Замечания ИТ-комитета Госдумы к новому законопроекту о борьбе с киберпреступностью

Комитет Госдумы по информационной политике одобрил законопроект № 1110676-8, но с длинным списком замечаний.

Главные риски и противоречия:

🔹1. Противоречия внутри законопроекта.
Статья 2 даёт Банку России право устанавливать лимиты на количество платежных карт, а статья 7 уже устанавливает жёсткий лимит: не более 20 карт на человека.

🔹2. Запрет международных звонков "по-умолчанию".
Звонки с иностранных номеров на стационарные телефоны могут блокироваться автоматически. Это ударит по пожилым людям, которые могут ждать звонков от родных из-за границы. Комитет предлагает ввести механизм исключений.

🔹3. Риски для несовершеннолетних.
Родители обязаны сообщать оператору, если передают свой номер ребёнку. Но зачем? Цели неясны, ответственности за неисполнение нет, а база данных детей может стать мишенью для злоумышленников.

🔹4. Реестр "плохих" номеров: угроза для невиновных.
Если номер попал в реестр "подозрительных", его могут заблокировать. Но что, если номер потом перевыдали новому абоненту? Он унаследует проблемы предыдущего владельца. Механизм исключения из реестра не прописан.

🔹5. Информационная система как "начальник".
Государственная информационная система сможет давать обязательные указания операторам связи. Но система - не субъект права, у неё нет правоспособности, нарушение базовых принципов права.

🔹 6. Размытые критерии "запрещённой информации".
Закон позволяет блокировать информацию, которая "вводит в заблуждение". Но что под этим понимается? Чётких критериев нет.

🔹 7. Проблемы с терминологией.
В законе появляются термины вроде "мобильная версия приложения" или "вредоносный код", но их определений нет.

🔹 8. Доступ банков к данным абонентов.
Операторы связи будут передавать данные абонентов банкам без их согласия. Это прямое нарушение закона о персональных данных. Аналогичная норма уже отвергалась Госдумой ранее.

🔹9. Лишение абонента связи в непредвиденных случаях.
Если телефон сломался, нельзя будет просто вставить свою сим-карту в чужой аппарат - система может заблокировать услуги. Это лишает связи в экстренных ситуациях.

🔹10. Изменения в 63-ФЗ.
Переименовать закон "Об электронной подписи", добавив "и удостоверяющих центрах". Комитет пишет, что удостоверяющие центры уже есть в законе и обоснования для переименования нет. Также депутат критикуют идею снятия запрета на заключение договоров на услуги связи с использованием КЭП. Разбор в части 63-ФЗ будет в отдельных постах.

✅ Вывод комитета: закон нужен, но в текущем виде требует доработки с участием экспертов и учётом прав граждан.

Законопроект будет рассмотрен в первом чтении 10 февраля 2026 года (15 номер в повестке). Будем с вами следить за тем, какие замечания будут учтены.

✍️Об ЭП и УЦ

Госдума не доверяет КЭП?

А какой ещё можно сделать вывод на такое замечание из заключения на законопроект об Антифроде 2.0:

В соответствии с пунктом 72 статьи 45 Федерального закона «О связи», снятие запрета на заключение договоров об оказании услуг подвижной радиотелефонной связи возможно только при личном обращении в МФЦ.

Проектируемыми положениями предусматривается, что снятие запрета на заключение договоров об оказании услуг подвижной радиотелефонной связи может быть осуществлено, в том числе с использованием ЕПГУ в форме электронного документа, подписанного заявителем усиленной квалифицированной электронной подписью.

Необходимо отметить, что пункт 72 статьи 45 Федерального закона «О связи» вводился как мера, максимально затрудняющая процесс снятия обозначенного запрета злоумышленниками. Установление дистанционного способа снятия указанного запрета нуждается в обосновании, поскольку только личное присутствие является максимально безопасным способом идентификации физического лица при осуществлении им юридически значимых действий.

Квалифицированная электронная подпись - аналог в силу 63-ФЗ собственноручной подписи, используется для подписания многомиллионных контактов, регистрации бизнеса, открытия счетов в банке, регистрации недвижимости, снятия самозапрета на кредит (против которого тоже раньше были) и т.д. и т.д. НЕ может использоваться для снятия самозапрета на заключение договоров связи.

Может тогда не пытаться переименовывать 63-ФЗ, а сразу отменить его?

✍️Об ЭП и УЦ

Какой подарок государство могло подарить всем россиянам в день безопасного Интернет? Правильно, заблокировать в Интернете что-то, что касается всех. Но мы не унываем, продолжаем надеяться на массовый рост технической подкованности граждан.

Канал «Пост Лукацкого», переваливший вчера отметку в 35 тысяч 🥳подписчиков, продолжает жить и работать в Telegram. Любые клоны в иных мессенджерах - фейк и обман, пока иное не написано тут. Не исключаю более активное использование Хабра/Дзена для лонгридов, а также реинкарнацию блога. Видимо, РКН вынудит меня слезть с дивана и заняться сайтом 🤠

#суверенитет #мессенджер

Настоящее криптографических исследований. Часть 4

9️⃣ Цифровые подписи и цифровая идентичность. Основные направления развития – внедрение новых алгоритмов подписи, развитие атрибутных и групповых подписей и интеграция подписи в системы цифровой идентификации. Прежде всего, это пост-квантовые подписи, например, алгоритм CRYSTALS-Dilithium. Ожидается, что через 1-2 года мы начнем видеть гибридные сертификаты (ECDSA + Dilithium) и поддержку PQ-подписей в HSM и смарт-картах. Параллельно исследуются альтернативные PQ-схемы: например, SPHINCS+ (на основе хеширования, без требований к генератору случайности при подписании) для случаев, где нужно избежать возможности провалов.

Кроме PQC, набирают популярность EdDSA на кривых Edwards (Ed25519, Ed448) – их массово внедряют благодаря лучшей производительности и простоте. Протоколы типа TLS 1.3, SSH, JSON Web Tokens постепенно переходят на Ed25519 как предпочтительную подпись. Это можно считать одной из современных тенденций – уход от RSA в новых системах в пользу эллиптических и даже пост-квантовых схем.

В контексте конфиденциальности интерес представляют схемы, позволяющие подписывать с сокрытием части информации. Например, атрибутные подписи позволяют подписать набор утверждений (атрибутов) и затем выборочно раскрывать только часть из них в подписи. Сходные идеи используются в системах удостоверений. Еще пример – групповая подпись, где она подтверждает, что ее автор – член определенной группы, но не идентифицирует конкретно кого. Такие механизмы исследуются для корпоративных систем (подпись от имени отдела, не раскрывая сотрудника) и для анонимных свидетельств (например, когда журналист публикует информацию, подтвержденную цифровой подписью, что он аккредитованное лицо, но остается анонимным).

Электронные подписи тесно связаны с системами электронных удостоверений личности. Развивается концепция SSI (Self-Sovereign Identity), где пользователь самостоятельно управляет своими идентификационными данными (обычно через мобильное приложение-кошелек), а доверие обеспечивается криптографическими протоколами и стандартами, например, DIDComm или Verifiable Credentials.

Важно отметить тенденцию: подпись переходит "под капот" пользовательских приложений. Если раньше пользователь сам ставил ЭП (например, через USB-токен), то новые системы (Google / Apple Passkeys, SSI-кошельки) делают это прозрачно – пользователь подтверждает действие биометрией, а приложение генерирует криптографическую подпись для аутентификации или подтверждения транзакции. Таким образом повышается безопасность (закрытый ключ никогда не выходит из устройства, часто хранится в Secure Enclave или аналогичном) и улучшается опыт (не нужно вводить пароли). Эта концепция получила название, ахаха, беспарольной аутентификации.

Наконец, стоит упомянуть квантовую криптографию для подписей: уже существуют прототипы квантовой цифровой подписи, использующие QKD-каналы и одноразовые ключи, но это очень нишевое направление.

#криптография #тенденции

Вчера прошло первое чтение второго законопроекта о борьбе с кибермошенничеством. Стенограмма обсуждения здесь, кому интересно почитайте.

Основные тезисы выступлений и дискуссии

Поддерживающие позиции (Лебедев И.В., Боярский С.М.)
🔹Тренд сломан: Впервые зафиксировано снижение числа киберпреступлений (до 40% по отдельным видам).
🔹Необходимость жёстких мер: Мошенники - организованные группы, часто действующие с территорий недружественных государств.
🔹База IMEI: Позволит эффективнее бороться с кражей устройств и несанкционированным использованием SIM-карт.
🔹"Красная кнопка": Даст гражданам инструмент быстрой реакции на мошенничество.
🔹МАХ вместо SMS: Повысит безопасность😄, так как SMS часто перехватываются мошенниками.

Критические замечания и вопросы депутатов
🔹Чрезмерный контроль:
- Депутаты выразили опасения, что меры затрагивают права добропорядочных граждан.
- Вопрос: как избежать излишнего вмешательства в частную жизнь
🔹Технические и практические вопросы:
- Как будет работать привязка IMEI при смене устройства?
- Как обеспечить доступность "красной кнопки" для людей с ограниченными возможностями и владельцев кнопочных телефонов?
🔹Дискриминация иностранцев:
- Почему иностранцам разрешено 10 SIM-карт, а россиянам 20? Не приведёт ли это к злоупотреблениям?
🔹Проблемы с блокировками:
- Каковы критерии внесудебной блокировки сайтов?
- Кто будет компенсировать ущерб в случае ошибочной блокировки
🔹Импортозамещение и связь: Высказаны опасения по поводу качества связи и зависимости от импортного оборудования.
🔹Коммуникация с гражданами:
- Депутаты указали на недостаток разъяснительной работы и социальной рекламы о мерах безопасности.

Итог: законопроект принят в первом чтении, будет дорабатываться ко второму чтению с учётом поступивших замечаний.

Вопросы законодательства об электронной подписи и создания национального УЦ не обсуждали.

✍️Об ЭП и УЦ

Мифы об электронной подписи.
Миф 19. Услуга по получению сертификата руководителя организации или ИП платная

На данный миф обратил внимание, после данного поста. В нашей сфере все в курсе, что сертификаты для руководителей юрлиц и индивидуальных предпринимателей с 01.01.2022 выдаёт Удостоверяющий центр ФНС России через свои инспекции или офисы доверенных лиц.

Требования к порядку реализации функций аккредитованного УЦ,  утвержденные 584 приказом Минцифры, включают следующий раздел:

г) стоимость услуг Удостоверяющего центра.
Данный подраздел должен содержать информацию о стоимости услуг Удостоверяющего центра, сроках и порядке расчетов за оказание услуг Удостоверяющего центра.

И отдельное уточнение для госУЦ:

Удостоверяющий центр, являющийся государственным органом и выдающий квалифицированные сертификаты ключей проверки электронных подписей (далее - квалифицированные сертификаты) заявителям на безвозмездной основе, могут не включать данный подраздел в свой Порядок

Данная норма была включена 10 лет назад, когда в рамках общественного обсуждения мое предложение было учтено.

Из чего делаем один вывод - госУЦ (Налоговая, Казначейство, Банк России) выдают сертификаты на безвозмездной основе, их порядки реализации функций УЦ раздел про стоимость услуг не содержат. Услуга по получению сертификата руководителя организации или ИП бесплатная, где бы вы его не получали - в инспекции или у доверенных лиц.

Для получения сертификата необходим сертифицированный ключевой носитель (токен), на который записывается ключ электронной подписи и сам квалифицированный сертификат. Если используется технология мобильной электронной подписи - токен не требуется.

✍️Об ЭП и УЦ

Сегодня истекают сертификаты соответствия ФСБ России
№ СФ/114-4573 от 10.07.2023, СФ/114-5040 от 10.12.2024 у мобильного средства электронной подписи IDPoint, являющегося основой для иных известных мобильных приложений.

С учётом того, что выписка из перечня сертифицированных СКЗИ обновлялась последний раз 04.02.2026 - информация о получении новых сертификатов пока отсутствует.

✍️Об ЭП и УЦ