Браузер обязан дружить с Госключом. Но Госключ пока не дружит с приказом Минцифры
Из-за атак на дата-центры в паблике как-то упустили новый проекте требований к «доверенному ПО». Однако там есть интересный пункт: браузер должен уметь работать с «клиентской частью» государственной системы электронной подписи. Той самой, что описана в постановлении № 2152 и на которой работает «Госключ». Звучит логично. Государство строит инфраструктуру подписи, браузеры должны с ней дружить. Но чем дальше смотришь, тем смешнее.
Во-первых, браузер сам подпись не ставит. Он вообще-то просто рисует страницу. Подпись ставит отдельная штука — плагин, приложение, криптопровайдер. Браузер должен уметь эту штуку вызывать и не ломать. Формально требование звучит как «браузер обязан обеспечить взаимодействие», а по факту это «браузер не должен мешать плагину работать». Впрочем, если было бы иначе, то выглядело бы все как заточка под разрабатываемый веб-браузер от «КриптоПро», что как-то некрасиво.
Во-вторых, и это главное, юридически формат электронной подписи установлен приказом Минцифры № 472 от 2020 года. Но вот правила создания самого сертификата УНЭП, то есть что конкретно должно лежать внутри сертификата неквалифицированной подписи (какие поля, какие идентификаторы) так и не расписаны. Причем, от кого не ожидали, но ФСБ такую детализацию для квалифицированной подписи давно сделала. Более того, в самом постановлении № 2152 есть пункт 28, который прямо обязывает Минцифры разместить на своем сайте сведения о формате сертификата УНЭП. Этот пункт не исполняется несколько лет.
В-третьих, сам приказ № 472 содержит ошибку. В некоторых пунктах не хватает данных, а где-то просто напутаны. Все производители средств подписи это знают и реализуют все правильно. Если бы кто-то реализовал OID из приказа Минцифры, его средство подписи просто не работало бы. В итоге сейчас существует потешная неразбериха: де-факто ни одно сертифицированное средство электронной подписи в стране — включая «Госключ» — не выполняет требования приказа № 472.
В итоге от браузера требуется быть совместим с инфраструктурой УНЭП. Но правила создания сертификата для этой инфраструктуры не опубликованы. А формат подписи, который формально существует, содержит ошибку, из-за которой ему не соответствует ни одно средство подписи, включая то, с которым браузер обязан дружить.
Коллеги из «ЭП и УЦ» попытались обратить внимание ведомства на ошибки, но получили сухую отписку.
Пейперсеки последние годы и так живут в режиме постоянного выгорания на выгорании. Требования меняются быстрее, чем успеваешь их читать, документы ссылаются друг на друга по кругу, а соответствовать физически нечему. А когда человек выгорает, он либо уходит, либо начинает ошибаться — и тогда «человеческий фактор» становится главной уязвимостью, какая бы сильная криптография за ним ни стояла.