Добрый день!
Попалась мне тут ЭЦПшка в принятых документах...

Результат проверки подписи    ЭП верна
ФИО    
Должность    
Организация    Минкомсвязь России
Адрес    г. Москва, улица Тверская, дом 7
Дата начала действия ЭЦП    2018-07-06 03:18:06
Дата окончания действия ЭЦП    2036-07-01 03:18:06
ЭЦП выдана    Минкомсвязь России

Ничего себе, на 18 лет выдали. А так можно?

Ну, это похоже ЭЦП самого "корневого" узла, удостоверяющего центра. Они сами себе хозяева. По ходу они Вам какие-то услуги оказывали?

(1) нет, это подпись клиента приходит с квитанциями УПД от клиента.

Вряд ли Минкомсвязь будет выдавать ЭЦП кому-то кроме УЦ.

(2) серийный номер 4e 6d 47 8b 26 f2 7d 65 7f 76 8e 02 5c e3 d3 93 ?

(4) да

(0) Точно не путаешь Издателя с Субъектом?

(5) ну (1) прав)
(6) этот серт сам себе выдан

(6) в системе ЭДО есть механизм проверки ЭП. Жму кнопку и вижу это. У всех остальных клиентов - нормальные серты, год срок, фамилия и имя присутствуют, а с одним вот так.

(8) так он конечно валидный, вот как им подписали интересно

(8) Прикольно конечно что они не выдали себе специальную подпись для обычного ЭДО а юзают главную.
Это говорит о пиздеце там с безопасностью.

Короче рядовой юзер там походу легко может "выдать" тебе УКЭП имея доступ к подписи корневого узла.

(8) а ЭДО чей? я бы написал в ТП со скринами, а то получается у вас накладная ООО Ромашка с печатью Минкомсвязи)

(11) ну это не совсем ромашка. Федеральная сетка, не из первых, но в топ-10.

(12) Один хрен должна быть своя "печать" а не "печать конторы по производству печатей"

Сейчас посмотрел еще раз. Что интересно, они такой подписью подписывают только извещение о получении УПД.
Завершающую квитанцию ДОП дают уже человеческую, с ФИО, организацией и нормальным сроком действия.

Так что иной раз интересные вещи можно увидеть в ЭЦП :))

(14) Вероятно их оператор ЭДО сам Минкомсвязи

(14) "извещение о получении" ну хоть какая то логика у них прослеживается
(15) и в тлс, счас ИЕ обновится, и будем дружно в я.браузере работать

(7) (0)
Яндекс говорит что это "Корневой удостоверяющий центр Минкомсвязи России".
Понятно что он самоподписанный, все корневые самоподписанные. Это нормально. Какими им ещё быть?

Но то что корневой сертификат используется для подписи это не нормально. Это означает что одна из копий закрытого ключа хранится на одном из рабочих серверов.  В компаниях с более чем тремя сотнями рабочих мест обычно корневой УЦ это компьютер который выключен 99% времени, не подключен ни к каким сетям вообще никогда и хранится в железном ящике, желательно с двойным ключом. Бэкап хранится в другом но тоже железном ящике.
Рабочие сертификаты выдаёт подчинённый УЦ, он конечно подключен к сети компании.

(18) то есть имеем офигенную дырку безопасности. и потенциальную возможность практически бесследно фальсифицировать данные "не своего уровня"
так?
.
хорошо бы сабж запихнуть в какую-нибудт новостную ветку популярную
чтоб пошевелились ;-)
.

Злоп, это однозначно будет означать, что самый главный корневой сертификат скомпрометирован, а значит, ВСЕ ЭЦП ВСЕЙ страны - того.. тю-тю..

ВСЯ страна скажет огромадную спасибку за переделку ВСЕХ ЭЦП без исключения, выданных ВСЕМИ удостоверяющими центрами РФ.

Поэтому, прежде чем гнать новостную ветку, для начала было бы неплохо взглянуть, чем там на самом деле подписана квитанция. Автор, можешь выложить куда-нить или в личку?
Неужто вправду вот этим http://e-trust.gosuslugi.ru/Shared/DownloadCert?thumbprint=4BC6DC14D97010C41A26E058AD851F81C842415A

(20) переделать. и за счет конторы, которая скомпрометировала ;-)

вот бы и присобачили блокчейн к ситуации подтверждения нескопрометированности корневых ЭЦП.
а то корневая ЭЦП - чем обеспечивается ее валидность? хранением в сейфе? если челфактором - а по сути этим (что ябково) - то скомпрометировать - только дело времени

(20) https://imgur.com/a/2oqNiNV

(23) а-фи-геть

(0) УЦ для простых юзеров также могут серт длительностью свыше года

(19) Так делать не хорошо в крупных системах.

Но ничего офигенного нет. Средний уровень. Ничего выдающегося. По сути это решение по умолчанию как для корпораций, так и для государственных органов.
Возможности практически бесследно фальсифицировать данные "не своего уровня" на практике нет скорее всего.
Модели монетизации нет практически наверняка.

Кстати, я ошибся, гуглил номер который выложил Йохохо. Но судя по скриншоту NorthWind это оно.

Впрочем исключать возможность существования двух сертификатов с одним номером я бы не стал.