Телеграм канал «Об ЭП и УЦ»

Зарабатывайте на установках Яндекс Браузера

Партнёрская программа для сервисных центров, магазинов компьютерной техники, сайтов для скачивания файлов и авторов статей.
Вы можете предлагать его своим клиентам и аудитории — и зарабатывать на новых установках.
Выплаты до 500₽ за каждую установку Яндекс Браузера.

Подать заявку

#реклама 0+
partner.browser.yandex.ru
О рекламодателе

Онлайн-магистратура для IT: ИТМО, МИФИ + Яндекс

Программы онлайн-магистратуры ИТМО и МИФИ в партнёрстве с Яндексом. Актуальные знания, практическое обучение и гибкий график. Учитесь, совмещая с работой. Доступна господдержка оплаты, отсрочка от армии

Перейти на сайт

#реклама 16+
practicum.yandex.ru
О рекламодателе

🔐 Сайт Минцифры перешёл на TLS-сертификат от национального удостоверяющего центра греческого УЦ HARICA, ранее использовался сертификат УЦ GlobalSign.

PKI-Форум 2026

🇰🇿 Казахстан и технический сбой с подписями

На портале госзакупок Казахстана произошел сбой при авторизации из-за проблем с сервисами Национального удостоверяющего центра. Сроки подписания договоров, которые истекали 17 июля, перенесены на 20 июля.

Вот что бывает, когда в стране один удостоверяющий центр.

Прошла половина лета

Выгореть ещё успеем. А пока лето — отправляемся загорать.

И не просто так, а со скидкой 5000 рублей по промокоду NETSIL от Яндекс Путешествий.

Забронировать

#реклама
travel.yandex.ru
О рекламодателе

📣Изменение для TLS-сертификатов - окончание эпохи Dual-EKU

В апреле 2025 года CA/Browser Forum принял бюллетень SC-081v3, он в первую очередь известен нам поэтапным сокращением сроков действия TLS-сертификатов. Кроме того, бюллетень вносит изменения в Базовые требования для TLS (TLS Baseline Requirements) - основной документ, регламентирующий выдачу TLS-сертификатов: это требование обновляет профиль сертификата для сервера, согласно которому такие сертификаты не должны содержать EKU id-kp-clientAuth.

В TLS Server Certificate Profile (раздел 7.1.2.7) поле Extended Key Usage (EKU) должно содержать строго определенный набор значений:
🔹 долден быть указан id-kp-serverAuth (OID: 1.3.6.1.5.5.7.3.1).
🔹НЕ должен быть указан id-kp-clientAuth (OID: 1.3.6.1.5.5.7.3.2).

Что интересно, сами по себе TLS Baseline Requirements (v 2.2.8) все еще допускают clientAuth как опцию (MAY), но это значение перекрывается более жестким требованием Chrome.

Политика Google Chrome Root Program (v 1.8) (обновлена 5 февраля 2026 года) - именно она послужила основанием для всех международных УЦ, желающих оставаться в доверенном хранилище Chrome, исключить использование clientAuth в TLS-сертификатах.

Есть два срока для поэтапного внедрения:
🔹15 июня 2026 года: все новые промежуточные CA-сертификаты, добавляемые в базу CCADB, должны содержать только EKU serverAuth.
🔹15 марта 2027 года: все выдаваемые TLS-сертификаты должны содержать только EKU serverAuth. Наличие clientAuth в таких сертификатах, выпущенных после этой даты, приведет к тому, что Chrome перестанет им доверять.

Что решили УЦ? Правильно, они решили отозвать TLS-сертификаты, выданные после 15 июня 2026, если они включают clientAuth.

✍️Об ЭП и УЦ