На прошлой неделе был создан прецедент - впервые после вступления в силу изменений в 795 приказ ФСБ России был выдан подчиненный сертификат УЦ. В сертификате, теперь это обязательное требование, указан срок действия закрытого ключа ЭП - 1 год (лучше бы не указывали):
Действителен с 4 сентября 2024 г. 7:15:00
Действителен по 4 сентября 2025 г. 7:15:00
в качестве средства электронной подписи:
ПАКМ "КриптоПро HSM" версия 2.0 (комплектация 2) (исполнение (2)
При использовании программного криптопровайдера максимальный срок действия закрытого ключа ЭП УЦ составляет 3 года при условии:
🔹время использования ключа ЭП для подписания выдаваемых сертификатов - 1 год и 3 месяца.
🔹остальное время ключ ЭП используется только для подписи списков отозванных сертификатов.
То есть не весь срок действия закрытого ключа ЭП УЦ его можно использовать для выдачи сертификатов, должен остаться период, когда осуществляется только подписание CRL.
При использовании HSM для хранения ключа ЭП УЦ в неэкспортируемом виде максимальный срок действия ключа ЭП УЦ составляет 5 лет при условии:
🔹время использования ключа ЭП для подписания выдаваемых сертификатов ограничено 2 годами.
🔹остальное время ключ ЭП используется только для подписи списков отозванных сертификатов.
Если регламентом УЦ установлено, что срок действия ключа пользователя УЦ не превышает 1 год и 3 месяца, то общее время использования ключа ЭП УЦ для выполнения целевых функций в течение пяти лет его действия ограничено 3 годами, остальное время ключ ЭП используется только для подписи списков отозванных сертификатов.
В разбираемой ситуации одни не подумав, указали срок в один год в запросе, другие выдали сертификат не проверив, что было указано. По итогу - УЦ Сибинтек получил нерабочий вариант сертификата, срок действия закрытого ключа ЭП УЦ которого не имеет никакого смысла. Даже при использовании программного криптопровайдера данный срок равняется трем годам, в случае с HSM - 5 лет.