Об ЭП и УЦ

❌Уязвимости в GoSign, Dokobit и других системах ЭП

Компания Critical Security нашла серьёзную дыру в безопасности систем проверки электронной подписи, используемых в странах Балтии (хоть что-то там в безопасности).

Уязвимость покусилась на один из базовых принципов кибербеза - целостность.К подписанному PDF можно добавить неподписанную страницу и система всё равно покажет действительную подпись.

Для эксплуатации не нужны ни доступ к данным, ни к закрытому ключу, ни согласие владельца. Достаточно копии уже подписанного документа.

Затронули:
🔹GoSign и Dokobit (сервисы подписания)
🔹eParakstītājs 3.0 (Латвия)
🔹SiVa и DigiDoc4 (Эстония)
🔹также системы Португалии и других стран

Сервисы подписания сообщили, что уязвимость устранена в ночь на 10 ноября. Dokobit называет это особенностью стандарта PDF, а не своей уязвимостью.

А вы предусмотрели это в модели угроз?

🚀Об ЭП и УЦ

Международные удостоверяющие центры отказались подтвердить безопасность 1,3 тыс. российских сайтов
https://www.tadviser.ru/a/241359

——————————
TAdviser в MAX и ВК

✍️ Минцифры повторно пытается внести изменения в формат электронной подписи

Первый проект был размещен в конце января, но он так и остался на этапе общественного обсуждения. Новый проект размещён по ссылке.

Из сводного отчёта:

🔹Действующий приказ № 472 содержит устаревшие требования к формату электронной подписи, в то время как организации-лицензиаты фактически работают в соответствии с требованиями, закрепляемыми проектом приказа
🔹В настоящее время участник документооборота зачастую не обеспечивает чтение атрибута метки доверенного времени, что может препятствовать подтверждению юридической силы подписи после истечения срока сертификата в спорных ситуациях.
🔹Новое обязательное требование: обеспечение обработки и чтения атрибута метки доверенного времени всеми средствами электронной подписи в случае, если данный атрибут присутствует
🔹Создание метки доверенного времени при формировании электронной подписи остается на усмотрение участника документооборота.
🔹В Минцифры России поступают обращения граждан о невозможности подтверждения в рамках судебных разбирательств правомерности электронной подписи ввиду невозможности со стороны участника документооборота обработать данный атрибут.

472 приказ остаётся нерабочим на протяжении всего своего срока действия, и проблема не в устаревших требованиях, а в грубых ошибках его атрибутов.

Опубликованный проект в текущей редакции не может быть принят, он содержит как синтаксические ошибки (п. 5.3, 5.5.1) и противоречия в OID (п. 5.6.4, 5.4.1, 7.2), неописанные обязательные структуры, ссылки на устаревшие требования. Проект требует переработки с привлечением профильных специалистов (ТК26 не должен остаться в стороне), а также проверки со стороны разработчиков СКЗИ.

Обсуждение продлится до 26.11.2026.

🚀Об ЭП и УЦ