Цифровой Рубль

🪙Цифровой рубль - новый этап внедрения массовой отечественной криптографии

Через неделю мобильные приложения самых крупных банков должны получить апгрейд, по итогу которого каждый телефон получит своё СКЗИ (год назад таким образом в приложение Госуслуг был интегрирован TrustCryptoBase Госключ).

Как вы узнаете про это? Будут знаки. ЦБ сообщает, что на главной странице приложений появится специальная кнопка с логотипом цифрового рубля.

Но я про другое - сбор энтропии. Это такой механизм выработки последовательности случайных чисел для генерации пары криптографических ключей с использованием биометрического датчика случайных чисел, проще говоря - нужно будет поводить пальцем по экрану (один раз минимум). БиоДСЧ обязательно должен вызываться перед началом работы с криптографией на мобильном устройстве, это требует класс КС1 .

🔐 PKI - основа инфраструктуры Цифрового рубля:
🔹Два Головных УЦ в Банке России для НЭП и TLS.
🔹в самих банках два УЦ, уже подчиненных - аналогично для НЭП и TLS (в 2027 году - переход на НУЦ), а также TLS-шлюзы и СКЗИ класса КС3,
🔹в мобильных приложениях граждан - средства ЭП КС1, на рабочих местах корпоративных CSP, криптоплагины и браузеры с ГОСТ-TLS.

Согласно программе PKI-Форума заместитель Председателя Банка России приглашена к участию в стратегической сессии "Куда и как развивается отрасль" по вопросу "PKI в цифровом рубле".

✍️Телеграм-канал "Об ЭП и УЦ" четвертый раз выступает информационным партнёром форума.

🪙 Как начать пользоваться цифровым рублем осенью, есть ли лимиты по переводам и чем новая форма рубля отличается от безналичной — рассказала директор Департамента национальной платежной системы Банка России Алла Бакина в интервью РИА Новости.

Собрали самое главное в карточках ➡️

Цифровой рубль и лицензия на СКЗИ - есть ли связь

Мне просто рассказывать про лицензию на СКЗИ, т.к. в организациях где раньше работал, я либо сам участвовал в получении лицензии по 313-ПП, в её переоформлении и добавлении новых пунктов, либо она уже была получена до меня.

Рассмотрим процесс лицензирования через призму Цифрового рубля и банков.
Ранее мы с вами выяснили, что лицензия по 313-ПП требуется при осуществлении деятельности, оказании услуг в интересах третьих лиц, а не для собственных нужд. Подписчики выяснили, например, что у Озон Банка в выписке из ЕГРЮЛ отсутствует информация о наличии лицензии ФСБ.

Какие пункты из приложения подходят под Цифровой рубль? Спойлер - практически, как для ДБО, давно это обсуждение велось на форуме КРИПТО-ПРО, Юрию Геннадьевичу отдельная благодарность.

Пройдём по пунктам, которые нужны в лицензии:
🔹8, разработка защищённой системы с использованием СКЗИ - т.к. осуществляется встраивание СКЗИ (входящего в состав Программного модуля Банка России)
🔹12, 13 - монтаж СКЗИ и разработанных защищённых систем
🔹21 - передача СКЗИ, которое клиент использует для подписания информации НЭП, а также построения защищённого канала
🔹25 - услуги по шифрованию информации - выше была передача СКЗИ, а здесь уже услуга по защите каналов связи с использованием TLS-сертификатов, для которых разворачивается отдельный УЦ
🔹28 - изготовление ключей НЭП, а также для защищённых подключений.

Пишите свои комментарии, достаточно ли данного перечня.

На этом фоне интересно, что же там могли взломать в рамках Standoff:

Организаторы смоделировали реальную архитектуру: центральную платформу и банки-посредники.

Нет ни описания стенда, ни отчёта.

Что считалось взломом Цифрового рубля - изменение суммы или получателя платежа, доступ к ключам ЭП, средствам УЦ?

Систему подвели не изощрённые атаки, а базовые ошибки конфигурации: стандартные пароли, отключённая проверка цифровых подписей и отсутствие контроля прав доступа.

Если проверка ЭП была отключена, то какая это реальная архитектура? Не серьёзно это, Standoff.

🚀Об ЭП и УЦ

😆 Прототип цифрового рубля взломали на соревнованиях

На кибербитве Standoff впервые атаковали прототип цифрового рубля — будущей третьей формы нацвалюты. Об этом рассказали «Коду Дурова» в «Совкомбанк Технологиях».

Итог: самую современную систему (которую пока ещё готовят к запуску) подвели не хитрые эксплойты, а стандартные пароли и отключённая проверка подписей.

Детали:

↖️ https://kod.ru/standoff-cifrovoy-rubl

Компания КриптоПро выступила генеральным партнёром конференции «Криптография и Цифровой рубль». Мероприятие было посвящено этапам внедрения цифрового рубля, вопросам корректного использования сертифицированных СКЗИ на всех стадиях жизненного цикла программных решений платформы ЦР, а также средствам и технологиям, которые применяют участники и пользователи услуг и ресурсов платформы.

На пленарном заседании выступил генеральный директор КриптоПро, д.ф.-м.н. Станислав Витальевич Смышляев. Ключевыми вопросами заседания стали масштабируемость и готовность решений к массовому применению.

«Главное, что на текущем этапе мы не видим фундаментальных проблем. Те, что были связаны с процессом, решены и решаются совместно с коллегами из ФСБ России и Банка России. Пользовательский путь и массовость обеспечены, и это подтверждают текущие внедрения в банках. Не менее важно, что созданный фундамент будет применен неоднократно: мы научились делать криптомодули переиспользуемыми для электронной подписи, биометрии и других приложений», — отметил Станислав Витальевич.

В ходе профильной сессии директор по развитию КриптоПро, к.т.н. Павел Владимирович Смирнов представил доклад на тему «Криптография для Цифрового рубля в банке: как сделать правильно». В своём выступлении он подробно остановился на том, как корректно встроить криптографию в платформу цифрового рубля и на что стоит обратить внимание при проектировании защищённого взаимодействия между участниками.

Доклад на тему «Цифровой рубль. Особенности реализации отдельных требований в приложении клиента» представил директор по информационной безопасности КриптоПро Дмитрий Валерьевич Багин. Он осветил актуальные нормативные требования к клиентским приложениям и затронул вопросы оценки влияния.