30 июня смахивает на отмену аккредитации. Возможно конечный сертификат был передан Минцифре для поддержки? Тогда он по идее остается действительным - просто цепочка строится неправильно.

Отредактировано пользователем 28 декабря 2021 г. 12:07:01(UTC)  | Причина: Не указана

Нет, сертификат отозван, аккредитацию того УЦ лишили в декабре.
Есть для примера эта статья.



Подробнее можно "о технологии"? И нет ли противоречий с ФЗ...

Сдаётся мне, что Андрей* говорит о двух сертификатах (конкретного владельца и "его" УЦ), а ДваОкена, почему-то, считает их одним ...

Добрый день.
Да я знаю, что сертификата два. Поясню свои рассуждения:
1) если прекращена аккредитация УЦ - это не совсем то же самое, что отозван сертификат УЦ;
2) одновременно может быть только один действующий отзыв в цепочке сертификатов (который по уровню ближе к корневому), не имеет значение, что УЦ отзывал конечный перед прекращением аккредитации, отзыв конечного по сути аннулирован вместе с аккредитацией. О каких отзывах двух сертификатов Вы в этот момент говорите?

Подробнее: если правда отозван сертификат УЦ, то все его подписи станут недействительны - неважно, в сертификатах они (так как сертификат не имеет метки доверенного времени) или в списках отзыва сертификатов. Подписывать что-то еще сертификатом АУЦ не подойдет по использованию ключа. Соответственно, если к СОС не приложена метка времени (как в доказательствах подписи), СОС потеряет свою силу и конечный сертификат (чудесным образом) более не будет "отозванным" (будет "с недействительной подписью издателя" и "отзыв не удалось проверить", о том ниже). Метка тоже не сильно спасет, так как если СОС не специальный финальный, то срок действия СОС не такой большой и после отзыва сертификата УЦ новый нормально не выпустить.

Это одна из основных причин почему срок действия сертификатов изначально вписывают в пределы срока действия сертификата издателя - нет никакой возможности их штатно отозвать, если сертификат издателя стал недействительным (по истечении срока, по отзыву от вышестоящего УЦ, по списку недоверия к корневым сертификатам).
3) конечный сертификат будет "с недействительной подписью издателя" (невозможно гарантировать время его создания без метки времени), но это тоже немного другое, так как можно его подхватить на новый сертификат УЦ и в том числе плавно "забыть" об отзывах.

Другой вопрос, что практика выпуска нового сертификата УЦ на тот же ключ особенно сомнительна при лишении аккредитации. Уже лет пять-шесть прошло с того инцидента, когда Минкомсвязь отказалась так подхватить сертификаты от УЦ ФК когда срок конечных оказался дольше чем срок промежуточного УЦ и год все сидели с корневым УЦ ФК (аж на госуслуги его залили параллельно с ГУЦ). С тех пор АУЦ запрещено иметь корневые сертификаты и если сейчас Минцифра подхватит конечные сертификаты это будет вразрез со всей практикой за пятилетку. Да еще и потом разбираться какие из них получили мошенники. Есть момент с предыдущими подписями когда начало нового сертификата УЦ позднее чем начало конечного сертификата. С некорректно воспринимаемым редиректом адресов СОС. Потому скорее всего никто за это не возьмется и конечные сертификаты от данного УЦ так и останутся "с недействительной подписью УЦ", "отзыв не удалось проверить". Что ранее бывший "отозванный ранее выдачи", что остальные.

Отредактировано пользователем 29 декабря 2021 г. 6:24:32(UTC)  | Причина: Не указана

А конкретная подпись - может иметь доверенный штамп времени. И раз на момент подписания все сертификаты действовали, то и подпись - действительна, вне зависимости от текущего состояния собственного сертификата УЦ.
И будет действительна до тех пор, пока не истечёт срок действия сертификата TSP-/OCSP-сервера.
И даже в этом случае можно "заблаговременно успеть" усовершенствовать подпись до "архивной".Кто эти чудаковатые люди, которые умеют генерировать списки отзыва без штампов времени???А это каким вообще боком???
Или "известны случае", когда "особо одарённые" выпускали ЭП за полгода-месяц до срока истечение сертификата сети ViPNet?
Или, там, в "самопальных" УЦ казначейств (пока так можно было) "всякое отчебучивали"?