"Национальный удостоверяющий центр" начал выпуск сертификатов безопасности для сайтов с поддержкой технологии прозрачности

Национальный удостоверяющий центр (НУЦ) создан в рамках федерального проекта «Информационная безопасность» национальной программы «Цифровая экономика России» на базе НИИ «Восход».

Информационная система Национального удостоверяющего центра, разработанная НИИ «Восход», подведомственным учреждением Минцифры России, предназначена для поддержания безотказной работы российских информационных ресурсов. Она обеспечивает выпуск TLS-сертификатов с применением как российских, так и иных криптографических алгоритмов. Любое юридическое лицо или орган государственной власти может бесплатно получить один или несколько TLS-сертификатов и встроить их в свои информационные ресурсы.

2022

Начат выпуск сертификатов безопасности для сайтов с поддержкой технологии прозрачности

Национальный удостоверяющий центр (НУЦ), созданный в рамках федерального проекта «Информационная безопасность» национальной программы «Цифровая экономика России» на базе НИИ «ВОСХОД», начал выпуск сертификатов безопасности для сайтов с поддержкой технологии прозрачности (certificate transparency). Об этом НИИ «ВОСХОД» сообщил 23 мая 2022 года. Данная технология обеспечивает дополнительное доверие к сертификатам безопасности для сайтов.

На базе НУЦ мы реализовали технологию, которая позволяет сделать выдачу сертификатов безопасности или TLS-сертификатов прозрачной для пользователей и для владельцев доменов. Кроме обеспечения выдачи самих сертификатов, мы дополнительно публикуем их в три независимых лога – один государственный и два частных. При взаимодействии с сайтом браузеры «обращаются» в эти логи и проверяют, действительно ли был выдан сертификат данному сайту, – сообщил заместитель директора НИИ «ВОСХОД» Андрей Пьянченко.

Реализация технологии certificate transparency основана на том, что все сертификаты, выпускаемые Национальным удостоверяющим центром, записываются в три независимых журнала (лога), из которых нельзя удалить сведения после записи из-за использования специализированных криптографических методов. Российские браузеры (Атом и Яндекс.Браузер) при установлении соединения с сайтом проверяют, что сертификат сайта записан в такие журналы. Если сертификат сайта не имеет меток о записи в журналы, то пользователь увидит в браузере предупреждение о небезопасном соединении и рекомендацию не использовать сайт.

На май 2022 года НУЦ проводит работы по созданию удобных сервисов, через которые любой владелец сайта может проверить наличие сертификата на свой сайт в журналах прозрачности сертификатов.

Работы по развитию Национального удостоверяющего центра продолжаются. Например, в дальнейшем с помощью публичных журналов любой владелец сайта сможет проверить выпуск сертификатов для его домена в режиме реального времени. Для этих целей создается специальный сервис. Публичные журналы – один из способов сделать процесс выдачи сертификатов прозрачным. Данный подход позволяет обеспечить максимальный уровень доверия ко всем участникам процесса – и со стороны владельца веб-ресурса, и со стороны Удостоверяющего центра, обеспечив невозможность подлога любым из участников», – заявил директор НИИ «ВОСХОД» Максим Рымар.

В условиях противодействия санкционной политике в марте Минцифры России на базе Национального удостоверяющего центра организовало, с использованием ЕПГУ, выпуск для российских юридических лиц сертификатов безопасности (TLS-сертификатов) для сайтов. TLS-сертификаты необходимы для подтверждения легитимности сайтов и шифрования сетевого трафика между сайтом и браузером пользователя по протоколу HTTPS. Любое юридическое лицо или орган государственной власти может бесплатно получить один или несколько TLS-сертификатов и встроить их в свои информационные ресурсы. Получить сертификат можно в онлайн-режиме через портал Госуслуг.​

Получен сертификат соответствия ФСТЭК России на ПО ИС «Национальный удостоверяющий центр»

НИИ «Восход» 4 августа 2022 года сообщил о получении сертификата соответствия ФСТЭК России на программное обеспечение информационной системы «Национальный удостоверяющий центр» (НУЦ), созданной им в рамках исполнения поручения Президента России по обеспечению устойчивого взаимодействия устройств в российском сегменте интернета.

Сертификат, выданный ФСТЭК, подтверждает, что программное обеспечение «Национального удостоверяющего центра» является программным средством со встроенными средствами защиты от несанкционированного доступа к информации, не содержащей сведений, составляющих государственную тайну.

«Программное обеспечение НУЦ реализует функции идентификации и аутентификации, функции управления доступом и регистрации событий безопасности по 4 уровню доверия. Сертификат ФСТЭК удостоверяет, что функции защиты информации в его составе реализованы корректно», – отметил директор НИИ «Восход» Максим Рымар.

«Национальный удостоверяющий центр» включен в структуру Электронного правительства России

Согласно Постановлению Правительства РФ от 6 апреля 2022 года №605, подписанному Председателем Правительства Михаилом Мишустиным, Национальный удостоверяющий центр войдет в структуру Электронного правительства России.

Правительство намерено развивать структуру Электронного правительства для обеспечения бесперебойной работы государственных сервисов и расширения возможности использования гражданами портала госуслуг. ^[2]

Создана информационная инфраструктура для поддержания безотказной работы российских информационных ресурсов

28 марта 2022 года появилась информация о том, что в России разработана информационная инфраструктура для поддержания безотказной работы российских информационных ресурсов. Созданная для этих целей информационная система Национального удостоверяющего центра обеспечивает выпуск TLS-сертификатов с применением как российских, так и иных криптографических алгоритмов.

«По поручению Минцифры России на базе Национального удостоверяющего центра НИИ «Восход» обеспечивает возможность для российских владельцев сайтов получать сертификаты безопасности без обращения в иностранные удостоверяющие центры, что актуально в условиях санкционной политики. Любое юридическое лицо или орган государственной власти может бесплатно получить один или несколько TLS-сертификатов и встроить их в свои информационные ресурсы. Получить сертификат можно в онлайн-режиме через портал госуслуг в течение 5 рабочих дней», – сказал и.о. директора ФГАУ НИИ «Восход» Максим Рымар.

TLS/SSL-сертификаты используются для обеспечения безопасного соединения по протоколу HTTPS между интернет-ресурсом и браузером пользователя с целью защиты передаваемых данных от перехвата и подмены. В случае отсутствия такого сертификата веб-браузеры блокируют доступ к интернет-ресурсу. По состоянию на март 2022 года работу российских сертификатов поддерживали отечественные браузеры «Яндекс.браузер» и «Атом».

Национальный удостоверяющий центр Минцифры России создан в рамках исполнения поручения Президента России по обеспечению устойчивого взаимодействия устройств в российском сегменте интернета.^[3]

Бесплатные TLS-сертификаты обеспечат доступность сайтов

4 марта 2022 года в Минцифры РФ заявили о том, что в ближайшее время будут приняты нормативно-правовые акты, регулирующие работу национального удостоверяющего центра по бесплатной выдаче TLS-сертификатов российским юридическим лицам. Это поможет пользователям сохранить безопасный доступ к сайтам, у которых был отозван TLS. Подробнее здесь.

2020: Объявлен тендер на вторую очередь создания «Национального удостоверяющего центра»

9 декабря 2020 года стало известно о том, что НИИ «Восход» объявил тендер на вторую очередь создания «Национального удостоверяющего центра».

Согласно материалам тендера, подрядчик должен будет поставить необходимые материалы и программное обеспечение, а также выполнить работы по монтажу и настройке оборудования. Стоимость работ оценивается в 249 млн рублей. Заявки на участие в тендере будут приниматься до 15 декабря, а 16 декабря 2020 планируется подвести итоги закупки.^[4]

2019: Объявлен тендер на создание специализированной ИС «Национальный удостоверяющий центр»

12 декабря 2019 года TAdviser стало известно, что на портале Единой информационной системы в сфере закупок опубликован тендер на создание специализированной информационной системы «Национальный удостоверяющий центр» и проведение исследований по требованиям информационной безопасности в контексте такой системы.

Как указывается в техническом описании, назначение системы - обеспечение «устойчивости взаимодействия устройств в российском сегменте сети «Интернет».

«Назначением ИС НУЦ является предоставление участникам российского сегмента сети «Интернет» возможности получения TLS-сертификатов (траст-сертификатов) для идентификации принадлежащих им информационных ресурсов при электронном взаимодействии, а также обеспечение возможности реализации электронного взаимодействия граждан с информационными ресурсами органов государственной власти по защищенным протоколам с поддержкой российских криптографических алгоритмов», - гласит описание.

Конкурс объявлен ФГБУ НИИ «Восход». Цена контракта составит 229,95 миллиона рублей.

Информационная система «Национальный удостоверяющий центр» будет включать основной портал и программно-аппаратный комплекс; для портала также потребуется разработать два отдельных программных комплекса — специализированное ПО для самого портала и тестовое клиентское программной обеспечение.

Работы будут производиться в два этапа и в очень сжатые сроки. Исполнителю предстоит представить описание технических решений для портала ИС НУЦ и системы его безопасности, а также разработать интерактивные прототипы пользовательских интерфейсов портала. Все это — в течение 10 дней с момента заключения контракта.

На втором этапе проводятся работы по непосредственно разработке портала, а также программной и эксплуатационной документации, интеграция с внешними ИС и проведение тематических исследований по оценке влияния ПО системы «Национальный удостоверяющий центр» на штатное функционирование средств криптографической защиты информации и проведение сертификационных испытаний ПО ИС НУЦ на соответствие требованиям ФСТЭК России.

С даты начала работ по второму этапу до их окончания должно пройти не более 70 календарных дней.

В документе указывается, что портал ИС НУЦ и входящие в него модули должны обеспечивать автоматизацию таких процедур как регистрация и аутентификация пользователей ИС НУЦ; обработка запросов зарегистрированных пользователей на выдачу и аннулирование траст-сертификатов; публикация реестра выданных траст-сертификатов, а также корневого траст-сертификата ИС НУЦ и актуального списка аннулированных траст-сертификатов.

Регистрация и аутентификация на портале должна быть возможна с помощью web-интерфейса на сайте Портала с применением Единой системы идентификации и аутентификации (далее — ЕСИА), в автоматизированном режиме, через СМЭВ.

Обработка запросов зарегистрированных пользователей ИС НУЦ на выдачу и аннулирование траст-сертификатов должна включать автоматизированную проверку корректности данных запроса и соответствия формата и содержания запроса требованиям ИС НУЦ; ручную проверку полномочий пользователя и заверение проверенных запросов при передаче в ПАК УЦ ИС НУЦ.

Публикация информации о выданных ИС НУЦ траст-сертификатах, а также корневого траст-сертификата и актуального списка аннулированных траст-сертификатов, должна осуществляться на Портале ИС НУЦ в соответствии с расписанием.

Оговаривается, что программное обеспечение портала должно обеспечивать функциональную возможность взаимодействия с внешними информационными системами через API приема и передачи данных.

В качестве оснований для создания системы в проекте контракта названы Соглашение о предоставлении из федерального бюджета федеральному государственному бюджетному учреждению «Научно-исследовательский институт "Восход" субсидии в соответствии с абзацем вторым пункта 1 статьи 78.1 Бюджетного кодекса РФ № 071-02-2019-008 и Техническое задание на выполнение результата 1.47 «Создан национальный удостоверяющий центр для обеспечения устойчивости взаимодействия устройств в российском сегменте сети «Интернет» мероприятие 05.02.001.005.008 «Создание национального удостоверяющего центра, для обеспечения устойчивости взаимодействия устройств в российском сегменте сети «Интернет» и Протокол заседания Правительственной комиссии по использованию информационных технологий для улучшения качества жизни и условий ведения предпринимательской деятельности от 18 декабря 2017 г. № 2.

В проекте также оговаривается, что исполнитель работ должен будет руководствоваться такими федеральными законами как №149-ФЗ «Об информации, информационных технологиях и о защите информации» от 27.07.2006; №152-ФЗ «О персональных данных» от 27.07.2006; а также постановлением Правительства РФ от 06.07.2015 г. №676 «О требованиях к порядку создания, развития, ввода в эксплуатацию, эксплуатации и вывода из эксплуатации государственных информационных систем и дальнейшего хранения содержащейся в их базах данных информации», поручение Президента РФ от 16.07.2016 №Пр-1380, п.1 «Об обеспечении разработки и реализации комплекса мероприятий, необходимых для перехода органов власти на использование российских криптографических алгоритмов и средств шифрования» и приказ ФСТЭК России от 11.02.2013 г. №17 «Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах».

Разработка должна будет также соответствовать государственным стандартам, описывающим программную и конструкторскую документацию (ГОСТ 19-й и 2-й серий, соответственно, а также ГОСТам, описывающим автоматизированные системы, криптографическую защиту информации и электронную цифровую подпись.

Создание подобной системы - закономерно проистекает из необходимости обеспечивать устойчивость Рунета, вне зависимости от того, чем она в теории может быть нарушена. Это вопрос национальной безопасности. Такая система должна отвечать всем утвержденным нормативам и ГОСТам, связанным с информационной безопасностью, и быть максимально устойчивой к любым попыткам нелегитимного воздействия на нее, указывает Дмитрий Гвоздев, генеральный директор компании «Информационные технологии будущего»

Программные компоненты, используемые при разработке Портала ИС НУЦ должны будут соответствовать требованиям Постановления Правительства РФ № 1236 от 16 ноября 2015 года «Об установлении запретов на допуск программного обеспечения, происходящего из иностранных государств для целей осуществления закупок для обеспечения государственных и муниципальных нужд» — то есть, все программы должны быть российского происхождения.

Заявки принимаются до 30 декабря; победителя должны определить 10 января 2020. Предельный срок действия контракта - 30 апреля 2020 года.

В начале ноября 2019 года стало известно, что с 2020 г. в НИИ «Восход» на постоянной основе заработает стенд для тестирования на совместимость различных конфигураций ПО для госслужащих. Исследоваться станет софт из Реестра отечественного ПО. В «железной» части стенда российским процессорам место пока найдется только на компьютерах — не на серверах. Само тестирование начнется в 2020 г.

Примечания