Цифровой рубль и лицензия на СКЗИ - есть ли связь

Мне просто рассказывать про лицензию на СКЗИ, т.к. в организациях где раньше работал, я либо сам участвовал в получении лицензии по 313-ПП, в её переоформлении и добавлении новых пунктов, либо она уже была получена до меня.

Рассмотрим процесс лицензирования через призму Цифрового рубля и банков.
Ранее мы с вами выяснили, что лицензия по 313-ПП требуется при осуществлении деятельности, оказании услуг в интересах третьих лиц, а не для собственных нужд. Подписчики выяснили, например, что у Озон Банка в выписке из ЕГРЮЛ отсутствует информация о наличии лицензии ФСБ.

Какие пункты из приложения подходят под Цифровой рубль? Спойлер - практически, как для ДБО, давно это обсуждение велось на форуме КРИПТО-ПРО, Юрию Геннадьевичу отдельная благодарность.

Пройдём по пунктам, которые нужны в лицензии:
🔹8, разработка защищённой системы с использованием СКЗИ - т.к. осуществляется встраивание СКЗИ (входящего в состав Программного модуля Банка России)
🔹12, 13 - монтаж СКЗИ и разработанных защищённых систем
🔹21 - передача СКЗИ, которое клиент использует для подписания информации НЭП, а также построения защищённого канала
🔹25 - услуги по шифрованию информации - выше была передача СКЗИ, а здесь уже услуга по защите каналов связи с использованием TLS-сертификатов, для которых разворачивается отдельный УЦ
🔹28 - изготовление ключей НЭП, а также для защищённых подключений.

Пишите свои комментарии, достаточно ли данного перечня.

На этом фоне интересно, что же там могли взломать в рамках Standoff:

Организаторы смоделировали реальную архитектуру: центральную платформу и банки-посредники.

Нет ни описания стенда, ни отчёта.

Что считалось взломом Цифрового рубля - изменение суммы или получателя платежа, доступ к ключам ЭП, средствам УЦ?

Систему подвели не изощрённые атаки, а базовые ошибки конфигурации: стандартные пароли, отключённая проверка цифровых подписей и отсутствие контроля прав доступа.

Если проверка ЭП была отключена, то какая это реальная архитектура? Не серьёзно это, Standoff.

🚀Об ЭП и УЦ

HARICA vs Bugzilla

21 июня в системе отслеживания ошибок Bugzilla пользователем "Iakov, son of Isaac" был заведен трек "HARICA: Продолжается выдача и отказ в аннулировании сертификатов TLS для организаций, находящихся под санкциями ЕС".

В адрес HARICA были направлены уведомления о нарушении санкционного режима ЕС, на что греческий УЦ ответил отказом и заявил, что:

"Все выданные сертификаты являются сертификатами с проверкой домена (DV). Как таковые, они содержат исключительно информацию, относящуюся к данному домену, без указания какого-либо физического или юридического лица. Для выдачи таких сертификатов не требуется дополнительная проверка нашей стороны"

УЦ подчеркнул, что готов отозвать сертификаты только по официальному запросу компетентных органов.

Обращенцы в комментариях продолжают настаивать:
🔹Регламент ЕС № 269/2014 запрещает предоставление экономических ресурсов подсанкционным лицам. Услуги УЦ являются таковым ресурсом.
🔹Многие из доменов напрямую упоминаются в санкционных документах.
🔹Другие УЦ (Let's Encrypt, GlobalSign, Actalis) отозвали сертификаты после аналогичных уведомлений.

HARICA заняла твёрдую позицию:
🔹DV-сертификаты проверяют только контроль над доменом, а не организацию-владельца.
🔹Автоматизированная система выдачи сертификатов не включает проверку по санкционным спискам.
🔹Проверка по санкционным спискам проводится только в том случае, если клиент запрашивает бизнес-счет (invoice) на юридическое лицо. Если же клиент оплачивает как физическое лицо и получает обычный чек, проверка не проводится.
🔹Отзыв будет произведен только по требованию регулирующих органов.

Обращенцы не унимаются и сообщают о направленных жалобах в:
🔹ETSI-аудитора HARICA (QMSCERT);
🔹Национальный регулятор Греции (EETT);
🔹ACM и Греческую университетскую сеть (GUnet).

Мы с вами наблюдаем фундаментальное столкновение технических стандартов и юридических норм ЕС. HARICA использует технологическую особенность DV-сертификатов, как щит для уклонения от санкционных обязательств.

Итоговое решение по инциденту может определить важный прецедент: должны ли УЦ нести ответственность за конечных получателей своих услуг, даже если их технические процессы не требуют прямой проверки личности?

🚀Об ЭП и УЦ

✍️Ситуация с доменом t.me - какая причина блокировки?

Это внезапная блокировка на уровне регистратора, из-за которой все ссылки t.me по всему миру перестали открываться. При этом детали остаются неясными.

🔹Домен t.me получил статус serverHold от реестра .me, он был удалён из глобальной DNS-системы. Срок действия домена истекает только в 2035 году, так что это не просрочка.
🔹Оператор реестра .me - компания doMEn, а её техническим оператором является Identity Digital.
🔹Приложения Telegram работает, не затрагивается telegram.org, а вот все короткие ссылки на посты, каналы и пользователей в браузерах недоступны.

Какая основная версия причины Поскольку .me - это домен Черногории, а страна находится в процессе переговоров о вступлении в ЕС, поэтому есть предложение, что блокировка связана с требованиями европейских регуляторов (в частности, OFAC).

Пока Telegram обновил help.getConfig на своих серверах, заменив t.me на telegram.me.

Новые ссылки telegram.me будут автоматически использоваться при копировании ссылок в Telegram.

🚀Об ЭП и УЦ

🔥 Массовый отзыв сертификатов 14 июля

Зафиксирована новая волна отзывов сертификатов, выданных удостоверяющими центрами Actalis (Италия), GlobalSign (Япония-Бельгия). Все аннулированы по причине Privilege Withdrawn (отзыв привилегий).

Actalis отозваны сертификаты у доменов Альфа-Банка, АльфаСтрахования, НПФ Сбербанка, ВБРР, Роснефть, Транскредитбанк и др.:
• gazprompay.ru
• oauth-pl.alfabank.ru
• cfo-front.alfabank.ru
• www.pga.gazprombank.ru
• 78-107-238-224.static.corbina.ru
• alfastrah.ru
• npfsberbanka.ru
• acs.vbrr.ru
• prelive.alfabank.ru
• *.rosneft.ru

GlobalSign - отзывал у доменов Роспотребнадзора, территориальных органов Роспотребнадзора, Социального фонда, Верховного Суда, Конституционного Суда, Росавтодора, концерна Калашников, ГАС "Правосудие", Судебного департамента, Совета судей, Высшей квалификационной коллегии судей и др.:
• *.rospotrebnadzor.ru
• 32.rospotrebnadzor.ru
• 12.rospotrebnadzor.ru
• *.pfrf.ru
• sfr.gov.ru
• *.vsrf.ru
• *.rosavtodor.gov.ru
• b2b.kalashnikovgroup.ru
• *.ksrf.ru
• *.cdep.ru
• courtcase.msk.arbitr.ru
• *.sudrf.ru
• *.ssrf.ru
• *.vkks.ru

Отзывы продолжаются.

🚀Об ЭП и УЦ

✍️25 тысяч теңге - 4060 рублей.

✍️НУЦ - 10 тыс. действующих сертификатов

Ещё вчера количество действующих сертификатов приближалось к 10 тыс, а уже сегодня значительно превысило - 10404 на данный момент, 27395 всего выдано.

Около 500 сертификатов за последние сутки. Причина взрывного роста не повышение качества сервиса получения сертификатов и даже не подписание 210-ФЗ, а одиннадцатая волна массового отзыва сертификатов международными удостоверяющими центрами.

Доля сертификатов НУЦ, реально используемых в проме меньше одного процента от количества действующих.

6 июля вступила в силу "санкционная" поправка бюллетеня SC087 CA/B Forum, но сам отзыв сертификата - это тоже взаимодействие с подсанкционной стороной. После вступления в силу бюллетене - такое взаимодействие должно быть запрещено, но УЦ по своему трактуют данный пункт, GlobalSign, например, отзывал и до и после 6 июля.

✍️Об ЭП и УЦ