Телеграм канал «Об ЭП и УЦ»

Сегодня кандидатом на PKI-Профанацию года стал Озон seller, которые не может установить новую цепочку доверия сертификатов.

Фактура простая - УЦ Тензор 21 мая выдал квалифицированный сертификат своему клиенту на новом подчинённом сертификате, который в свою очередь получен на новом корневом сертификате Минцифры.

«перевыпустите подпись» - это не решение проблемы, с новым сертификатом будет такая же история.

УЦ Тензор в данном случае тоже не особо хочет решать проблему своего клиента и связаться с Озон, чтобы пояснить что и где установить.

Уважаемые подписчики, а вы понимаете, что имела в виду свердловский омбудсмен, когда говорила про "усложнение схемы электронной подписи, поскольку она сегодня становится уязвимым местом"?

Изменить процедуру идентификации заявителя, вместо токенов всем использовать HSM, закрытый ключ на 512 бит, а не 256?

Не электронная подпись, а массовая безграмотность, в том числе таких омбудсменов, является уязвимым местом.

Татьяна Мерзлякова призвала усложнить схему электронной подписи из-за роста мошенничества

«Тему мошенничества с жильем мы должны вести дальше. У нас слабо работает финансовое просвещение, а сейчас появились первые и очень опасные тенденции, когда заявители не признают юридических последствий цифровой подписи.

Необходимо усложнять схему электронной подписи, поскольку она сегодня становится уязвимым местом», - призвала член СПЧ, свердловский омбудсмен Татьяна Мерзлякова, выступая в Светлогорске на международной конференции по линии «Петербургского диалога» на тему: «Участие гражданского общества в защите прав жертв киберпреступлений: риски цифровизации и успешные практики».

СПЧ в МАХ

Застрахуйте квартиру, чтобы чувствовать себя спокойнее

Компенсируем расходы, если вас затопили соседи или у них случился пожар.

Перейти на сайт

Финансовые услуги оказывает: АО "Тинькофф Страхование".

#реклама
tbank.ru
О рекламодателе

Fox Tempest: когда код УЦ используется для доставки шифровальщиков

Пока рынок в нашей стране обсуждает очередные антифрод-поправки, которые в том числе предусматривают создание Национального удостоверяющего центра, злоумышленники используют легитимные сервисы доверенного подписания кода. Microsoft опубликован подробный разбор деятельности "Fox Tempest" - полноценного бизнеса по модели "подписание кода как услуга" (MSaaS) с тысячами выданных сертификатов.

Как это работало с точки зрения PKI и доверия

Злоумышленники не использовали самоподписанные сертификаты в надежде, что жертва нажмет "Установить в хранилище", они пошли официальным путём: используя сервис Microsoft Artifact Signing (бывший Azure Trusted Signing), пройдя подтверждение личности (вероятно, по краденым документам граждан США и Канады), они получали короткоживущие (72 часа) легитимные сертификаты для подписи кода.

Файлы со зловредами (Oyster, Lumma, Vidar, Rhysida и др.) подписывались валидной подписью доверенного центра, имя издателя маскировалось под легитимный софт (AnyDesk, Teams, Webex). Операционные системы и средства защиты не видели угрозы, так как доверяли сертификатам подписи кода.
Цепочка атак Vanilla Tempest и Fox Tempest

Работало это через домен Signspace.cloud (сейчас заблокирован). Там была классическая админка: подписчики загружали свои зловреды, а операторы Fox Tempest подписывали. Ценник на услугу был выставлен от $5000 до $9000.

В феврале 2026 года схема усовершенствовалась: клиентам начали выдавать преднастроенные виртуальные машины (VPS), где уже были скрипты PowerShell и конфиги metadata.json с привязкой к конкретной учетке подписания. Всё было автоматизировано и поставлено на поток. Техническая поддержка велась через Telegram-канал и Google-формы (на русском и английском языках).

Компания Fox Tempest взаимодействовала с клиентами напрямую через Telegram-канал EV Certs for Sale by SamCodeSign под учетной записью пользователя arbadakarba2000

- говорится в отчёте. Мне удалось найти на одном из форумов пост с данного аккаунта о продаже сертификатов подписи кода.

Microsoft зафиксированы тысячи сертификатов от Fox Tempest, все они отозваны. Ключевой индикатор для сферы электронной подписи - использование легитимной инфраструктуры УЦ для обхода эвристики. Зловред больше не "серый", он имеет валидную подпись и сертификат от доверенного издателя. Без контроля цепочки сертификатов и средств поведенческого анализа (XDR/EDR) полагаться только на наличие "замочка" подписи - больше не приходится.

✍️"Об ЭП и УЦ"

Яндекс Музыка до 360 дней бесплатно

Яндекс Музыка для вас и 3-х ваших близких.
Кинопоиск и Яндекс Книги тоже в подписке.
Попробуйте бесплатно❤️

Слушать

#реклама 18+
music.yandex.ru
О рекламодателе

Сдаюсь. Полностью. Всё, что касается электронной подписи — это отдельная вселенная страданий. 
Пришлось даже калькулятор с собой брать — чтобы посчитать, сколько приложений, драйверов и прочих «нужных штук» нужно установить, чтобы просто попробовать подписать документ. И даже тогда неизвестно — получится ли вообще? 🤯 

А ещё теперь для телефона нужен отдельный пакет от оператора, подтверждаемый кодом… А не той самой «юридической» подписью, как на удостоверении личности. 🙃 
Ну и хорошо? А если такая система — не просто сложная, а *невозможная* для обычного человека? Где же механизм, который был бы простым, портативным, доступным где угодно — и, главное, в Румынии?! 

Обращаюсь к Службе информационных технологий и кибербезопасности электронной подписи (STISC): 
Я очень хочу, чтобы у нас появился сервис, основанный на лучших практиках наших коллег — такой, где подпись работает через телефон и NFC, без 100 шагов и головной боли. Просто нажал — и готово.



Всё должно быть просто, как в Айфоне.