🔐 Сертификаты безопасности от НУЦ и записи в ЕГРЮЛ

Руководитель организации на портале Госуслуг сам подаёт заявление на получение сертификата безопасности, подписывает КЭП, но получает ошибку - "Отказано в предоставлении услуги" с расшифровкой "В запросе отсутствует файл доверенности на право подачи заявления от имени организации".

Какая доверенность, когда он ЕИО?

Объясняется всё просто - в ЕГРЮЛ скрыта информация о лице, имеющем право действовать от имени организации без доверенности.

Какие варианты решения?
🔹выдать МЧД сотруднику организации, чтобы все последующие действия и подписание осуществлял данный сотрудник с использованием своего сертификата.
🔹открывать данные в ЕГРЮЛ на время подачи запроса.

✍️"Об ЭП и УЦ"

⚖️ Скандал с электронными подписями в Турции - суд вынес обвинительный приговор

Суд Анкары вынес решение по делу, в котором фигурировало 286 подсудимых, которые занимались подделкой дипломов, водительских удостоверений с использованием незаконно выданных сертификатов на имена чиновников.

Организатору Зие Кадироглу назначено наказание в виде 116 лет и 3 месяцев тюремного заключения. Всего 256 человек признаны виновными, ещё 29 оправданы.

Один из осуждённых заявил суду:

Я получил электронную подпись так же легко, как покупаю шоколадку в магазине, просто протянул удостоверение. Я не знаю, что такое электронная подпись и для чего она нужна

Звучит ультралиберально, нужно им тоже реформу провести.

При этом организатор перекладывал вину на УЦ Türktrust, заявляя, что это они:

раздавали электронные подписи кому попало

А может слишком простая процедура получения сертификатов это не благо, а вред, т.к. получатель не понимает, что он получает и какие риски несёт?

Ещё один случай рассматривается в Анталье, на имя российского бизнесмена турецкого происхождения выдали сертификат, пока он был заграницей, и подписали документы о признании им долга на 10 млн. лир, из-за процентов сумма выросла до 250 млн лир, и на его счета наложили арест.

✍️"Об ЭП и УЦ"

✍️Нормативные правовые акты для деятельности Национального удостоверяющего центра

Какие подзаконные нормативные правовые акты должны быть приняты в рамках Национального удостоверяющего центра? Изучив статью 6 210-ФЗ составил перечень НПА, которые нужно принять для реализации её положений, и пришел к неожиданному выводу.

📜 Постановления Правительства:
1⃣ Положение о ГИС национального удостоверяющего центра (ГИС НУЦ) - п. 6 ст. 13¹, по согласованию с ФСБ и ФСТЭК
2⃣ Определение оператора ГИС НУЦ - п. 7 ст. 13¹, по согласованию с ФСБ
3⃣ Правила определения предельного размера платы за создание и выдачу сертификатов НУЦ - п. 4 ст. 14¹
4⃣ Перечень юрлиц, физлиц и ИП (разработчиков ПО для доступа в интернет), обязанных предустанавливать сертификаты - НУЦ п. 11 ст. 14¹, по согласованию с ФСБ
5⃣ Перечень иных случаев прекращения действия сертификатов НУЦ - п. 7 ст. 14¹, по согласованию с ФСБ
6⃣ Определение некоммерческой организации для приема заявлений на сертификаты для разработчиков ПО - п. 9 ст. 14¹, по согласованию с ФСБ
7⃣ Перечень случаев обязательного использования сертификатов НУЦ - п. 13 ст. 14¹, в банковской сфере по согласованию с Банком России

📄 Приказы Минцифры:
1⃣ Требования к Порядку реализации функций НУЦ и исполнения его обязанностей - п. 8 ч. 4, по согласованию с ФСБ
2⃣ Определение существенных условий соглашения о взаимодействии НУЦ с некоммерческой организацией - п. 9 ст. 14¹, по согласованию с ФСБ
3⃣ Требования к сертификатам безопасности НУЦ, порядку их создания, выдачи и прекращения действия - п. «а» п. 9 ч. 4, по согласованию с ФСТЭК и ФСБ
4⃣ Требования к аутентификации с использованием сертификатов (информсистем, сайтов, разработчиков ПО, участников корпоративных систем) - п. «б» п. 9 ч. 4, по согласованию с ФСТЭК и ФСБ
5⃣ Требования к организации защищенного взаимодействия (для госорганов, ЦБ и др.) с использованием сертификатов - п. «в» п. 9 ч. 4, по согласованию с ФСТЭК и ФСБ
6⃣ Порядок подтверждения целостности и подлинности российского ПО с использованием сертификатов - п. «г» п. 9 ч. 4, по согласованию с ФСТЭК и ФСБ

📄 Приказы ФСБ России
1⃣ Правила подтверждения владения ключом идентификации - п. 5 ч. 5 ст. 8
2⃣ Требования к техническим средствам ГИС НУЦ - п. 6 ч. 5 ст. 8

📋 Документы, утверждаемые НУЦ
1⃣ Порядок реализации функций НУЦ и исполнения его обязанностей (в соответствии с требованиями Минцифры) - ч. 2 ст. 13¹
2⃣ Порядок ведения реестра сертификатов безопасности НУЦ и доступа к нему - п. 5 ч. 1 ст. 13¹

Какой неожиданный вывод - а он следует из ч. 1 ст. 13¹, согласно которому Правительство определяет федеральный орган власти, который будет уполномоченным на осуществление функций в сфере использования сертификатов безопасности. Минцифры? Тогда получится, что ведомство регулирует деятельность самого себя - сначала пишет требования, а потом их выполняет. Этот госорган ещё не определен, статья 6 вступает в силу с 1 марта 2027 года, поэтому Национальным УЦ может быть назначен условный Роскомнадзор.

✍️Об ЭП и УЦ

🔐 PKI-Форум Россия 2026

15-17 сентября 2026 года в Санкт-Петербурге пройдет XXIV международная конференция по проблематике инфраструктуры открытых ключей и электронной подписи «PKI-Форум Россия 2026».

На протяжении многих лет PKI-Форум остаётся ключевой площадкой для обсуждения регулирования, практики применения и развития ЭП, PKI, сервисов доверия.

В 2026 году на конференции предстоит рассмотреть следующие темы:
🔹Векторы развития отрасли, направления роста и барьеры
🔹Отраслевая специфика инфраструктуры открытых ключей
🔹Критические аспекты надёжности и устойчивости отечественной PKI
🔹Трансграничное признание иностранной ЭП
🔹МЧД и другие механизмы управления полномочиями
🔹Стандартизация в области ЭП и смежных областях
🔹Правовые вопросы PKI, судебная практика
🔹Проблемные вопросы подготовки специалистов по тематике PKI
🔹Электронные архивы с ЭП, усовершенствованные форматы ЭП, доверенное хранение информации с ЭП
🔹Актуальные вопросы национального пространства доверия - сертификаты безопасности и сертификаты подписи кода
🔹Электронная подпись физического лица на работе
🔹Мобильная электронная подпись
🔹PKI в прикладных системах

✍️Регистрация по ссылке

✍️Телеграм-канал "Об ЭП и УЦ" уже четвертый раз выступает информационным партнёром форума

✍️Законопроект о внесении изменений в 63-ФЗ "Об электронной подписи" готовится ко второму чтению

Вчера он обсуждался на заседании Комитета Госдумы по фин.рынку (пункт 3 повестки заседания), в сегодняшнем порядке работы Госдумы его нет.
До окончания летней сессии останется ещё 4 заседания.

Главным событием сегодняшнего дня будет принятие закона о поддержке развития ИИ, вчера прошло первое чтение - стенограмма здесь. Минцифры получит ещё одну сферу регулирования, в которой не разбирается. А тем временем
Китай может ограничить доступ к своим передовым ИИ-моделям, США сняли экспортные ограничения на ИИ Anthropic - можете такое представить с нашими моделями?

✍️"Об ЭП и УЦ"

🏛Судебная практика - Аннинский районный суд встал на сторону жителя, пострадавшего от мошенников с кредитной картой

Суд признал договор о кредитной карте незаключенным, так как его оформили мошенники, воспользовавшись старым номером телефона истца.

В 2023 году мужчина оформил дебетовую карту, привязав свой номер. В 2024 году он сменил номер, но забыл отключить его от банка. Этим воспользовались злоумышленники - в апреле 2025 года неизвестные через старый номер оформили на имя истца кредитную карту на 137 000 рублей и обналичили деньги.

Суд установил, что на момент заключения договора номер принадлежал уже не истцу, а значит, одноразовый код для подписания договора пришел не ему. Волеизъявления на получение кредита не было.

Суд пришёл к выводу, что на момент заключения договора с использованием простой электронной подписи абонентский номер, на который банк направил одноразовый код доступа, истцу не принадлежал. Договор истцом не подписан, волеизъявление на его заключение отсутствовало, денежные средства получены третьими лицами

Исковые требования пострадавшего удовлетворены полностью:
🔹Договор признан незаключенным
🔹Отменена исполнительная надпись нотариуса о взыскании долга.
🔹Банк обязан исключить все сведения о кредитной карте из бюро кредитных историй.

Простая ЭП по коду из СМС с банком в данном случае сыграла злую шутку, суд принял правильное решение. Как код из СМС, отправленный на номер, который не принадлежал больше истцу мог указывать на него, как на лицо, от имени которого был создан и (или) отправлен электронный документ (ч. 1 ст. 9 63-ФЗ).

✍️Об ЭП и УЦ

⚡️⚡️⚡️ Бюллетень SC087 вступил в силу 6 июля

Бюллетень CA/Browser Forum SC087, содержащий на стр. 50 описание допустимых методов верификации и запрещенных списков 3.2.2.12.2 Denied Lists and Other Legal Block Lists 2. Acceptable Methods of Verification, на который ссылался руководитель российского представительства GlobalSign, аргументируя отзыв сертификатов, вступил в силу.

Количество действующих сертификатов безопасности от Национального удостоверяющего центра на 10 июля составляет около 10 тыс. - 9748 шт, общее количество выданных

🚀Об ЭП и УЦ

Цифровой рубль и лицензия на СКЗИ - есть ли связь

Мне просто рассказывать про лицензию на СКЗИ, т.к. в организациях где раньше работал, я либо сам участвовал в получении лицензии по 313-ПП, в её переоформлении и добавлении новых пунктов, либо она уже была получена до меня.

Рассмотрим процесс лицензирования через призму Цифрового рубля и банков.
Ранее мы с вами выяснили, что лицензия по 313-ПП требуется при осуществлении деятельности, оказании услуг в интересах третьих лиц, а не для собственных нужд. Подписчики выяснили, например, что у Озон Банка в выписке из ЕГРЮЛ отсутствует информация о наличии лицензии ФСБ.

Какие пункты из приложения подходят под Цифровой рубль? Спойлер - практически, как для ДБО, давно это обсуждение велось на форуме КРИПТО-ПРО, Юрию Геннадьевичу отдельная благодарность.

Пройдём по пунктам, которые нужны в лицензии:
🔹8, разработка защищённой системы с использованием СКЗИ - т.к. осуществляется встраивание СКЗИ (входящего в состав Программного модуля Банка России)
🔹12, 13 - монтаж СКЗИ и разработанных защищённых систем
🔹21 - передача СКЗИ, которое клиент использует для подписания информации НЭП, а также построения защищённого канала
🔹25 - услуги по шифрованию информации - выше была передача СКЗИ, а здесь уже услуга по защите каналов связи с использованием TLS-сертификатов, для которых разворачивается отдельный УЦ
🔹28 - изготовление ключей НЭП, а также для защищённых подключений.

Пишите свои комментарии, достаточно ли данного перечня.

На этом фоне интересно, что же там могли взломать в рамках Standoff:

Организаторы смоделировали реальную архитектуру: центральную платформу и банки-посредники.

Нет ни описания стенда, ни отчёта.

Что считалось взломом Цифрового рубля - изменение суммы или получателя платежа, доступ к ключам ЭП, средствам УЦ?

Систему подвели не изощрённые атаки, а базовые ошибки конфигурации: стандартные пароли, отключённая проверка цифровых подписей и отсутствие контроля прав доступа.

Если проверка ЭП была отключена, то какая это реальная архитектура? Не серьёзно это, Standoff.

🚀Об ЭП и УЦ

HARICA vs Bugzilla

21 июня в системе отслеживания ошибок Bugzilla пользователем "Iakov, son of Isaac" был заведен трек "HARICA: Продолжается выдача и отказ в аннулировании сертификатов TLS для организаций, находящихся под санкциями ЕС".

В адрес HARICA были направлены уведомления о нарушении санкционного режима ЕС, на что греческий УЦ ответил отказом и заявил, что:

"Все выданные сертификаты являются сертификатами с проверкой домена (DV). Как таковые, они содержат исключительно информацию, относящуюся к данному домену, без указания какого-либо физического или юридического лица. Для выдачи таких сертификатов не требуется дополнительная проверка нашей стороны"

УЦ подчеркнул, что готов отозвать сертификаты только по официальному запросу компетентных органов.

Обращенцы в комментариях продолжают настаивать:
🔹Регламент ЕС № 269/2014 запрещает предоставление экономических ресурсов подсанкционным лицам. Услуги УЦ являются таковым ресурсом.
🔹Многие из доменов напрямую упоминаются в санкционных документах.
🔹Другие УЦ (Let's Encrypt, GlobalSign, Actalis) отозвали сертификаты после аналогичных уведомлений.

HARICA заняла твёрдую позицию:
🔹DV-сертификаты проверяют только контроль над доменом, а не организацию-владельца.
🔹Автоматизированная система выдачи сертификатов не включает проверку по санкционным спискам.
🔹Проверка по санкционным спискам проводится только в том случае, если клиент запрашивает бизнес-счет (invoice) на юридическое лицо. Если же клиент оплачивает как физическое лицо и получает обычный чек, проверка не проводится.
🔹Отзыв будет произведен только по требованию регулирующих органов.

Обращенцы не унимаются и сообщают о направленных жалобах в:
🔹ETSI-аудитора HARICA (QMSCERT);
🔹Национальный регулятор Греции (EETT);
🔹ACM и Греческую университетскую сеть (GUnet).

Мы с вами наблюдаем фундаментальное столкновение технических стандартов и юридических норм ЕС. HARICA использует технологическую особенность DV-сертификатов, как щит для уклонения от санкционных обязательств.

Итоговое решение по инциденту может определить важный прецедент: должны ли УЦ нести ответственность за конечных получателей своих услуг, даже если их технические процессы не требуют прямой проверки личности?

🚀Об ЭП и УЦ

✍️Ситуация с доменом t.me - какая причина блокировки?

Это внезапная блокировка на уровне регистратора, из-за которой все ссылки t.me по всему миру перестали открываться. При этом детали остаются неясными.

🔹Домен t.me получил статус serverHold от реестра .me, он был удалён из глобальной DNS-системы. Срок действия домена истекает только в 2035 году, так что это не просрочка.
🔹Оператор реестра .me - компания doMEn, а её техническим оператором является Identity Digital.
🔹Приложения Telegram работает, не затрагивается telegram.org, а вот все короткие ссылки на посты, каналы и пользователей в браузерах недоступны.

Какая основная версия причины Поскольку .me - это домен Черногории, а страна находится в процессе переговоров о вступлении в ЕС, поэтому есть предложение, что блокировка связана с требованиями европейских регуляторов (в частности, OFAC).

Пока Telegram обновил help.getConfig на своих серверах, заменив t.me на telegram.me.

Новые ссылки telegram.me будут автоматически использоваться при копировании ссылок в Telegram.

🚀Об ЭП и УЦ