Минцифры наконец-то перешло на использование сертифицированной криптографии - TSL-перечень аккредитованных УЦ подписывается с использованием сертификата, ключ ЭП которого был сгенерирован с использованием КриптоПро CSP сборки 5.0.13000.

До этого более года подписание в инфраструктуре электронного правительства осуществлялось с использованием сертификата, ключ которого был сгенерирован на несертифицированной сборке.

Госуслуги - всплеск жалоб
Регионы - Москва, Тюменская область
Теги - не работает, госуслуги, сайт

📢 DownDetector.su

Что наш канал помнит про Национальный удостоверяющий центр, самая полная хронология:

🔹июль 2016, начало создания НУЦ - поручение Президента Пр-1380: Обеспечьте разработку и реализацию комплекса мероприятий, необходимых для поэтапного перехода федеральных органов исполнительной власти, органов государственной власти субъектов Российской Федерации, государственных внебюджетных фондов, органов местного самоуправления на использование российских криптографических алгоритмов и средств шифрования в рамках исполнения полномочий при электронном взаимодействии между собой, с гражданами и организациями.
🔹 декабрь 2020 - НИИ «Восход» объявило тендер на вторую очередь создания Национального удостоверяющего центра
🔹 ноябрь 2021 - Минцифры России в адрес субъектов Российской Федерации направлена информация о завершении в 4 квартале 2021 г. работ по созданию НУЦ.
🔹 февраль 2022 - стало известно о разработке законопроекта о НУЦ
🔹 март 2022 - на портале Госуслуг доступно получение RSA-сертификатов, в промежуточную версию КриптоПро CSP 5.0 R3 добавлена поддержка корневых сертификатов НУЦ: RSA и ГОСТ
🔹 апрель 2022 - переход первых ГИС на TLS сертификаты от НУЦ
🔹 сентябрь 2022 - технология выдачи TLS сертификатов на базе НУЦ - победитель в номинации "Проект года" PKI-Форума, выдано 3,3 тыс. сертификатов
🔹 ноябрь 2022 - в Госдуму внесён законопроект о внесении изменений в 149-ФЗ и создании информационной системы НУЦ
🔹 февраль 2023 - сайт ФСТЭК России перешёл на TLS сертификат от НУЦ
🔹 декабрь 2023 - положение о НУЦ войдёт в 63-ФЗ
🔹 май 2024 - более суток CRL НУЦ был неактуален
🔹 октябрь 2024 - переход ЕИС Госзакупок на сертификат от НУЦ
🔹 ноябрь 2024 - законопроект о НУЦ, который до Госдумы не дошёл
🔹 май 2025 - требование по поддержке сертификатов НУЦ браузерами появилось в проекте постановления Правительства
🔹 июнь 2025 - норма о НУЦ включена в новый антифрод-пакет, доля отечественных сертификатов составляет около 0,3 %
🔹 июль 2025 - НУЦ всего выдал 16,7 тыс  сертификатов, из них действующих около 5,6 тыс.

🔍 Разбираем изменения в статье 11 Федерального закона 63-ФЗ

Как менялись условия признания квалифицированной электронной подписи. Ключевые изменения по годам представлены на слайде.

Что изменилось? 
1️⃣ 2015 (445-ФЗ) – Уточнение формулировки: 
   - Было: средства ЭП, "получившие" подтверждение соответствия. 
   - Стало: "имеющие" подтверждение (более точная формулировка, обозначает, что средство ЭП должно иметь действующий сертификат соответствия на момент создания/проверки КЭП). 

2️⃣ 2019 (476-ФЗ) – Упрощение правил: 
   - Было: необходимо учитывать ограничения из сертификата. 
   - Стало: требование отменено. 

3️⃣ 2023 (457-ФЗ) – Новое требование: 
   - Добавлена проверка срока действия ключа подписи (не только сертификата).

Сегодня в издании РБК вышла статья под названием «MAX стал обязательным для получения документов на электронную подпись», которая вызвала реакцию регулятора сферы электронной подписи - Минцифры.

Все замечания Минцифры сводятся к заголовку статьи, которое кстати было изменено на "Мах стал обязательным для подписи через «Госключ» для части документов". Но нужно читать статью полностью. Ошибки конечно есть, но они в комментариях опрошенных респондентов при минимальных комментариев представителя Минцифры:

При этом по закону требование об обязательном подписании документов с помощью УКЭП и УНЭП через Max не применимо «для реализации полномочий госорганов».
Представитель Минцифры не пояснил, что значит эта формулировка. В то же время он сообщил РБК, что визирование документов электронной подписью будет, как и раньше, проводиться в приложении «Госключ». «В законе речь идет об эксклюзивном бесшовном взаимодействии «Госключа» с национальным мессенджером, что позволит упростить направление и получение на подпись документов», — сказал он, объяснив, что документы можно будет просто направить в чат мессенджера. От других комментариев представитель ведомства отказался.

Уже на комментарий ведомства РБК опубликована ещё одна статья "Минцифры опровергло обязательность Max для электронной подписи".

А заголовок новости от Минцифры "Для подписания электронных документов действует приложение «Госключ»" разве корректный, если уже придираться к заголовкам? Госключ не единственная технология, которую можно использовать для подписания.

Минцифры пишет:

В законе идёт речь только про подпись документов в «Госключе». Он не затрагивает другие сервисы для подписания документов электронной подписью.

Но ведь в законе некорректно написано, часть 10 статьи 1:
... сертификат ключа проверки которых создан и используется в инфраструктуре - здесь отсылка на постановление 2152, но данное постановление только про НЭП, применительно к КЭП такая инфраструктура не существует.

Если Минцифры так оперативно опровергает новости, которые и внимания ведомства то не стоят, то как оперативно будут опровержения:
🔹ни одно сертифицированное средство электронной подписи в стране не выполняет требования приказа Минцифры от 14 сентября 2020 года N 472 о формате электронной подписи.
🔹ни один удостоверяющий центр в стране не выполняет норму части 3 статьи 18 63-ФЗ, как она сейчас написана, в части ознакомления с информацией о квалифицированном сертификате.
🔹в 2020 году граждане, которые в период пандемии были лишены возможности посетить удостоверяющий центр, не были обеспечены трехмесячными квалифицированными сертификатами. Ни один аккредитованный УЦ технически не был готов выполнить норму 166-ФЗ.
🔹более года Минцифры использовало несертифицированное средство электронной подписи (в том числе для подписания XML-представления аккредитованных УЦ) в инфраструктуре электронного правительства.
🔹Госуслуги не оповещают о приближении окончания срока квалифицированных сертификатов от УЦ ИИТ, полученных через Госключ.

P.S. «Я думаю, что летом коллеги сделают большую презентацию публичную, как поэтапно функционал будет создаваться и реализовываться», — министр М.И. Шадаев (цитата с ТАСС).
Остался последний месяц лета.

А нужна ли вообще отметка об электронной подписи?

В комментариях ко вчерашней новости о новом ГОСТ по требованиям к оформлению документов подписчиками высказаны две противоположные точки зрения:

❌Отметка не нужна:

Наличие штампа на электронном документе вводит в заблуждение рядовых пользователей а за ними и всю судебную  систему.
Многие начинают (как минимум) требовать его наличие на документе перед подписанием второй стороной, например.
Или вовсе не понимают, что штамп - это не электронная подпись.
Вместо автоматизации проверки подписи и пересмотра инструментов визуализации dsig (например), мы только усугубляем ситуацию, потому как теперь (по логике) надо хранить:
Исходный документ
Файл подписи (если откреплëнная)
И документ со штампом, что есть электронная подпись

✅Отметка нужна:

для человека... пока он есть в процессе эдо, эти  человекочитаемые артефакты нужны.

Моё мнение, что отметка нужна, но с дополнительными пояснениями, что в системе ЭДО присутствует документ подписанный настоящей ЭП, и с дополнительными реквизитами (например, сведения об УЦ).

Какая отметка точно не нужна - которую ставят суды. Она неправильная начиная с места нахождения в документе, а также реквизитов: дата - чего дата? Подписи, выдачи сертификата? Зато есть сведения об УЦ... такой вот симбиоз.

При подозрительных действиях с учётной записью ЕСИА блокируется вход на "чувствительные ресурсы" (к которым относится Госключ). Норма введена законом о борьбе с кибермошенничеством. Блокировка действует в течение 72 часов. Разблокировка через личное посещение МФЦ, при этом не все МФЦ знают как проводить разблокировку.

Госключ до начала работы стал выводить соответствующую информацию.

Какие именно "чувствительные" ресурсы и какие конкретные подозрительные действия приводят к блокировке учётной записи не раскрывается.