В самом идеале, для иерархии, надо чтоб в ЕЕ-сертификат в AIA было указание на цепочку сертификатов от ГУЦ до издателя пользователя, в противном случае будет невозможно работать в одной ИС пользователям от разных УЦ, ну или сама ИС должна весь реестр ГУЦ к себе засосать и держать его в актуальном состоянии, что практически не реально.

Сложности в следующем, надо слазить в Восход за TSL, его закачать, проверить на нем подпись (веры её не много на самом деле поскольку издатель автора ЭЦП на списке сам вложен внутрь списка :-) вот так у нас забавно список построен), забраться внутрь (список такой не хилый из многих сотен объектов) и вытащить нужные сертификаты для цепочки (это если ни кто не накосячил и одинаковые объекты туда не положил, на чем уже авторов списка ловили) , насосать CRL. Это как бы последовательность действий, и если не учитывать, что TSL вообще то придуман не для иерархии, а как список статусов доверенных сервисов, среди них и самоподписанные УЦ (как было у нас по 1-ФЗ и бездумно (потому что кроссы односторонние сведены в звезду, что организует доверие только в одну сторону - в ГУЦ, т.е. тут не Бридж) скопировано в 63-ФЗ). Для иерархии есть более простые механизмы прописанные в 5280, например, через AIA. В этом случае якорь у вас всего один - это самоподписанный издатель ГУЦ, далее из AIA явно или по указанию сходу вынимаешь всю требуемую цепочку и строишь её. В этом случае на ИС вообще кроме корня ГУЦ ничего иметь не надо, все остальное делается с минимум лишних теложвижений.

Описание сервиса http://smev.gosuslugi.ru.../1.00/p00smev/SID0003525
но поправки 63-ФЗ обязывающие ФНС удовлетворят запросы АУЦ вступят в действие в июле, раньше срока доступ получить вряд ли удастся.

Направили подобный вопрос в Минкомсвязь примерно месяц назад, ждем ответа.

Чего-то у меня голова ломается...
Читаю ст.18 63-ФЗ, п.5 и делаю вывод, что если УЦ не собирается выдавать сертификаты для ЕСИА (ФЛ и ИП-ОВ), то регистрировать УЦ в ней не обязательно.
5. При выдаче квалифицированного сертификата аккредитованный удостоверяющий центр направляет в единую систему идентификации и аутентификации сведения о лице, получившем квалифицированный сертификат, в объеме, необходимом для регистрации в единой системе идентификации и аутентификации, и о полученном им квалифицированном сертификате (уникальный номер квалифицированного сертификата, даты начала и окончания его действия, наименование выдавшего его аккредитованного удостоверяющего центра). При выдаче квалифицированного сертификата аккредитованный удостоверяющий центр по желанию лица, которому выдан квалифицированный сертификат, безвозмездно осуществляет регистрацию указанного лица в единой системе идентификации и аутентификации.
Прав я или нет?

Отредактировано пользователем 28 марта 2016 г. 16:43:15(UTC)  | Причина: Не указана