Обновление сертификата в СМЭВ 3

СМЭВ 3 переходит на подписание сообщений с использованием нового ключа электронной подписи (есть у них такое непонятное свойство, как истекать каждые 12/15 месяцев), поэтому 25.02.2026 в 18:00 в продуктивной среде СМЭВ 3 произойдёт обновление сертификата, серийный номер нового сертификата: 00af3d7a627d7bf372435d1e4389b9e4f0

А если бы в СМЭВ 3 в качестве средства электронной подписи использовали не программный криптопровайдер, а HSM, то могли бы проводить обновления ключей ЭП и смену сертификатов раз в три года.

Проблематика меток доверенного времени слишком объемная для одного поста. Недочёты 63-ФЗ и подзаконных актов не решаются годами, в итоге АУЦ ничего не остаётся, кроме как выдавать сертификаты физлиц для функционирования своих служб TSA.

Данный пост про анализ используемых сертификатов служб, которые удалось найти в открытом доступе.

Срок действия закрытого ключа служб - период в течение которого может осуществляться подписание и создание меток доверенного времени, у коммерческих УЦ он крайне невелик - 1 г. 3 м., как у обычных пользовательских сертификатов. У госУЦ - уже 3 года, при этом Контур Сертум тоже использует HSM, но срок ключа, как у программных CSP. И только служба Госключа может себе позволить ключ на 5 лет, благодаря тому, что сертификат выдан Головным УЦ.

Используемые средства ЭП - от программных до аппаратных HSM.

Сроки действия сертификатов служб - от 12 до 15 лет, но это не значит, что подпись можно будет проверить в течение этого срока, так как время проверки ограничено сроком действия закрытого ключа ЭП самих служб доверенного времени.

Яндекс (номинант профанации 2025 года) никогда не разбирался в вопросах электронной подписи - ни проверить, ни написать грамотно.

Откуда им знать, что токены уже более двух лет не единственный форм-фактор ключевого носителя в Порядке УЦ ФНС России, а сертификат соответствия Рутокен ЭЦП 2.0 давно истёк.

КЭП, НЭП, имитозазащита и некредитные финансовые организации

Банк России повысил ыыффыыфф требования к защите информации для некредитных финансовых организаций. Изменения внесены Указанием от 28.10.2025 N 7219-У.

К некредитным финорганизациям относится много кто - страховые компании, микрофинансовые организации, негосударственные пенсфонды, ломбарды и т.д.

Некредитные финансовые организации, реализующие усиленный и стандартный уровни защиты информации, должны обеспечить целостность электронных сообщений.

В целях обеспечения целостности электронных сообщений некредитные финансовые организации, реализующие усиленный и стандартный уровни защиты информации, должны обеспечивать реализацию мер по использованию любого вида усиленной электронной подписи, предусмотренной частью 1 статьи 5 Федерального закона "Об электронной подписи", или СКЗИ, реализующих функцию имитозащиты информации с аутентификацией отправителя сообщения.

С КЭП проблем нет, тема хорошо известна, если НЭП, то средства УЦ должны быть сертифицированы ФСБ России (а не как переврал Коммерсантъ про "получение НЭП в аккредитованных УЦ", аж три журналиста писали. Никогда никакие журналисты не смогут писать грамотно про нашу сферу, но хоть не перевирайте факты).

Самое экзотическое в требованиях - СКЗИ, реализующие функцию имитозащиты информации с аутентификацией отправителя сообщения. Здесь нет такой сущности, как "файл подписи", а есть некое "доказательство обладания секретом".

Имитозащита согласно ГОСТ - Защита от атак, имеющих целью имитацию и подмену сообщения, которая реализуется путем выработки и проверки имитовставок.

Проще говоря это про защиту от внесения несанкционированных изменений, т.е. защита целостности, а значит все сертифицированные СКЗИ обеспечивают имитозазащиту, вопрос в аутентификации отправителя сообщения. Мне известно только одного решение, использующее для защиты целостности электронных сообщений и аутентификации отправителя сообщений код аутентификации сообщения на основе хэш-функции в соответствии с RFC 2104 и Рекомендациями по стандартизации Р 50.1.113-2016. Но насколько это будет востребовано на практике? Может всё-таки НЭП?

Вышла промежуточная версия КриптоПро CSP 5.0 R4 (сборка 5.0.13700 Xana - Ксана, персонаж астурийской мифологии). Список изменений и ссылки на скачивание:
🔹добавлена проверка соответствия алгоритма подписи алгоритму открытого ключа при проверке CMS-подписи.
🔹исправлены паразитные записи об ошибках в лог при вводе пустого пароля на PFX.
🔹на Windows уменьшен размер дистрибутива до и после установки и многое другое.

Вместе с КриптоПро CSP 5.0 R4 (сборка 5.0.13700 Xana) вышли промежуточные версии КриптоПро ЭЦП SDK сборка 2.0.15931 для Windows и 2.0.15600 для UNIX КриптоПро ЭЦП Browser plug-in сборка 2.0.15600 для Windows и UNIX от 30.12.2025.

В составе КриптоПро CSP 5.0 R4 (сборка 5.0.13700 Xana) вышла промежуточная версия КриптоПро CSP SDK для Android (сборка 5.0.52655).

❌Промежуточная сборка является тестовой и не предназначена для создания квалифицированной ЭП.