Удостоверящие центры не смогли выдать КЭП физическому лицу на основании запроса PKCS#10
Всем привет. В этом посте я хочу рассказать о подводных камнях выпуска квалифицированной электронной подписи (КЭП) для физического лица и о моем личном опыте взаимодействия с удостоверяющими центрами (УЦ). Не буду вдаваться в законодательство и прочие юридические подробности, специалистом в которых я не являюсь. Могу лишь сказать что существует ФЗ…
в чем опасность наличия второго сертификата выданного в приложении IDPoint?
Опасность в том, что я, как пользователь, должен располагать всеми ключевыми парами, от всех своих подписей, т.е. по-хорошему я должен иметь приватный ключ от этого сертификата в явном виде. И должен быть уверен, что помимо меня этого ключа нет ни у кого. В случае же с этим приложением - ключ был сгенерирован "как-то" внутри приложения, как именно и насколько надежно он там хранится - проверить не представляется возможным, также неизвестно какие операции приложение осуществляет(-ляло) с этим ключом. По-умолчанию, я предполагаю, что оно потенциально могло сделать с ним все что угодно, в том числе и передать куда-либо.
Простая аналогия - ключ от дверного замка. Вы захотели установить дверной замок и иметь один ключ от него для себя. Пришел мастер, поставил замок, отдал вам ключ, все хорошо. В процессе анализа того что получилось, внимательного чтения документов и т.п., вы узнаете, что в момент подписания договора на установку замка - оказывается был изготовлен еще один ключ. Вы не знаете мастером, фирмой, которая устанавливает замки, просто знаете что он есть. Естественно что вы захотите его уничтожить, чтобы в квартиру никто кроме вас не имел доступа. И даже если фирма, которая занимается установкой замков с государственной лицензией и т.д. и т.п., чувство беспокойства что у кого-то есть еще один ключ от вашей двери - не оставит вас, пока вы не убедитесь что дубликат ключа действительно был уничтожен.