Об электронной подписи - что, если... ? Исторический пост

"Что, если…?- мультфильмы от Marvel, в которых рассматриваются альтернативные истории развития её вселенной.

А что, если бы 476-ФЗ был принят в другой редакции - с нормой про полномочные сертификаты? 8 лет назад обсуждалась другая концепция развития сферы электронной подписи, где полномочия подтверждались бы не только МЧД.

Итак, представим:
🔹Аккредитованными УЦ являются только - Казначейство или подвед, Минцифры или подвед, Налоговая или подвед.
🔹Казна выдает сертификаты государственным органам, органам местного самоуправления и их должностным лицам, Минцифры - физическим лицам, Налоговая - юридическим лицам, индивидуальным предпринимателям и их должностным лицам.
🔹Подтверждение полномочий физлиц осуществляется через полномочный сертификат.
🔹Полномочные сертификаты органов госвласти, Банка России, внебюджетных фондов, иных госорганов, а также органов местного самоуправления выдает УЦ Казначейства, а полномочные сертификаты для сотрудников юрлиц - УЦ Минцифры.
🔹Сведения о созданных полномочных сертификатах передаются в федеральную государственную информационную систему, определенную Правительством.
🔹Доверенными лицами аккредитованных УЦ являются только МФЦ и нотариусы.
🔹Установлена госпошлина за выдачу квалифицированных сертификатов (кроме госорганов).
🔹Услуги ДТС для госсектора оказывает Минцифры (вправе привлекать иные организации), а для остальных - аккредитованные коммерческие организации.

✍️"Об ЭП и УЦ"

✍️PKCS#7 отменить нельзя оставить (поставьте запятую, где считаете нужным)

Простой поиск выдаёт десятки нормативных актов, содержащих формат подписи PKCS#7. Почему так получилось? Кто-то первым написал, другие бездумно скопировали.

В перечне и постановление Правительства с

Наличие на электронном документе одной или нескольких усиленных квалифицированных электронных подписей, исполненных в формате отделенной электронной подписи (PKCS#7) должностными лицами органа, выдавшего исполнительный документ.

а также приказы ФНС, ФССП, Судебного департамента, Минюста, СФР, метод.рекомендации ЕСИА и др.

PKCS#7 был разработан в 1991 году и в 1998 стал стандартом в рамках RFC 2315. Но уже в 1999 году на его основе разработан формат CMS и утвержден RFC 2630, актуальная версия CMS в настоящее время утверждена RFC 5652 в 2009 году.

CMS - эволюционное развитие PKCS#7: та же базовая структура SignedData, но с исправлениями для гибкости, однозначности кодирования и поддержки современных алгоритмов (включая российские ГОСТ). Именно поэтому 472 приказ Минцифры ссылается на CMS, а не на PKCS#7 (если бы не известные ошибки).

✍️"Об ЭП и УЦ"

📣Сертификаты безопасности для доменов Google и YouTube были выданы двумя центрами сертификации:
🔹Let's Encrypt: выдал 11 сертификатов.
🔹ZeroSSL: выдал 1 сертификат.

Всего было выдано 12 сертификатов для 7 доменов Google и YouTube. При этом УЦ не нарушили правила выдачи - проверка домена была пройдена из-за компрометации DNS❌

✍️"Об ЭП и УЦ"

✍️Сборник материалов
межведомственной научно-практической 
конференции "Борьба с криминальными рынками в России" от Университета прокуратуры (2020 год)

В рамках доклада "Особенности мошеннических действий в отношении имущества граждан и юридических лиц, совершенных путем подделки или неправомерного использования усиленной квалифицированной электронной подписи" в этом сборнике нашлось место и электронной подписи.

В докладе говорится об известном факте мошенничества о похищении квартиры с ЭП, но сделано это поверхностно, без анализа - а была ли там электронная подпись на самом деле. Пишут про ещё дело с ссылкой на mail.ru, которая сейчас нерабочая.

Так как автор доклада имеет отношение к органам МВД, он приводит следующую статистику:
🔹В 2019 году по данным статистической отчетности в территориальных органах МВД России зарегистрировано 1358 (0,48% от всех зарегистрированных IT-преступлений) преступлений, связанных с использованием ЭП. Данные противоправные действия становятся возможными вследствие неправомерного завладения и использования средств криптографической защиты.
🔹Анализом представленных в ГУЭБиПК МВД России информационно-справочных материалов установлено, что преступления рассматриваемой категории широкого распространения не получили. В 59 тер.органах внутренних дел, т.е. в 75% ТОВД преступления, связанные с использованием ЭП, в 2019 г. не зарегистрированы (прим. @ep_uc может их просто не регистрировали?)

Для сравнения, что писали СМИ Казахстана в это же время: в период с 2015-2018 гг. зарегистрировано 15 административных правонарушений (статья 640 КоАП РК), в 2019 году – 52 дела. За 9 месяцев текущего года установлено более 30 фактов незаконной передачи ЭЦП и более 5 случаев несоблюдения мер по ее защите.

✍️"Об ЭП и УЦ"

✍️Проект требований Минцифры к доверенному ПО

Минцифры разработало требования к доверенному ПО, документ размещён для общественного обсуждения.

Посмотрим, что там по нашей сфере:
🔹Почтовые приложения должны обеспечить использование сертифицированных средств электронной подписи с применением квалифицированных сертификатов в целях обеспечения целостности передаваемой информации в сообщениях электронной почты.
Только включение адреса электронной почты в состав квалифицированного сертификата, как и  oid 1.3.6.1.5.5.7.3.4 "Защищенная электронная почта", не является обязательным согласно 795-ФСБ.
🔹Требования к операционным системам и браузерам включают поддержку сертификатов безопасности национального удостоверяющего центра.
🔹Требование к браузерам под пунктом г)

обеспечивать взаимодействие с клиентской частью специализированной защищенной автоматизированной системы, предусмотренными постановлением Правительства Российской Федерации от 1 декабря 2021 г. № 2152 «Об утверждении Правил создания и использования сертификата ключа проверки усиленной неквалифицированной электронной подписи в инфраструктуре, обеспечивающей информационно-технологическое взаимодействие информационных систем, используемых для предоставления государственных и муниципальных услуг в электронной форме»

требует отдельного разъяснения.

Под этим страшным длинным названием скрывается инфраструктура Госключа по применению неквалифицированной электронной подписи. Пункт 28 данных Правил до настоящего времени не исполнен т.к. Минцифры не размещены на своем сайте сведения о формате сертификата ключа проверки усиленной неквалифицированной электронной подписи в  инфраструктуре, обеспечивающей информационно-технологическое  взаимодействие информационных систем, используемых для  предоставления государственных и муниципальных услуг в электронной  форме (1 декабря невыполнению нормы исполнится 5 лет).

✍️Об ЭП и УЦ

🗓Конференция ELMA DAY’26, 12 ноября — как меняется документооборот в эпоху ИИ

Как внедрять ИИ в ЭДО, масштабировать КЭДО на весь холдинг и доказывать бизнесу ценность автоматизации? Обсудим на ELMA DAY’26 в рамках отдельной секции «Электронный документооборот» в треке «Эффективность».

➡️ИИ в документообороте: практический кейс внедрения и новые сценарии работы с информацией.
➡️ЭДО в 2035 году: какие процессы ещё предстоит перевести в электронный формат и что ускорит изменения — государство, технологии или конкуренция?
➡️КЭДО в «ТехноНИКОЛЬ»: опыт внедрения в холдинге, сложности на производстве и путь от первых шагов к тиражированию.
➡️ROI автоматизации: как оценить не только экономию, но и влияние на скорость принятия решений, риски и прозрачность процессов?
➡️«Мировое кафе»: открытое обсуждение практических задач — от защиты бюджета на СЭД и миграции до внедрения ИИ, КЭДО в холдинге и организации архива.

Отдельно поговорим о развитии платформ управления документооборотом и контентом — от классических СЭД и ECM к новым возможностям с ИИ.

Для кого: руководителей крупного бизнеса и холдингов, CIO, CDTO и лидеров направлений ИТ, HR, цифровизации и документооборота.

📍12 ноября | Москва, кластер «Ломоносов»

Участвовать бесплатно☝️

Реклама erid: 2SDnjbvoaRy

❌Бухгалтеров-компрометаторов чужих ключей ЭП вычислят по ip в Казахстане

Налоговые органы смогут выявлять передачу носителей с ключами электронной подписи по IP-адресам, с которых сдают отчётность в Казахстане.

Совпадение ip-адреса у нескольких компаний и ИП станет поводом для вопроса проверяющих - кто на самом деле подписывал отчёты? При сдаче отчётности налоговые органы видят IP-адрес, с которого отправлен документ, и совпадение адресов у разных налогоплательщиков может стать поводом проверить, не передавал ли владелец ключ электронной подписи другому человеку.

Передача закрытого ключа электронной подписи другим лицам в Казахстане карается штрафом, как передающего, так и принимающего лица.

В России на протяжении многих лет бухгалтеры остаются главной причиной компрометации ключей электронной подписи.

​​📣 Некоторые изменения по безопасности при использовании ЭП ➤

Официально опубликован приказ ФСБ России от 25.09.2026 № 355 «О внесении изменений в некоторые нормативные правовые акты ФСБ России, устанавливающие обязательные требования в сфере государственной безопасности, связанные с использованием электронной подписи».

Три года назад была принята ошибочная норма - проверка срока действия закрытого ключа при признании КЭП (пункт 2.1 статьи 11 63-ФЗ, вступил в силу два года назад). В ответе УЦ Тензор речь идёт про проверку 15-летних сертификатов, ссылка идёт на тот же 457-ФЗ, но почему-то срок действия закрытого ключа не учитывается.

Вывод, что:

Подписи под документами, созданные в этот период, можно проверять на легитимность в течение 15 лет, даже если сам сертификат уже недействителен.

не соответствует действительности.

Пункт о 12-летних сертификатах был введен в действие с 15 августа 2023 года, как альтернативное условие для получения аккредитации УЦ, у которых размер капитала больше 1 млрд, но меньше 2 млрд, и отсутствует присутствие в 3/4 субъектов страны.

Эффективность ни 12, ни 15-летних сертификатов на практике подтверждение не показала, поэтому УЦ Тензор, как и другие УЦ, отказались от выдачи таких сертификатов. Только для получения аккредитации с целью формального соблюдения закона парочку можно выдать 😁.

✍️Об ЭП и УЦ

📣Удостоверяющий центр Федерального казначейства в рамках плановой смены 22.09.2026 получил новый подчиненный сертификат от Головного удостоверяющего центра.

Сертификат УЦ ФК опубликован на официальном сайте в разделе УЦ. Переход на создание сертификатов заявителям УЦ ФК с использованием нового сертификата произошел 05.10.2026.

Пост выходного дня. ЕСИА, паспорта и "уникальные сведения" - ответ Минцифры на запрос банковской ассоциации

Ассоциацией банков России (не путаем с АРБ) получен долгожданный ответ Минцифры от 08.10.2026 на запрос от 20.04.2026 о правилах проверки и обновления сведений, размещаемых в ЕСИА.

Из полученного ответа следует:
🔹в СМЭВ реализован подписочный вид сведений, который позволяет третьим лицам получать обновленные данные пользователей ЕСИА, но только участникам эксперимента 710-ПП и только при наличии заранее выданного согласия физлица.
🔹Минцифры прямо указано, что МВД России в настоящее время не направляет обновленные сведения в ЕСИА, хотя обязанность такая предусмотрена. Обновление паспорта сейчас идет либо через личный кабинет на Госуслугах, либо из Единого реестра населения (ЕРН) с последующей проверкой в системе МВД. Информация о недействительности паспорта не передается ни в рамках 710-ПП (ещё вернёмся применительно к нашей сфере), ни из ЕРН, соответственно, не может быть передана из ЕСИА во внешние системы.
🔹"уникальные сведения" - данные, оператором и источником которых является ведомство: паспортные данные, СНИЛС, адрес регистрации по месту жительства.

Для кредитных организаций ЕСИА позиционируется как альтернатива при недоступности СМЭВ. Но пока МВД не наладило автоматическую передачу, банкам не стоит рассчитывать на оперативное получение статуса недействительности паспорта через подписку - этот риск нужно закрывать собственными процедурами идентификации.

ЕСИА - согласно пункту 3 части 1.1 статьи 18 63-ФЗ, один из способов с использованием которого осуществляется подтверждение достоверности сведений, перечисленных в пунктах 1 и 2 части 1 статьи 18 63-ФЗ, необходимых для выдачи сертификата. Если достоверность сведений в ЕСИА оставляет желать лучшего, то как Аккредитованным УЦ использовать данный способ? В отличие от банковской сферы в нашей нет ассоциаций, которые могли бы задать вопрос регулятору.

А ответ простой - никак, также, как и использование ИС ФОМС с ЕИС нотариата, которые для чего-то предусмотрены пунктом 2 части 1.1. ст. 18 63-ФЗ.

✍️Об ЭП и УЦ

✍️Цифровой профиль и сведения о сертификатах

Постановлением Правительства от 03.06.2019 № 710 был дан старт эксперименту по повышению качества и связанности данных в государственных информационных ресурсах. Эксперимент проводится с 1 июля 2019 года по 31 декабря 2030 года (срок продлевался, последняя редакция - от 23.09.2026).

Основные цели эксперимента:
🔹создание и тестирование инфраструктуры цифрового профиля - механизма, который позволит гражданам и организациям получать доступ к своим данным из госсистем и передавать их (с согласия) в банки, страховые компании, операторам связи и другим организациям для упрощения получения услуг.
🔹создание и развитие Национальной системы управления данными (НСУД) - платформы для повышения качества, полноты и связанности данных в госресурсах.

Гражданин через портал Госуслуг (или приложение) может видеть свои данные из разных ведомств, проверять их, запрашивать корректировку и давать согласие на передачу этих данных организациям, например, для заполнения заявки на кредит или страховку.

Эксперимент идёт восьмой год, последние изменения уточнили перечень участников и сроки подключения к обмену данными, перечень сведений - довольно широкий, есть, например, сведения о выдаче государственного сертификата на материнский (семейный) капитал, а вот сведений о выдаче квалифицированных сертификатов - нет, несмотря на то, что аккредитованные УЦ передают эту информацию в ЕСИА.

Норма закона, согласно которой аккредитованный УЦ при выдаче квалифицированного сертификата направляет в ЕСИА сведения о лице, получившем квалифицированный сертификат, была введена в 63-ФЗ (часть 5 статьи 18) Федеральным законом от 12.03.2014 № 33-ФЗ.
Спустя год, 19.03.2015 Минкомсвязь (тогда ещё) опубликовала новость об обеспечении возможности аккредитованным УЦ вносить информацию в ЕСИА о выданных ими квалифицированных сертификатах посредством сервиса в СМЭВ 2.0
Более 4 лет УЦ (не все конечно) передавали сведения о сертификатах в ЕСИА, которые просто накапливались без дальнейшего использования.
Норма, что Правительство РФ устанавливает Требования к порядку предоставления владельцам квалифицированных сертификатов сведений о выданных им квалифицированных сертификатах с использованием ЕПГУ была внесена в 63-ФЗ только в 2019 году, знаменитым Федеральным законом от 27.12.2019 № 476-ФЗ.
Ещё спустя год появились сами Требования, они утверждены постановлением Правительства РФ от 28.12.2020 № 2309. При этом фактически сведения о выданных сертификатах стали доступны до подписания данного постановления, 15 сентября 2020 года об этом сообщил официальный канал Удостоверяющего центра Федерального казначейства и только 5 октября сайт Минцифры России.

Будет логичным и правильным включение в состав сведений цифрового профиля данных о выданных квалифицированных сертификатов, тем более, что эти данные уже аккумулируются в инфраструктуре СМЭВ и отображаются в личном кабинете Госуслуг.

✍️Об ЭП и УЦ

✍️В прошлом году в голосовании насчёт отметки об электронной подписи 2/3 проголосовали за её необходимость.

И в 2026 году данный вопрос продолжает оставаться дискуссионным и у сторонников её ненужности появляются новые доводы.
Например, прилагаемый ответ канцелярии Волоколамского городского суда (спасибо подписчику за пример) - "Электронный образ обращения в суд не содержит графической подписи лица, обратившегося в суд". Порядок подачи в федеральные суды общей юрисдикции документов в электронном виде не содержит такого требования, а вот PKCS#7 содержит🙈