Переформулирую вопрос. Есть ли смысл указывать срок действия Корневогого сертификата 7 лет, при условии, что срок действия открытого ключа (сертификата пользователей) 1 год?

2. Если используется отличный от Крипто Про УЦ центр сертификации, но в кач-ве криптопровайдера используется Крипто ПРО CSP, то в этом случае закрытый ключ также необходимо менять раз в 1 год 3 мес?

Юрий Маслов
Я правильно понимаю что при использовании Крипто-про CSP (для формирования и хранения закрытого ключа УЛ УЦ) через год необходимо поднимать новый УЦ для выпуска пользовательских сертификатов, а старый использовать только для выпуска СОС?

Отредактировано пользователем 28 июля 2009 г. 16:29:42(UTC)  | Причина: Не указана

Нет, не правильно. При использовании ПАК "КриптоПро УЦ" через год делаете плановую смену ключей и старый ключ не удаляете. Само программное обеспечение ПАК "КриптоПро УЦ" будет использовать новый ключ для изготовления сертификатов, а старый только для изготовления СОС.
Использовать СКЗИ "КриптоПро CSP" без ПАК "КриптоПро УЦ" или иного аналогичного продукта для управления сертификатами (автоматизации УЦ) невозможно! СКЗИ "КриптоПро CSP" не знает, что такое "сертификат открытого ключа" и что такое "СОС". Ведь это же криптопровайдер! :-)

Да, есть такая фишка. В "КриптоПро УЦ" версии 2.0 будет по другому.

Обычно датой создания закрытого ключа принято считать дату начала действия сертификата ключа подписи. Срок действия закрытого ключа определяется Регламентом УЦ. Поэтому не стоит задача "проверить срок действия закрытого ключа". А стоит задача "проверить что на данный момент закрытый ключ действует". Надеюсь, что эту разницу в постановке задачи Вы поняли. Проверить что на данный момент закрытый ключ действует можно разными способами. Например, занести в сертификат ключа подписи дату начала действия закрытого ключа и дату окончания действия закрытого ключа, а потом в прикладном ПО проверять, что текущий момент времени находится между этими датами. Или можно (если в сертификате нет дат действия закрытого ключа) в прикладном ПО проверять что текущая дата лежит между датой начала действия сертификата и датой начала действия сертификата + константа, равная сроку действия закрытого ключа согласно Регламента УЦ.


Смысл глубокий и нужный. Вероятность неявной компрометации закрытого ключа в превышает допустимое значение (типа три сигма) при превышении срока действия закрытого ключа, устанавливаемого формуляром на сертифицированное СКЗИ. Поэтому для закрытых ключей и соответствующих сертификатов открытых ключей, использующихся для шифрования информации, срок действия закрытого ключа и срок действия сертификата клча подписи делают одинаковым, 1 год.
Но ведь есть ещё и ЭЦП!!! А согласно статьи 4 1-ФЗ "Об ЭЦП", сертификат должен дейтвовать на момент проверки ЭЦП, если нет доказательства момента подписи. А срок хранения и/или срок исковой давности документов, к которым применена ЭЦП, как правило больше 1 года. Т.е. проверять ЭЦП нужно и и через 5 лет и через 30 лет. И доказательства момента создания ЭЦП не всегда находится. И сертификат должен быть действительным (не окончившим свой срок) на этот момент
Поэтому и делают, что сертификат живет 5 или 30 лет. Но его используют только для проверки ЭЦП. А что бы не создавали ЭЦП просроченным ключем и возникает задача "проверить что на данный момент закрытый ключ действует", о которой писалось выше. Элементарно!


Между закрытым и открытым ключем взаимнооднозначное соответствие, т.е. одному закрытому ключу соответствует один и только один открытый ключ. И наоборот. Естественно, что скажем, условно, что это в поле допустимых ключей. Поэтому и невозможно сделать то, о чем Вы спросили :-)