✍️"Об ЭП и УЦ"

📊 Топ-10 аккредитованных удостоверяющих центров за девять месяцев 2026 года

Общий рост выдачи по сравнению с прошлым годом, прогноз по итогам года - 23 млн. Рост Госключа (ИИТ) - сказывается переход на электронные транспортные документы. Пока топ-10 без изменений, они будут по итогам октября.

✍️"Об ЭП и УЦ"

Об электронной подписи - что, если... ? Исторический пост

"Что, если…?- мультфильмы от Marvel, в которых рассматриваются альтернативные истории развития её вселенной.

А что, если бы 476-ФЗ был принят в другой редакции - с нормой про полномочные сертификаты? 8 лет назад обсуждалась другая концепция развития сферы электронной подписи, где полномочия подтверждались бы не только МЧД.

Итак, представим:
🔹Аккредитованными УЦ являются только - Казначейство или подвед, Минцифры или подвед, Налоговая или подвед.
🔹Казна выдает сертификаты государственным органам, органам местного самоуправления и их должностным лицам, Минцифры - физическим лицам, Налоговая - юридическим лицам, индивидуальным предпринимателям и их должностным лицам.
🔹Подтверждение полномочий физлиц осуществляется через полномочный сертификат.
🔹Полномочные сертификаты органов госвласти, Банка России, внебюджетных фондов, иных госорганов, а также органов местного самоуправления выдает УЦ Казначейства, а полномочные сертификаты для сотрудников юрлиц - УЦ Минцифры.
🔹Сведения о созданных полномочных сертификатах передаются в федеральную государственную информационную систему, определенную Правительством.
🔹Доверенными лицами аккредитованных УЦ являются только МФЦ и нотариусы.
🔹Установлена госпошлина за выдачу квалифицированных сертификатов (кроме госорганов).
🔹Услуги ДТС для госсектора оказывает Минцифры (вправе привлекать иные организации), а для остальных - аккредитованные коммерческие организации.

✍️"Об ЭП и УЦ"

✍️PKCS#7 отменить нельзя оставить (поставьте запятую, где считаете нужным)

Простой поиск выдаёт десятки нормативных актов, содержащих формат подписи PKCS#7. Почему так получилось? Кто-то первым написал, другие бездумно скопировали.

В перечне и постановление Правительства с

Наличие на электронном документе одной или нескольких усиленных квалифицированных электронных подписей, исполненных в формате отделенной электронной подписи (PKCS#7) должностными лицами органа, выдавшего исполнительный документ.

а также приказы ФНС, ФССП, Судебного департамента, Минюста, СФР, метод.рекомендации ЕСИА и др.

PKCS#7 был разработан в 1991 году и в 1998 стал стандартом в рамках RFC 2315. Но уже в 1999 году на его основе разработан формат CMS и утвержден RFC 2630, актуальная версия CMS в настоящее время утверждена RFC 5652 в 2009 году.

CMS - эволюционное развитие PKCS#7: та же базовая структура SignedData, но с исправлениями для гибкости, однозначности кодирования и поддержки современных алгоритмов (включая российские ГОСТ). Именно поэтому 472 приказ Минцифры ссылается на CMS, а не на PKCS#7 (если бы не известные ошибки).

✍️"Об ЭП и УЦ"

📣Сертификаты безопасности для доменов Google и YouTube были выданы двумя центрами сертификации:
🔹Let's Encrypt: выдал 11 сертификатов.
🔹ZeroSSL: выдал 1 сертификат.

Всего было выдано 12 сертификатов для 7 доменов Google и YouTube. При этом УЦ не нарушили правила выдачи - проверка домена была пройдена из-за компрометации DNS❌

✍️"Об ЭП и УЦ"

✍️Сборник материалов
межведомственной научно-практической 
конференции "Борьба с криминальными рынками в России" от Университета прокуратуры (2020 год)

В рамках доклада "Особенности мошеннических действий в отношении имущества граждан и юридических лиц, совершенных путем подделки или неправомерного использования усиленной квалифицированной электронной подписи" в этом сборнике нашлось место и электронной подписи.

В докладе говорится об известном факте мошенничества о похищении квартиры с ЭП, но сделано это поверхностно, без анализа - а была ли там электронная подпись на самом деле. Пишут про ещё дело с ссылкой на mail.ru, которая сейчас нерабочая.

Так как автор доклада имеет отношение к органам МВД, он приводит следующую статистику:
🔹В 2019 году по данным статистической отчетности в территориальных органах МВД России зарегистрировано 1358 (0,48% от всех зарегистрированных IT-преступлений) преступлений, связанных с использованием ЭП. Данные противоправные действия становятся возможными вследствие неправомерного завладения и использования средств криптографической защиты.
🔹Анализом представленных в ГУЭБиПК МВД России информационно-справочных материалов установлено, что преступления рассматриваемой категории широкого распространения не получили. В 59 тер.органах внутренних дел, т.е. в 75% ТОВД преступления, связанные с использованием ЭП, в 2019 г. не зарегистрированы (прим. @ep_uc может их просто не регистрировали?)

Для сравнения, что писали СМИ Казахстана в это же время: в период с 2015-2018 гг. зарегистрировано 15 административных правонарушений (статья 640 КоАП РК), в 2019 году – 52 дела. За 9 месяцев текущего года установлено более 30 фактов незаконной передачи ЭЦП и более 5 случаев несоблюдения мер по ее защите.

✍️"Об ЭП и УЦ"