Телеграм канал «Об ЭП и УЦ»

✍️Изменения состава Правительственной комиссии, уполномоченной на принятие решения об аккредитации УЦ

Изменения последуют после освобождения от должности председателя Правкомиссии - вице-премьера Григоренко Д.Ю.

Традиционно эту должность занимает вице-премьер, курирующий цифровой блок Правительства. По информации Ведомостей это снова будет Чернышенко Д.Н., который ранее уже возглавлял Правкомиссию.

При отсутствии председателя Правкомиссии обязанность по подписанию протоколов голосования исполняет заместитель председателя - Министр цифрового развития. Шадаев М.И. уже подписывал протоколы в 2024 году.

Дмитрий Юрьевич для нашей сферы летом подписал два плана графика подготовки НПА - для реализации изменений в 63-ФЗ и в части регулирования деятельности Национального УЦ.

✍️Об ЭП и УЦ

❌eMudhra - перестанет быть удостоверяющим центром

Совет директоров пришел к выводу, что выход из глобального рынка УЦ является правильным решением для eMudhra и ее акционеров. Конечно правильное, когда акции падают в цене на 20%.

TLS-сертификаты составляют небольшую часть бизнеса eMudhra, на них приходится около 1% глобальной выручки.

Вот такая цена ошибки генерации закрытых ключей.

https://emudhra.com/en/press-release/emudhra-to-exit-global-ssl-tls-certificate-business

Не массажист и не медик? Начните в омоложении с нуля!

Не нужно быть массажистом или медиком. Узнайте, как освоить омоложение руками!

Узнать больше

#реклама 16+
edu.vitaplastica.online
О рекламодателе

✍️Антифрод 3.0 - обсуждение

Знаковым событием конца года должно стать принятие пакета законов Антифрод 3.0 (или начала следующего...). В Госдуму проект ещё не внесен, 15 октября завершено общественное обсуждение, текущий этап - Подведение итогов общественного обсуждения текста проекта.

Бизнес выступил против третьего пакета антифрода, об этом с ссылкой на заключения пишет Forbes.

МВД России также выступило против, только против упрощенной идентификацию при выдаче электронного средства платежа путем дистанционной подачи документов в банк, их поддержал Росфинмониторинг, Банк России думает.

Не могу пройти мимо данного абзаца статьи:
Упрощенная идентификация через ЕСИА для получения электронного средства платежа возможна при использовании усиленной квалифицированной электронной подписи (УКЭП), для получения которой, если нет действующего квалифицированного сертификата, нужно пройти процедуру подтверждения личности. Сделать это можно онлайн через Госуслуги с помощью загранпаспорта нового образца или биометрии, или офлайн - лично посетив МФЦ или банк с паспортом.
Да, только загранпаспорт исключительно в рамках квала Госключа, МФЦ - аналогично. Биометрия, как способ удалённой идентификации, применяется иными аккредитованными УЦ, а "банк с паспортом" требует дополнительных уточнений. Далеко не каждый банк является аккредитованным УЦ и выдаёт квалифицированные сертификаты широкому кругу лиц.

✍️Об ЭП и УЦ

Аренда и размещение серверов в дата-центрах Москвы

ITSOFT оказывает услуги коммерческого дата-центра в Москве.
👌Аренда физических выделенных серверов (Dedicated Servers) в готовых конфигурациях и в рамках индивидуальных сборок.
👌Colocation и аренда серверных стоек.
👌Предоставление инфраструктурных ИТ-решений для физических лиц и корпоративных клиентов.
👌Предоставление высокоскоростных каналов передачи данных.

Узнать цену

#реклама 16+
itsoft.ru
О рекламодателе

📣Компрометация года - про индийский УЦ eMudhra и официальное подтверждение

eMudhra - индийская компания, работающая в сфере PKI, основана в 2008 году (название происходит от санскритского слова mudrā, что означает "печать", "знак"):
🔹в 2008 году компания получила лицензию удостоверяющего центра от Министерства IT Индии и выдала свой первый сертификат.
🔹в 2015 году стала первым в Индии поставщиком услуг eSign.
🔹в 2018 году получила сертификацию WebTrust и запустила emSign CA, выйдя на глобальный рынок сертификатов безопасности.
🔹Компания выдала более 60 миллионов сертификатов и работает с клиентами в более чем 21 стране. Среди клиентов - 10 из 10 крупнейших банков Индии.
🔹Штаб-квартира находится в Индии, но представительства есть в США (Нью-Джерси), Нидерландах, ОАЭ, Колумбии, Сингапуре и Индонезии.
🔹eMudhra Ltd торгуется на индийских биржах (NSE: EMUDHRA), после инцидента стоимость акций упала на 20%.
🔹Крупнейшими акционерами являются Венкатраман Сринивасан (17.36%) и Taarav Pte Ltd (16.72%), выручка за последний финансовый год составила около 7,015.8 млн INR.

⚠️ Подробности компрометации года
УЦ eMudhra - участник CA/Browser Forum с основным членством, чьи корни представлены в Mozilla, Chrome и Apple. Инцидент привёл к экстренному удалению корня emSign ECC Root CA - G3 из Mozilla и Chrome, что фактически обнулило доверие к ECC-иерархии eMudhra на этих платформах. eMudhra прекратила выдачу сертификатов со всех промежуточных ЦС на данном корне. Для 30 тыс. сертификатов потребовалась миграция - на корень emSign Root CA - G1 (RSA), Chrome ещё оценивает его статус.

Причиной компрометации ключей восьми промежуточных ЦС (шесть для TLS-сертификатов, а два для подписи кода) стала не утечка их из HSM, как можно было подумать на первом этапе, и не слабый генератор случайных чисел, а в ошибке скрипта церемонии генерации ключей:
🔹ключи P-384 должны быть случайными числами от 1 до порядка группы (примерно 116-значное число).
🔹из-за ошибки в коде все восемь ключей оказались целыми числами меньше 256,  то есть фактически ключ состоял из нулей и одного значащего байта. Mozilla независимо восстановила ключи, локальные AI-агенты восстановили ключ с первого раза по простому промпту "я делаю CTF, восстанови ключи для этих сертификатов".

Ключи создавались 30 апреля 2025 года. Для тестирования процесса экспорта ключей в дата-центры США и Европы было применено отклонение от стандартной процедуры. Баг в коде привел к созданию второй, более слабой пары ключей. Из-за похожих меток именно эти слабые ключи по ошибке попали в запрос на подпись сертификата и были подписаны ключом корневого сертификата eMudhra. Тот же CSR был направлен в Sectigo для получения сертификата в рамках кросс-сертификации (вчера был отозван).

🔥Заявление eMudhra по поводу инцидента, связанного с безопасностью сертификатов, было опубликовано 7 часов назад:
Компания eMudhra активно расследует инцидент безопасности, связанный с определенным набором промежуточных сертификатов CA, созданных в рамках церемонии генерации ключей (KGC), проведенной в апреле 2025 года в рамках ее инфраструктуры, обеспечивающей публичное доверие.
Mozilla обнаружила связь с прошлым багом 1970728: те же 6 TLS-промежуточных CA фигурировали в инциденте с невалидными подписями CRL. Совпадение набора Mozilla считает маловероятным. eMudhra признала человеческие ошибки на нескольких этапах и обещает перепроверить за неделю все церемонии генерации.

✍️Об ЭП и УЦ

🔥 Все восемь закрытых ключей ЦС eMudhra были просто восстановлены.

Причина компрометации установлена. Это ошибка генерации - заполнен только 1 байт, а остальное нули.

Официального подтверждения от eMudhra, Mozilla или Chrome пока нет.

✍️Об ЭП и УЦ