Об ЭП и УЦ

✍️Внесены изменения в требования к формату нотариально оформляемого документа в электронной форме Приказом Минюста от 29.09.2026 № 268 внесены изменения в пункты 3 и 8 Требований к формату нотариально оформляемого документа в электронной форме. Пункт 3 переписан полностью, если для документа предусмотрена XML-схема, то нотариус направляет получателю два файла: 🔹XML - для информационных систем, подписывается КЭП нотариуса. 🔹PDF - для визуализации XML-документа, содержит отметку об электронной подписи. Из пункта 8 исключено второе предложение о том, что ранее пакет из XML и PDF подписывался КЭП Нотариуса, про визуализацию речи не было. Первое предложение пункта 8 вызывает вопросы: Документ в электронной форме подписывается усиленной квалифицированной электронной подписью нотариуса, консульского должностного лица в формате PKCS#7 (отделенная электронная подпись в кодировке DER) PKCS#7 - устаревший формат, который не проходит проверку сервисом Головного УЦ. Не хочет Минюст ссылаться на 472 приказ Минцифры. Вот и думайте, какой смысл от экспертных советов с приглашением толпы людей, рабочих групп, форумов и конференций, если приказы министерств годами содержат грубейшие ошибки. ✍️"Об ЭП и УЦ"

📣Для всех пользователей Рутокен S (вдруг такие ещё остались)

🛡 «Проверка на прочность»: «мы проверяемся» ≠ «мы понимаем свои риски» Аудит пройден, пентест проведён, отчёт подписан. А утечка всё равно случилась. 14 октября в Москве форум «Проверка на прочность» разберётся, как не перепутать активность с результатом. На стыке права, данных и безопасности: 🔹 что на самом деле хочет регулятор (CISO Билайна, Т-Банка, МТС Банка, Райффайзена, HeadHunter, Почты России) 🔹 право на взлом: где граница между этичным хакером и нарушителем 🔹 ИИ в оценке защищённости: где помогает, а где создаёт новую иллюзию 🔹 подрядчики, которые могут уронить вас быстрее хакера 🔹 интерактивный мастер-класс Алексея Лукацкого «50 оттенков зелёного»: как метрики ИБ создают иллюзию защищённости 📍 14 октября, Холидей Инн Сокольники, 9:00–18:00 👉 Программа и регистрация: breakme-forum.ru ✍️Телеграм-канал "Об ЭП и УЦ" выступает медиа партнёром конференции

✍️CA/Browser Forum обновлены базовые требования - AIA, как опция По итогу голосования в рамках бюллетеня SC104 наличие расширения AIA установлено в значение SHOULD (необязательное), ранее было MUST. Также требование о наличии хотя бы одного параметра внутри расширения дополняется оговоркой "If present" (если присутствует). Объяснение данной корректировки простое - внутри расширения AIA уже существуют разные уровни обязательности для методов доступа. Расширение AIA (Authority Information Access) в сертификате показывает дополнительную информацию об удостоверяющем центре, выдавшем этот сертификат. В обязательном порядке включает адрес OCSP-службы для проверки статуса сертификата (метод id-ad-ocsp) и как опцию ссылку на сертификат УЦ (метод id-ad-caIssuers). Например, если в TLS-рукопожатии клиенту не хватает промежуточного сертификата, AIA может указать, где его скачать. Если ссылка на сертификат издателя опциональна, а адрес OCSP - обязательный, то обязательность AIA теряет смысл, указание адреса OCSP - потребует наличие расширения AIA, но если AIA отсутвует, то ни OCSP, ни ссылки на сертификат УЦ в сертификате не будет. Новая версия базовых рекомендаций 2.3.1 опубликована 04.10.2026. ✍️Об ЭП и УЦ

Пока премьер-министр страны на ИТ-форуме "Цифровые решения" поручает Минцифры проработать дополнительные возможности входа на портал Госуслуг или для восстановления доступа сама регистрация на ИТ-форум "Цифровые решения" представляет из себя... ручное указание личных данных, загрузка скан-копии паспорта. Не слишком ли избыточный обрабатываемый состав персональных данных? Это точно ИТ-Форум? Может к регистрации просто прикрутить вход через ЕСИА?

В Москве не умеют работать с электронными подписями и документами Да, согласны, заголовок провокационный и не про всю Москву мы, конечно, будем говорить)) Казалось бы, столица - это пример продвинутости и готовности к инновациям. Но это не всегда так. Сегодня поделимся историей, которая произошла в течение последней недели. Есть информационная платформа «PRO.Культура.РФ», которая позволяет учреждениям культуры анонсировать мероприятия на портале «Культура.РФ» и страницах других партнеров проекта. В том числе для того, чтобы пользователи Пушкинской карты (а это молодежь) могли быть ближе к культуре и искусству. Для возможности информировать о своем мероприятии на платформе надо направить заявление и вот тут начинается интересное. Заявление надо либо подписать электронной подписью, либо приложить скан с печатью. Как раз на этом этапе к нам и обратились за помощью в настройке процесса подписания, потому как ребята молодые и хотят пользоваться современными инструментами, а печать для ИП уже давно не обязательна. Настроили, подписали, отправили. Проходит время, ребята возвращаются: отказ, не подтверждено авторство заявителя. Вот тут стало по-настоящему интересно. Обращение в службу поддержки привело вот к такому ответу: надо, чтобы была синяя печать или синий штамп подписи на документе. Попытка выяснить у службы поддержки, почему правильно подписанный документ их не устраивает, успехом не увенчались. Чертыхаясь и грустя помогли визуализировать подписанный документ. Думали, что процесс закончился, но оказалось, что нет. Пришёл ответ: "В добавленном вами документе печать организации отсутствует или нечитабельна. Документ должен быть заверен синей или электронной печатью". Занавес. Работать с электронной подписью не умеют, служба поддержки ориентируется слабо, ещё и придумали новый термин "электронная печать". Цифровые сервисы - это хорошо, но при внедрении надо не забывать о необходимости иметь компетенцию, как всем этим пользоваться. 🚀 ЭДО для бизнеса #москва #пушкинскаякарта

​​🔖 Юридически значимая электронная почта ➤ Для общественного обсуждения представлен проект постановления Правительства Российской Федерации «Об электронной почтовой системе». Раздел по защите информации явно нуждается в доработке: взаимодействие с ГосСОПКА, противодействие КА и реагирование на КИ.

🔥Видео с PKI-Форума 2026 🔹Фильм памяти Владимира Георгиевича Матюхина (1945–2026) 🔹Стратегическая сессия «Куда и как развивается отрасль» 🔹Сессия 1 «Актуальные вопросы национального пространства доверия» 🔹Сессия 2 «Мобильная электронная подпись» 🔹Сессия 3 «Трансграничное признание иностранной ЭП» 🔹Сессия 4 «Новые отраслевые аспекты PKI» 🔹Сессия 5 «Правовые вопросы PKI, судебная практика» 🔹Сессия 6 «PKI в прикладных системах. PKI-проекты и продукты» 🔹Сессия 7 «Системный подход в отрасли PKI» 🔹Экспертная панель 1 «Критические аспекты надежности и устойчивости» 🔹Экспертная панель 2 «Электронные архивы с ЭП» 🔹Экспертная панель 3 «Электронная подпись» ✅Видео о прошедшем форуме 2026 года ✍️ Телеграм-канал "Об ЭП и УЦ" четвертый раз выступал информационным партнёром форума.

✍️ГОСТ сертификаты НУЦ: зазор есть, CT-логов нет С нашим каналом своим экспертным комментарием поделился Николай Лобанов, автор канала "На стадии обсуждения". Николай также направлял свои предложения к проекту приказа Минцифры о требованиях к сертификатам безопасности. Минцифры обработало мои предложения к проекту приказа о требованиях к сертификатам безопасности НУЦ. Кроме типового "Документ приведен в соответствие с требованиями законодательства РФ", в ответе нашлось одно место по существу, про журналы прозрачности: Гост сертификаты выпускаются через воздушный зазор. У подсистемы ГОСТ нету доступа к публичным логам. Что в проекте. DV и OV сертификаты на RSA должны содержать три SCT-метки, то есть пресертификат учитывается в CT-логе до выдачи (п. 117 и 169 приложения 1, дополнение 1.3.6.1.4.1.11129.2.4.2). В профилях DV и OV на ГОСТ такого требования нет. Зачем это владельцу домена. По CT-логу он видит сертификат, выпущенный на его домен без его ведома (RFC 6962, раздел 1). Если ГОСТ сертификаты НУЦ в логи не попадают, такой сертификат он не увидит. Почему зазор не довод. Встроить SCT-метку он действительно мешает: для этого пресертификат должен уйти в лог и вернуться с меткой до выдачи. Но учесть сертификат в логе можно и после выдачи, подать его туда может кто угодно (раздел 3.1 того же RFC). Выданный сертификат всё равно выходит из закрытого контура к владельцу. Тем же путём он может уйти и в лог. Какой лог его примет, отдельный вопрос: лог проверяет подпись цепочки и принимает только цепочки до корней из своего опубликованного списка (там же). Поэтому я предлагал, чтобы журнал вёл сам НУЦ или определённый им российский оператор, а сведения о журналах были записаны в порядке выдачи сертификатов. Ответ на это: "Предложения указанные в приложении будут учитываться при развитии". Статус: Частично учтено. Тема воздушного зазора актуальна не только в деятельности НУЦ, но и для АУЦ. Аккредитованный УЦ должен включить в Регламент перечень аппаратных средств, которые запрещается подключать к сетям общего пользования. - из презентации PKI-Форума 2017. Воздушный зазор между центром регистрации и центром сертификации, на флешке в одну сторону передаются файлы запросов на сертификаты, а в другую файлы сертификатов и CRL (однонаправленный шлюз не предлагать). Если бы это нашло применение на практике, то удалось бы АУЦ выйти на текущий уровень автоматизации выдачи сертификатов - около 70 тыс. в сутки? ✍️Об ЭП и УЦ

✍️Минцифры обработаны поступившие предложения на проект приказа о требованиях к сертификатам безопасности. На все 9 предложений от нашего канала получен типовой комментарий разработчика - Частично учтено: Документ приведен в соответствие с требованиями законодательства РФ. Предложения будут рассматриваться при развитии. Файл сводки предложений ещё не опубликован. ✍️Об ЭП и УЦ