Сертификаты всем

В удостоверяющем центре SSL.com найдена уязвимость, позволявшая получить сертификаты для чужих доменов через обычный доступ к email.

Исследователь показал, как можно получить сертификат для домена через простую манипуляцию с DNS-записями. В основе лежит баг в системе проверки домена при подтверждении через DNS TXT. Во время валидации метод ошибочно маркировал домен из email-адреса как проверенный, даже если запрашивался совсем другой домен.

Это открывало возможность получать сертификаты для популярных email-сервисов, например gmail.com, или целенаправленно атаковать корпоративные домены через компрометацию почты сотрудников.

Ещё раз, вы могли получить ЛЮБОЙ корневой сертификат просто потому что ваш email с верифицированным доменом и не важно каким. Хоть @mail.ru, хоть @gmail.com, сертификат ваш.

SSL.com отключил проблемный метод проверки и отозвал 11 выданных сертификатов. Полный отчет о расследовании обещают выкатить до 2 мая.

НеКасперский

А может это ложная тревога и многие блокировки являются необоснованными? Никакой аналитики на этот счёт найти не удалось. Поддержка пишет:

При подозрительных действиях в вашем личном кабинете на Госуслугах портал ограничивает вход на другие сайты. Доступ будет разблокирован в течение 72 часов.

Но какие конкретно действия фрод-мониторинга считаются подозрительными?

🔐 ВС РФ защитил клиентов банков: кредиты, оформленные мошенниками, признаны ничтожными 

Верховный Суд РФ в своём первом обзоре судебной практики 2025 года постановил: кредитные договоры, заключённые без ведома клиента через мобильное приложение банка, не имеют юридической силы . 

Суть дела 
- Клиентка банка не заключала кредитный договор — от её имени действовали мошенники. 

Кредитный договор подписан простой электронной подписью заемщика по коду №

- Деньги были мгновенно переведены на счёт неустановленного лица. 
- Нижестоящие суды изначально встали на сторону банка, но Верховный Суд отменил их решения, указав на нарушения. Причём решение Верховного Суда датировано июлем 2023 года, а в обзор судебной практикой оно включено только в апреле 2025 года.

Ключевые выводы ВС РФ 
✔️ Кредит требует волеизъявления — если клиент не участвовал в сделке, договор ничтожен . 
✔️ Банк обязан доказать, что клиент добровольно согласился на кредит. Если этого нет — сделка незаконна. 
✔️ Мошеннические действия (взлом аккаунта, переадресация SMS) аннулируют договор .

Далее уже по классике - тот же суд первой инстанции, тот же судья, но решение уже противоположное.

Соглашение о порядке признания электронной подписи при взаимодействии России и Беларуси

21 марта 2025 г. в ходе визита в Российскую Федерацию нового Министра связи и информатизации Кирилла Залесского состоялась рабочая встреча с Министром цифрового развития, связи и массовых коммуникаций Российской Федерации Максутом Шадаевым.

Как сообщает сайт Минцифры:

Стороны отметили положительные изменения в реализации задач, связанных со взаимным признанием электронной цифровой подписи (ЭЦП). Они утвердили План мероприятий, который позволит белорусским поставщикам участвовать в закупках и торгах на территории России с использованием ЭЦП.

Сам план не приводится, им любезно делится канал "ЭДО для бизнеса"👍, представляем упрощенную вариацию данного плана, которая полностью написана нейросетью.
Изменения следующие:
🔹Объединены схожие пункты (например, согласование порядков взаимодействия).
🔹Удалены дублирующие подпункты (7.3, 9.1–9.2).
🔹Сроки и ответственные сохранены.
🔹Упрощены формулировки при сохранении сути.

Соглашение между Правительством Российской Федерации и Правительством Республики Беларусь о порядке признания электронной подписи, подписанное более года назад - 15.04.2024, заработает не скоро...