⚡️ Let's Encrypt опубликован полный отчет об инциденте с сертификатами

В мае 2026 года Let's Encrypt пришлось отзывать и перевыпутить три кросс-сертификата для иерархии Gen Y. Причиной стало отсутствие расширения serverAuth EKU, которое стало обязательным по новой политике CCADB.

🔹Сертификаты были выпущены 3 сентября 2025, требование CCADB вступило 15 июня 2025.

Почему так произошло - сообщается в отчете, конфигурацию для сертификатов просто скопировали с настройки 2020 года, проверили по Базовым требованиям (BR), но не сверили с политикой CCADB.

🔹Для 688 413 сертификатов конечных пользователей пришлось отправить сигнал ARI, т.е. "срочно обновить", чтобы избежать проблем с проверкой цепочек доверия.

🔹Что мне понравилось в отчёте, Let's Encrypt честно перечисляет недочёты в своих процессах:
- Анонс новой политики CCADB и похожий инцидент у IdenTrust были пропущены дежурным инженером из-за большого потока из 50+ багов в неделю.
- Стандартные линтеры (zlint) не различают кросс-сертификаты от обычных и не проверяют требования CCADB. Ошибки из-за отсутствия EKU игнорировались как ложные срабатывания.
- Правила к профилям сертификатов появились в документе CCADB, где их никто не ожидал увидеть, а не в привычных BR.

Let's Encrypt в течение 5 дней отозвали и заменили сертификаты, обновили CP/CPS и пообещали доработать линтеры, чтобы исключить человеческий фактор при проверке сертификатов. Если бы ошибка была обнаружена после 15 июня 2026, политика Chrome не позволила бы нам повторно перевыпустить кроссы.

Let's Encrypt считают, что требование о наличии расширения serverAuth EKU в кросс-сертификатах логичнее закрепить в Базовых требованиях CA/Browser Forum, а не в Политике CCADB. Поэтому они пообещали:

"...начать обсуждение бюллетеня (ballot) на CA/Browser Forum, чтобы закрепить это требование в BR, что позволит убрать его из Политики CCADB".

При этом в отчёте честно оговаривается, что точная дата финального голосования и принятия поправок непредсказуема, так как стандартный цикл рассмотрения и голосования в CA/B Forum может занять длительное время (срок начала обсуждения 26 июня 2026).

Читаешь всё это и в очередной раз убеждаешься, какой же бардак происходит с нашим PKI. Не могу представить, чтобы Головной УЦ также оперативно реагировал.

✍️"Об ЭП и УЦ"

📣Подборка самых важных новостей о сфере электронной подписи от нашего канала по итогам мая 2026 года

1⃣Разработан проект постановления Правительства, исключающий необходимость получения лицензии на установку СКЗИ для собственных нужд

2⃣Второй пакет Антифрода второе чтение ещё не прошёл, представлена информация о разработке третьего пакета мер

3⃣Опубликован стандарт ФСБ и Банка России о порядке оценки влияния приложений клиентов на работу СКЗИ

4⃣Сервис проверки Головного УЦ проверяет КЭП выписок из ЕГРЮЛ

5⃣Инцидент с кросс-сертификатами Let's Encrypt (1, 2, 3)

6⃣Microsoft подан иск на мошенников, выдававших сертификаты подписи кода (1, 2)

7⃣Внесены изменения в состав межведомственной рабочей группы по взаимному признанию ЭП-ЭЦП

8⃣Эксперимент по кадровому ЭДО продлен до 31.05.2027

9⃣Норма о возможности подписывать электронной подписью документы о прохождении инструктажа по технике безопасности исключена из законопроекта

🔟В Москве прошел форум Архивы 2026, в Нижнем Новгороде - ЦИПР

Ушел из жизни Матюхин В.Г. - человек, утвердивший 152-ФАПСИ, отец-основатель отечественной 🔐, вечная память.

✍️Об ЭП и УЦ

✍️Как в Казахстане вычисляют и штрафуют за передачу ключей ЭЦП

Прошло более года после введения в Казахстане ответственности за передачу ключей ЭЦП, за это время зарегистрировано 113 нарушений.

Подавляющее большинство (76 фактов) - добровольная передача своих ключей другим людям: бухгалтеру, коллеге, родственнику. Штрафы для физлиц - 10 МРП (6,5 тыс. руб.), должностных и малого бизнеса - 15 МРП, среднего бизнеса - 30 и 150 МРП для крупного.

28 фактов использования чужого ключа ЭЦП, штрафы до 200 МРП (130 тыс. руб.)

🕵️ 81 факт из 113 выявлен самими госорганами: через мониторинг систем и проверки. Ещё 23 - от правоохранителей, 9 - от граждан и СМИ.

⚠️ Уголовной статьи за передачу или использование чужого ключа ЭЦП нет, но если ключ использовался для кражи или подлога - дело переквалифицируют в мошенничество или несанкционированный доступ.

Всего в Казахстане 27,2 млн. сертификатов, из них 25,9 млн. физики, 1,3 млн. юрлица. В России такая статистика отсутствует, экспертная оценка говорит о 21-22 млн. действующих квалифицированных сертификатов, из них 3,2 млн. юрлица.

🤔Миллион бухгалтеров в нашей стране передают "привет" своим казахским коллегам и продолжают использовать чужие ключи электронной подписи.

✍️"Об ЭП и УЦ"

🤔Ничего необычного, просто Оферта об использовании ПЭП подписывается ПЭП

✍️Сказ о том, как Казахстан Правила подтверждения подлинности ЭЦП ДТС обсуждал

Решил как-то Казахстан в соответствии с пунктом 3 статьи 57 своего Цифрового кодекса утвердить Правила подтверждения подлинности электронной цифровой подписи доверенной третьей стороной и вспомнил про существование Портала, предназначенного для размещения проектов нормативных правовых актов для осуществления публичного обсуждения пользователями.

Только вместо самих правил разместил на Портале «Открытые НПА» Форму для размещения проекта НПА, чем вызвал в комментариях праведный гнев пользователей:

ЭТО ФИКЦИЯ, А НЕ ПУБЛИЧНОЕ ОБСУЖДЕНИЕ ПРОЕКТА!!!

А где сам проект НПА? Или обсуждается только его заголовок?

И отвечал на все возражения типовой отпиской:

Согласно последним техническим доработкам Портала, в целях оптимизации процесса публичного обсуждения проектов НПА изменен формат размещения подзаконных проектов НПА. В частности, для удобства населения на Портале будет размещаться основное содержание проекта НПА в доступной для ознакомления форме.

А можно было как наше Минцифры - проект разместить, но забыить его на этапе Подведения итогов публичного обсуждения.

P.S. У тебя есть ключ?
- Лучше! У меня есть рисунок ключа!

✍️"Об ЭП и УЦ"

📊 Топ-10 аккредитованных удостоверяющих центров: Госключ рвётся к лидерству

За 5 месяцев 2026 года выдано 8,18 млн. сертификатов - на 20% больше, чем год назад. Топ-10 АУЦ стабильно контролируют >91% всей выдачи сертификатов в стране (статистика за аналогичный период прошлого года по ссылке).

🚀 ИнфоТеКС ИТ взлетел со 886 тыс. до 1,83 млн. - рост квалифицированных сертификатов Госключа более чем вдвое. Отрыв от лидера топа - УЦ ФНС России сократился до 386 тыс.

🔹УЦ ФНС России с 2,22 млн. - стабильный лидер, показывающий плановые показатели для рынка ЮЛ/ИП.
🔹ИИТ - 1,83 млн., стремительно догоняет за счёт квалов для физлиц.
🔹УЦ ФК - 1,14 млн. и крепкая 3-я позиция.

📈 Если ИИТ сохранит темп, то в 2027 году произойдет смена лидера.

Ещё больше новостей о сфере электронной подписи - @ep_uc

✍️"Об ЭП и УЦ"

✍️Google против электронной подписи Роскомнадзора

Интересное судебное решение в прошлом году принял Таганский районный суд, которым оштрафовал Google LLC по ч. 2 ст. 13.41 КоАП РФ (неудаление запрещённой информации) (дело № 5-684/2025). Поводом стало неудаление в Google Play ссылок на способы обхода блокировок.

Ключевым эпизодом, на который делал ставку Google, стала проверка электронных подписей

Защита Google заявила, что уведомления Роскомнадзора подписаны с нарушением закона 63-ФЗ - электронные подписи не проходили проверку, представила скриншоты из программы "КриптоАРМ" и попросила назначить экспертизу с привлечением "КРИПТО-ПРО" и ФБУ Минюста.

Суд отказал в экспертизе, сославшись на то, что сам может проверить подписи. ДТС Судья для проверки использовал штатное криптографическое ПО "Карма" и установил: электронные подписи и сертификаты на момент подписания были действительны, выданы уполномоченному органу РКН. Суд также указал - документы после подписания не менялись, значит переподписывать их не требовалось.

Как суд парировал проверку "КриптоАРМ":

Из тех же документов, которые представил защитник, видно: дата выдачи сертификата, его срок действия и дата направления уведомления входят в период действия ЭП. Документы не менялись, поэтому они действительны.

Что ещё важно в постановлении:
- уведомления направлялись через личный кабинет на сайте РКН - это считается надлежащим уведомлением.
- Google ранее уже штрафовали за аналогичное нарушение, а это отягчающее обстоятельство.
- Удалить информацию нужно было в течение суток с момента направления уведомления, а не получения.

Какой практический вывод: если цель оспорить штраф, нужны процессуальные основания, а не на проверку электронной подписи уведомления от Роскомнадзора.

Отдельный вопрос по средству проверки, которое использовало судья - ПО "Карма", на рынке узкому кругу лиц известно лет 10, в реестре сертифицированных СКЗИ найти не удалось, откуда на рабочем месте судьи оно оказалось?

✍️"Об ЭП и УЦ"

🔥GlobalSign отозван TLS-сертификат сайта max.ru

Проверка через сервис SSL Server Test - сертификата сайта max.ru SSL Server Test: max.ru показывает рейтинг F, т.е. сайт нельзя считать безопасным.

🔴 Главная проблема - сертификат сайта, а он был выдан УЦ GlobalSign, отозван (Revocation status: Revoked INSECURE), проверка проведена через службу OCSP.  Удостоверяющий центр GlobalSign отозвал сертификат, который был выдан 12.01.2026 и действовал до 13.02.2027 (портал Госуслуг, например, тоже с сертификатом от GlobalSign, проверку проходит успешно).
🛑 Что это значит для пользователей: браузеры (Chrome, Firefox, Safari и др.) покажут ошибку и не пустят на сайт без явного подтверждения риска.

Нужно было получать сертификат от Национального удостоверяющего центра.

✍️"Об ЭП и УЦ"