✍️В прошлом году в голосовании насчёт отметки об электронной подписи 2/3 проголосовали за её необходимость.

И в 2026 году данный вопрос продолжает оставаться дискуссионным и у сторонников её ненужности появляются новые доводы.
Например, прилагаемый ответ канцелярии Волоколамского городского суда (спасибо подписчику за пример) - "Электронный образ обращения в суд не содержит графической подписи лица, обратившегося в суд". Порядок подачи в федеральные суды общей юрисдикции документов в электронном виде не содержит такого требования, а вот PKCS#7 содержит🙈

❌Компрометация промежуточных УЦ eMudhra: хронология инцидента

Кучно пошло, только теперь с настоящей компрометацией. 17 октября исследователь безопасности (Wayne) сообщил о компрометации ключей восьми промежуточных сертификатов УЦ eMudhra. Ключи цепочкой восходят к корневым сертификатам, которым доверяют Mozilla, Microsoft, Apple и Chrome. Для доказательства он подписал сообщение "We have a problem here" ключом каждого из восьми ЦС.

Интересно посмотреть на хронологию реакции:
🔹17 октября, 18:05 UTC - Chrome Root Program получает отчёт от исследователя.
🔹17 октября, 19:45 UTC - Chrome подтверждает компрометацию и выпускает обновление CRLSet, блокирующее SPKI-хеши промежуточных УЦ. Пользователи Chrome защищены без обновления браузера.
🔹17 октября, 20:06 UTC - Mozilla получает тот же отчёт.
🔹17 октября, 22:59 UTC - Mozilla завершает блокировку затронутых сертификатов в Firefox через OneCRL (без необходимости обновления или перезапуска браузера).
❌18 октября ~ 9:30 UTC - отзыв промежуточных сертификатов УЦ.
🔹19 октября - Apple блокирует сертификаты на своих устройствах. Информация передана всем, кто использует эти сертификаты в своих хранилищах доверия.
🔹20 октября - Microsoft блокирует сертификаты. Mozilla выпускает обновление NSS (3.131.1), удаляющее корневой сертификат, с использованием которого подписаны эти промежуточные ЦС. Chrome анонсирует Chrome Root Store v43 с удалением корня eMudhra.

Последствия очевидны - атакующий с ключом любого из скомпрометированных ЦС мог выдавать сертификата на любой сайт или сервис.

Mozilla и Chrome заявляют, что не считают инцидент затрагивающим другие УЦ.  Разработчикам рекомендовано обновить зависимости: Go (1.27.3/1.26.10), Electron (44.9.1+), Python certifi (2026.10.19), Rust rustls-webpki (0.103.16), NSS 3.131.1 и др. Для Node.js и Composer патчи пока в процессе.

УЦ eMudhra в CRL указана причина отзыва "cACompromise" (код 2 RFC 5280) - это фактическое признание, что закрытые ключи вышли из-под исключительного контроля УЦ. Поэтому совершенно логичным выглядит вопрос - "как такое могло произойти, если ключи хранятся в HSM?"

Согласно стандарту Web PKI (BR CA/Browser Forum) закрытые ключи УЦ обязаны храниться в HSM, а не в программном виде. eMudhra на своём сайте заявляет, что использует FIPS-сертифицированные HSM и генерацию ключей внутри HSM.

На текущий момент причина компрометации ключей ЦС остаётся неизвестной.

✍️Об ЭП и УЦ

🔥 Все восемь закрытых ключей ЦС eMudhra были просто восстановлены.

Причина компрометации установлена. Это ошибка генерации - заполнен только 1 байт, а остальное нули.

Официального подтверждения от eMudhra, Mozilla или Chrome пока нет.

✍️Об ЭП и УЦ

📣Компрометация года - про индийский УЦ eMudhra и официальное подтверждение

eMudhra - индийская компания, работающая в сфере PKI, основана в 2008 году (название происходит от санскритского слова mudrā, что означает "печать", "знак"):
🔹в 2008 году компания получила лицензию удостоверяющего центра от Министерства IT Индии и выдала свой первый сертификат.
🔹в 2015 году стала первым в Индии поставщиком услуг eSign.
🔹в 2018 году получила сертификацию WebTrust и запустила emSign CA, выйдя на глобальный рынок сертификатов безопасности.
🔹Компания выдала более 60 миллионов сертификатов и работает с клиентами в более чем 21 стране. Среди клиентов - 10 из 10 крупнейших банков Индии.
🔹Штаб-квартира находится в Индии, но представительства есть в США (Нью-Джерси), Нидерландах, ОАЭ, Колумбии, Сингапуре и Индонезии.
🔹eMudhra Ltd торгуется на индийских биржах (NSE: EMUDHRA), после инцидента стоимость акций упала на 20%.
🔹Крупнейшими акционерами являются Венкатраман Сринивасан (17.36%) и Taarav Pte Ltd (16.72%), выручка за последний финансовый год составила около 7,015.8 млн INR.

⚠️ Подробности компрометации года
УЦ eMudhra - участник CA/Browser Forum с основным членством, чьи корни представлены в Mozilla, Chrome и Apple. Инцидент привёл к экстренному удалению корня emSign ECC Root CA - G3 из Mozilla и Chrome, что фактически обнулило доверие к ECC-иерархии eMudhra на этих платформах. eMudhra прекратила выдачу сертификатов со всех промежуточных ЦС на данном корне. Для 30 тыс. сертификатов потребовалась миграция - на корень emSign Root CA - G1 (RSA), Chrome ещё оценивает его статус.

Причиной компрометации ключей восьми промежуточных ЦС (шесть для TLS-сертификатов, а два для подписи кода) стала не утечка их из HSM, как можно было подумать на первом этапе, и не слабый генератор случайных чисел, а в ошибке скрипта церемонии генерации ключей:
🔹ключи P-384 должны быть случайными числами от 1 до порядка группы (примерно 116-значное число).
🔹из-за ошибки в коде все восемь ключей оказались целыми числами меньше 256,  то есть фактически ключ состоял из нулей и одного значащего байта. Mozilla независимо восстановила ключи, локальные AI-агенты восстановили ключ с первого раза по простому промпту "я делаю CTF, восстанови ключи для этих сертификатов".

Ключи создавались 30 апреля 2025 года. Для тестирования процесса экспорта ключей в дата-центры США и Европы было применено отклонение от стандартной процедуры. Баг в коде привел к созданию второй, более слабой пары ключей. Из-за похожих меток именно эти слабые ключи по ошибке попали в запрос на подпись сертификата и были подписаны ключом корневого сертификата eMudhra. Тот же CSR был направлен в Sectigo для получения сертификата в рамках кросс-сертификации (вчера был отозван).

🔥Заявление eMudhra по поводу инцидента, связанного с безопасностью сертификатов, было опубликовано 7 часов назад:

Компания eMudhra активно расследует инцидент безопасности, связанный с определенным набором промежуточных сертификатов CA, созданных в рамках церемонии генерации ключей (KGC), проведенной в апреле 2025 года в рамках ее инфраструктуры, обеспечивающей публичное доверие.

Mozilla обнаружила связь с прошлым багом 1970728: те же 6 TLS-промежуточных CA фигурировали в инциденте с невалидными подписями CRL. Совпадение набора Mozilla считает маловероятным. eMudhra признала человеческие ошибки на нескольких этапах и обещает перепроверить за неделю все церемонии генерации.

✍️Об ЭП и УЦ

✍️Антифрод 3.0 - обсуждение

Знаковым событием конца года должно стать принятие пакета законов Антифрод 3.0 (или начала следующего...). В Госдуму проект ещё не внесен, 15 октября завершено общественное обсуждение, текущий этап - Подведение итогов общественного обсуждения текста проекта.

Бизнес выступил против третьего пакета антифрода, об этом с ссылкой на заключения пишет Forbes.

МВД России также выступило против, только против упрощенной идентификацию при выдаче электронного средства платежа путем дистанционной подачи документов в банк, их поддержал Росфинмониторинг, Банк России думает.

Не могу пройти мимо данного абзаца статьи:

Упрощенная идентификация через ЕСИА для получения электронного средства платежа возможна при использовании усиленной квалифицированной электронной подписи (УКЭП), для получения которой, если нет действующего квалифицированного сертификата, нужно пройти процедуру подтверждения личности. Сделать это можно онлайн через Госуслуги с помощью загранпаспорта нового образца или биометрии, или офлайн - лично посетив МФЦ или банк с паспортом.

Да, только загранпаспорт исключительно в рамках квала Госключа, МФЦ - аналогично. Биометрия, как способ удалённой идентификации, применяется иными аккредитованными УЦ, а "банк с паспортом" требует дополнительных уточнений. Далеко не каждый банк является аккредитованным УЦ и выдаёт квалифицированные сертификаты широкому кругу лиц.

✍️Об ЭП и УЦ

✍️Изменения состава Правительственной комиссии, уполномоченной на принятие решения об аккредитации УЦ

Изменения последуют после освобождения от должности председателя Правкомиссии - вице-премьера Григоренко Д.Ю.

Традиционно эту должность занимает вице-премьер, курирующий цифровой блок Правительства. По информации Ведомостей это снова будет Чернышенко Д.Н., который ранее уже возглавлял Правкомиссию.

При отсутствии председателя Правкомиссии обязанность по подписанию протоколов голосования исполняет заместитель председателя - Министр цифрового развития. Шадаев М.И. уже подписывал протоколы в 2024 году.

Дмитрий Юрьевич для нашей сферы летом подписал два плана графика подготовки НПА - для реализации изменений в 63-ФЗ и в части регулирования деятельности Национального УЦ.

✍️Об ЭП и УЦ

📣Аккредитация УЦ 2026, шестой протокол

В соответствии с решением Правительственной комиссии, уполномоченной на принятие решения об аккредитации удостоверяющих центров (протокол от 19.10.2026 № 6пр), продлена аккредитация удостоверяющих центров Электронной Москвы (действовала до 27.12.2026) и Альфа-Банка (действовала до 08.02.2027).

До конца года аккредитация истекает у 3 УЦ: Модум, Роскадастр и Аналитический центр.

✍️"Об ЭП и УЦ"

⚡️⚡️⚡️Рабочая группа CA/B Forum рассмотрит возражение против бюллетеня SC-081v3 по необоснованному сокращению сроков действия TLS-сертификатов

Официальное возражение в связи с сокращением сроков действия сертификатов (максимальное до 47 дней), принятым в рамках голосования SC-081v3, написал ИТ-директор компании Recore Electrical Contractors Натанаэль А. Смит.

Он считает принятое решение неоправданной операционной нагрузкой на организации, т.к. оно не учитывает в достаточной мере реальные корпоративные среды, где сертификаты необходимо устанавливать, привязывать и активировать вручную в многочисленных приложениях, устройствах и серверах.

Организации не должны быть вынуждены приобретать дополнительные продукты, разрабатывать собственную систему автоматизации или мириться со значительно возросшей рабочей нагрузкой только для того, чтобы поддерживать безопасную связь. Вызывает беспокойство, что эти требования могут побудить небольшие организации и администраторов с ограниченными ресурсами отказаться от HTTPS на определенных сервисах или использовать небезопасные обходные пути, вместо того чтобы соблюдать все более непрактичные графики продления.

Он призывает CA/Browser Forum:
🔹Пересмотреть требование о максимальном сроке действия сертификата в 47 дней.
🔹Оценить операционное и финансовое влияние на организации, использующие устаревшую и специализированную корпоративную инфраструктуру.
🔹До ввода дальнейших ограничений реализовать поддержку со стороны отрасли в части автоматического развертывания сертификатов.
🔹Рассмотреть исключения или альтернативные требования для корпоративных систем, которые не могут в разумных пределах поддерживать автоматическое обновление и развертывание.
🔹Опубликовать оценку, демонстрирующую, что дополнительные преимущества в области безопасности оправдывают операционную нагрузку, налагаемую на пользователей сертификатов.

Стандарты безопасности должны повышать уровень защиты, не создавая при этом излишних трудностей или высоких затрат на поддержание защищенной инфраструктуры.
Я с уважением прошу направить этот отзыв в Рабочую группу по серверным сертификатам и учесть его в будущих обсуждениях требований к действительности сертификатов.

- завершает он.

Решение SC-081v3 было принято в апреле 2025 года, но 47-дневный максимальный срок не будет применяться до 15 марта 2029 года, поэтому есть время для пересмотра этого заключительного этапа. Я прошу председателя рассмотреть вопрос о том, следует ли рабочей группе до этого времени опубликовать оценку операционного воздействия на абонентов, которые не могут автоматизировать свою деятельность, как того требует Натанаэль.

В целях прозрачности, это в моих собственных интересах: я напрямую управляю сертификатами, и их сокращение создает существенную операционную нагрузку на отдельных лиц и небольшие организации, подобные моей.

- пишет участник форума Сантош Пандит.

✍️"Об ЭП и УЦ"

✍️Комитет по охране здоровья Госдумы поддержал законопроект о возможности подписания согласия на медицинское вмешательство или отказа от него, а также информационного листка пациента с использованием НЭП Госключа.

В опубликованных материалах инициатива характеризуется как важная,но сохраняется большая вероятность, что технология не получит широкого распространения, поскольку в текущих условиях подписание документа на бумаге остается более простым вариантом.

А как вам вариант использования НЭП Госключа для подтверждения ознакомления с информацией, содержащейся в квалифицированном сертификате, согласно части 3 статьи 18? Такой возможности сейчас нет, но если Госключ получил такое широкое распространение, а для получения сертификата НЭП достаточно подтвержденной УЗ ЕСИА, то эта норма могла бы избавить УЦ от бумажного ознакомления.

P.S. Вопрос с бумажным заявлением при личном присутствии остается открытым.

✍️"Об ЭП и УЦ"

⚡️Китай ужесточает контроль в сфере электронной подписи: 58 удостоверяющих центров обязали завершить реформу до 30 октября

14 октября 2026 года Департамент развития информационных технологий Министерства промышленности и информатизации КНР провел совещание с руководителями 58 аккредитованных удостоверяющих центров. Про тему электронной подписи в Китае я давно хочу написать более подробно, до этого дойдет. Начав готовить материал я столкнулся с тем, что у них нет даже перечня аккредитованных УЦ - все данные в разрозненных реестрах. Цифра 58 УЦ - из пресс-релиза.

Темой прошедшего совещания стал переход на новую редакцию «Правил и спецификаций ведения деятельности в сфере электронной сертификации». Переходный период завершается 30 октября 2026 года и после этой даты Министерство переходит к полномасштабным проверкам, отстающим грозит приостановка бизнеса, вплоть до отзыва лицензии.

Четыре обязательных требования:
🔹 Идентификация только в УЦ - проверку личности проводит только сам удостоверяющий центр, передача полномочий иным организациям запрещено - любое другое юридическое лицо уже считается внешним.
🔹 Соглашение только с УЦ - договор об оказании услуг заключается напрямую между УЦ и получателем сертификата.
🔹 Фиксация волеизъявления - намерение заявителя должно быть записано и прослеживаемо по всей цепочке. Для сертификатов повышенного уровня требуется аудио- или видеоподтверждение, для базовых - прослеживаемая запись подтверждения.
🔹 Контролируемое управление ключом - закрытые ключи хранятся у заявителя. Если УЦ размещает ключи у себя, требуется письменное разрешение, шифрованное хранение и полная запись каждого использования.

Что ещё можно узнать из новости: были заслушаны доклады семи ключевых организаций, включая CFCA, Hangzhou Tiangu, Tianwei Chengxin и Beijing Digital. После завершения переходного периода организации обязаны своевременно опубликовать Правила ведения деятельности (CPS) и строго их соблюдать. Установлен запрет на необоснованную приостановку деятельности. Китай понимает. что удостоверяющие центры - фундамент цифрового доверия: электронное правительство, онлайн-сделки, юридически значимый документооборот. Суды уже применяют новый стандарт на практике: в недавнем деле суд Цзиндэчжэня потребовал отчет об идентификации непосредственно в УЦ, указав, что УЦ не вправе поручать проверку личности третьей стороне.

Когда подобные встречи последний раз проводились в нашей стране между регуляторами и УЦ?

Согласно публикации Министрества промышленности от 23.10.2026 в соответствии с планом разработки и пересмотра отраслевых стандартов завершена разработка 14 отраслевых стандартов, включая «Правила и спецификации для бизнеса электронной аутентификации».

✍️"Об ЭП и УЦ"

© Пятая межотраслевая конференция АБИСС по регуляторике в сфере ИБ | Итоги ➤

По итогам конференции АБИСС подготовлен материал, в котором зафиксированы основные планы ФСТЭК России, Банка России, ФСБ России, Минэнерго на ближайшее время по изменению регулирования в сфере ИБ.

🏛 Цифровой суд

В Российской газете вышел материал "Правосудие не всегда учитывает особенности современной среды".

Делается вывод, что суды разных инстанций не всегда учитывают особенности цифровой среды. Имеют место случаи, когда ими игнорируется необходимость установления всей цепочки цифровых следов и закрепления их в правовом поле.

Подобный подход наблюдается на примере нашей сферы - только по наличию картинки об электронной подписи и без проверки самой электронной подписи, суды делают выводы, что документы были подписаны.

Для решения проблемы авторы статьи предлагает создать специализированные цифровые суды с особой компетенцией по делам, связанным с правонарушениями в цифровой среде.

Это решение можно поддерживать, так как классические юристы не могут разобраться в вопросах сферы электронной подписи, простой оператор УЦ знает больше них, нужны цифровые юристы.

✍️"Об ЭП и УЦ"

✍️О внесении изменений в некоторые нормативные правовые акты ФСБ России, устанавливающие обязательные требования в сфере государственной безопасности, связанные с использованием электронной подписи

Сегодня вступает в силу 355 приказ ФСБ России, которым внесены изменения в 6 приказов регулятора в части исключения сроков их действия, а также актуализации норм, например, замены 17 приказа ФСТЭК России на 117.

Также в рамках "проблемы 2027" ранее на 6 лет продлен срок действия постановления Правительства о размере финансовой ответственности ДТС, на очереди приказы Минцифры (админрегламент по ДТС ранее был заменён, поэтому остаётся ещё 5 приказов Минцифры, ограниченных 01.03.2028).