Сертификат НУЦ для банковского сайта: что Минцифры оставило на усмотрение самого центра
С 1 марта 2027 года закон об электронной подписи дополняется статьями 13.1 и 14.1: о национальном удостоверяющем центре и о его сертификатах безопасности для сайтов и информационных систем. Под эти статьи Минцифры вынесло на обсуждение два акта.
Первый это приказ о требованиях к сертификатам и к порядку их выдачи и прекращения (проект 02/08/08-26/00170667). Второй это постановление Правительства о случаях, когда сертификат прекращает действие (проект 02/07/08-26/00170134). Оба вступают в силу тоже с 1 марта 2027 года. Я подавал замечания к обоим и ниже разбираю тексты с точки зрения банка, у которого есть сайт, личный кабинет и мобильное приложение.
Обязательным это станет не само по себе
Сначала о том, чего в проектах нет. Закон разрешает Правительству установить случаи обязательного использования сертификата НУЦ, и отдельно оговорено, что в банковской сфере и на финансовом рынке это делается по согласованию с Банком России. Ни один из двух проектов такие случаи не устанавливает. В сводном отчете по приказу субъектами регулирования названы только сам центр и граждане, а в графе об обязательных требованиях написано, что проект их не содержит.
Для банка это значит, что переход на российский сертификат пока остается решением самого банка. Но когда обязанность появится, условия выдачи уже будут определены этими документами, и влиять на них будет поздно.
Кто платит и как подается заявление
Сертификат выдается по соглашению между центром и заявителем. Закон допускает плату за выдачу и ограничивает ее предельным размером, порядок расчета которого определит Правительство. Бесплатно сертификаты получают государственные органы, органы местного самоуправления, Банк России и организации из перечня, который тоже утвердит Правительство. Войдут ли в него коммерческие банки, пока неизвестно, поэтому расходы на сертификаты для своих доменов разумно предусмотреть в бюджете 2027 года, хотя сумма еще не названа.
Заявление можно подать на бумаге или электронным документом, в том числе через «Госуслуги», с усиленной квалифицированной или неквалифицированной подписью. Проект требует, чтобы порядок центра допускал идентификацию заявителя без личного присутствия, через ЕСИА и Единую биометрическую систему. Для банка с несколькими доменами практический вопрос в том, кто подает заявления от его имени и какой подписью.
Что будет в сертификате
Приказ описывает одиннадцать видов сертификатов. Для сайта банка важны четыре: с подтверждением управления доменом (DV) и с подтверждением владения доменом (OV), каждый в двух вариантах, на алгоритмах RSA и на ГОСТ.
Между ними есть разница, которую стоит увидеть заранее. В профилях DV и OV на RSA указаны адрес службы онлайн-статуса OCSP и метки журнала прозрачности сертификатов. В профилях на ГОСТ нет ни того, ни другого. Для проверки отзыва в них указаны только точки распространения списка прекративших действие сертификатов. Если банк выберет ГОСТ-сертификат, браузер или приложение клиента смогут проверить, не отозван ли он, только по этому списку. Я предлагал добавить адрес OCSP в ГОСТ-профили.
Главное вынесено в порядок, который пишет сам центр
Второе приложение к приказу не устанавливает порядок выдачи и прекращения, а перечисляет, какие разделы должен содержать порядок, который утвердит сам национальный удостоверяющий центр. Сроки действия сертификатов закон тоже оставляет центру.
В итоге за пределами обсуждаемого текста остались вещи, от которых напрямую зависит работа банковского сайта:
как проверяется управление доменом и владение им;
предельный срок действия сертификата;
сколько времени занимает выдача: приказ требует только указать этот срок в порядке;
как часто публикуется список прекративших действие сертификатов;
что делать, если информационная система центра недоступна.
Все это появится в документе центра, который на общественное обсуждение не выносится. Там же есть мелкая, но показательная ошибка: в разделе о прекращении действия сказано о внесении сведений в реестр квалифицированных сертификатов, хотя закон говорит о реестре сертификатов безопасности. На эти пробелы я написал девять предложений, по каждому с конкретной формулировкой.
Кто создает ключ
Закон разрешает центру создавать ключевую пару по обращению заявителя и обязывает его обеспечивать конфиденциальность созданных им закрытых ключей. Это удобно, но закрытый ключ сайта банка в таком случае появляется за пределами банка. Я предлагал записать, что ключи создает заявитель, а центр делает это только по отдельному обращению и уничтожает свою копию. Совет банку не зависит от того, учтут ли это предложение: генерировать ключ у себя и подавать в центр только открытую часть.
Когда сертификат перестает действовать
Проект постановления называет четыре случая: решение суда о недостоверности сведений, прекращение деятельности центра без передачи функций, отсутствие у владельца закрытого ключа и повтор открытого ключа, уже включенного в другой сертификат. Эти случаи почти дословно повторяют основания прекращения и аннулирования обычного сертификата электронной подписи. Под сайты и информационные системы они не адаптированы.
Для банка важнее то, чего в списке нет. Закон обязывает владельца уведомить центр о компрометации закрытого ключа не позднее одного рабочего дня, но что центр делает после такого уведомления, не сказано. Утечка ключа не названа основанием прекращения. Остается заявление владельца, которое закон тоже предусматривает, но это отдельный шаг. Не названы и переход домена к другому лицу, и отзыв вышестоящего сертификата, на основе которого выдан сертификат банка. В последнем случае сертификат технически перестанет проверяться, но в реестре будет числиться действующим. Эти три случая я предложил добавить. Сводка по проекту вышла 14 сентября, и все мои предложения в ней отмечены неучтенными, как и предложения остальных пяти участников. На компрометацию ключа разработчик ответил, что это не случай для прекращения действия. На утрату прав на сайт ответил, что это уже случай прекращения, но норму не назвал. Остальное, по его словам, выходит за предмет проекта и может быть урегулировано регламентом центра.
Есть и разница в сроках. Когда сертификат прекращается по заявлению владельца, закон дает центру двенадцать часов на запись в реестр. Для случаев, которые устанавливает Правительство, такого срока нет ни в законе, ни в проекте постановления. Я предложил те же двенадцать часов.
Что сделать до марта 2027 года
Не дожидаясь итоговых текстов, банку стоит:
составить перечень сайтов и систем, где планируется российский сертификат, и для каждого решить, RSA или ГОСТ;
для ГОСТ-варианта проверить, как клиентские приложения будут узнавать об отзыве без OCSP;
записать в процедуры, что ключевая пара создается внутри банка;
дополнить план реагирования на инциденты: при компрометации ключа уведомить центр в течение рабочего дня и сразу подать заявление о прекращении действия. Разработчик прямо ответил, что компрометация сама по себе основанием прекращения не будет;
следить за порядком, который утвердит центр, и за решением Правительства об обязательном использовании в банковской сфере.
Сводка по приказу вышла 5 октября. Мои позиции в ней отмечены по-разному, от «не учтено» до «учтено», но комментарий почти везде один: «Документ приведен в соответствие требованиям законодательства РФ». К файлу с девятью предложениями добавлено, что они «будут учитываться при развитии». Участнику, который просил закрепить предельные сроки и условия выдачи, разработчик ответил: «Вопросы конкретных сроков, способов идентификации, стоимости не является предметом указанного проекта акта». Доработанного текста приказа на портале пока нет, поэтому что изменилось, проверить нельзя. Сроки выдачи и действия сертификата банк увидит только в регламенте центра, и именно его стоит прочитать первым, когда он выйдет.