Безопасность
Что делать, если ключ попал к постороннемуЧто делать, если ключ попал к постороннему
Закрытый ключ — это то, чем ставится подпись. Тот, у кого он есть, может подписывать документы от вашего имени, и отличить такую подпись от вашей невозможно. Поэтому при малейшем подозрении сертификат нужно отозвать — немедленно и не дожидаясь подтверждения подозрений.
Обращайтесь, если случилось хотя бы одно из этого
- Потерян или украден носитель с ключом — токен, смарт-карта, ноутбук, телефон.
- Пароль от контейнера с ключом стал известен постороннему или был передан кому-то.
- Файл с ключом отправлен по почте, в мессенджере или выложен в общую папку.
- На компьютере, где хранился ключ, обнаружена вредоносная программа.
- Вы увидели документ со своей подписью, которого не подписывали.
- Вы просто не уверены. Ложная тревога стоит одного нового сертификата.
Куда обращаться
Сообщите оператору удостоверяющего центра своего ведомства — тому сотруднику, который оформлял вам сертификат. Отзыв выполняет он: самостоятельно отозвать сертификат владелец не может, и это сделано намеренно — иначе отозвать чужой сертификат смог бы тот, кто украл ключ.
Приготовьте серийный номер своего сертификата: он есть в свойствах файла, а также выводится командой openssl x509 -in cert.pem -noout -serial. Без номера отзыв тоже возможен, но займёт больше времени.
Сообщайте по телефону или лично, а не только письмом: письмо могут прочитать через несколько часов, а каждый час здесь на счету.
Что произойдёт дальше
- 1. Сертификат отзывается. Оператор отзывает его с причиной «компрометация ключа». Отзыв необратим: восстановить отозванный сертификат нельзя ни при каких обстоятельствах — вместо него выпускается новый.
- 2. Список отозванных обновляется сразу. Новый список публикуется в момент отзыва, а не по расписанию. С этой минуты сертификат числится отозванным в открытом перечне.
- 3. Служба OCSP начинает отвечать «отозван». Проверяющие программы узнают об этом при первой же проверке — им не нужно ничего обновлять вручную.
- 4. Подписать что-либо этим сертификатом становится невозможно. Система спрашивает статус у удостоверяющего центра перед каждой подписью и отказывает, если сертификат отозван. Если статус выяснить не удалось, она тоже отказывает — лучше отложить подпись, чем создать документ, которому потом не поверят.
- 5. Вам выпускается новый сертификат — по обычной процедуре, с новым ключом.
Что станет с документами, подписанными раньше
Это зависит от того, есть ли на подписи метка времени — независимое подтверждение момента подписания.
Метка есть, и она доказывает, что подпись поставлена до отзыва. Такой документ остаётся действительным: отзыв действует вперёд, а не назад. Наша система ставит метку времени по умолчанию, поэтому это обычный случай.
Метки нет, или она недействительна. Доказать, что подпись была поставлена до отзыва, нечем — и документ считается недействительным. При проверке он получит вердикт «сертификат отозван».
Оговорка, которую важно понимать. Если ключ был украден раньше, чем вы это заметили, то подписи, поставленные вором в промежутке между кражей и отзывом, метка времени тоже заверит — и они будут выглядеть действительными. Поэтому обращаться нужно немедленно: чем короче этот промежуток, тем меньше документов попадает под сомнение. Если вы знаете дату, с которой ключ мог быть скомпрометирован, обязательно назовите её оператору — она указывается при отзыве отдельно, и тогда подписи после этой даты перестают признаваться.
Проверить, отозван ли конкретный сертификат, можно самому — на странице состояния отзыва. Проверить конкретный документ — на странице проверки подписи, вход не требуется.