Автоматизированная система управления сертификатами Министерства обороны Российской Федерации является ключевым элементом информационной безопасности ведомства. Она обеспечивает функционирование корпоративной системы открытых ключей (КСОК), необходимой для защиты гостайны, личных данных военнослужащих и сотрудников, а также для правомерного применения электронной подписи в документообороте.
Назначение и правовая основа
Реестр сертификатов Минобороны РФ ведется в соответствии с:
- Федеральным законом от № 63-ФЗ «Об электронной подписи»;
- Постановлениями Правительства РФ по вопросам криптографической защиты информации;
- Внутренними нормативными правовыми актами Министерства обороны (приказы, директивы, инструкции по работе в КСОК).
Основные функции реестра:
- Учет и хранение сведений о выданных, приостановленных, аннулированных и отозванных сертификатах открытых ключей.
- Предоставление доступа к информации о статусе сертификатов для уполномоченных субъектов (пользователей, систем проверки ЭП, Удостоверяющих центров).
- Обеспечение доверия к электронным документам, подписанным сертификатами, выданными ведомственными Удостоверяющими центрами (УЦ) Минобороны.
Архитектура реестра и типы сертификатов
Иерархия КСОК Минобороны обычно включает несколько уровней, отражаемых в реестре:
Корневой Удостоверяющий Центр (Корневой УЦ)
Вершина иерархии. Сертификат корневого УЦ является точкой доверия (Trust Anchor) для всех подчиненных структур. Он используется для проверки подлинности сертификатов нижестоящих УЦ. Обычно имеет длительный срок действия (10–15 лет) и хранится в высокозащищенных аппаратных модулях безопасности (HSM).
Ведомственные (подчиненные) Удостоверяющие центры
Развернуты в структурах Генерального штаба, видов и родов войск, округов, объединений и военных частей. Выдают сертификаты конечным пользователям и серверам.
Сертификаты конечных сущностей (End-Entity Certificates)
Выдаются конкретным держателям для решения прикладных задач. Основные виды:
- Сертификаты ключей проверки электронной подписи (КЭП): для подписания приказов, распоряжений, отчетности, личных дел, договоров.
- Сертификаты ключей шифрования: для защиты конфиденциальной информации при передаче по закрытым каналам связи (ВЧС, КРС).
- Сертификаты аутентификации (TLS/SSL, VPN, Smart Card Logon): для доступа к автоматизированным системам (АС), порталам (например, «Мой Армейский»), VPN-шлюзам.
- Сертификаты серверов и информационных систем: для обеспечения защищенных соединений (HTTPS, mTLS) внутри ведомственной инфраструктуры.
Структура записи в реестре
Каждая запись в реестре содержит стандартизированный набор атрибутов, соответствующий профилю X.509 v3 и требованиям ФСБ/ФСТЭК:
| Поле / Атрибут | Описание |
|---|---|
| Серийный номер сертификата | Уникальный идентификатор в пределах данного УЦ (часто в формате hex или decimal). Пример формата: КИ 0007247 (где «КИ» может обозначать серию/тип сертификата или код УЦ, а число — порядковый номер). |
| Идентификатор УЦ (Issuer DN) | Distinguished Name Удостоверяющего центра, выдавшего документ (например: CN=УЦ МО РФ, O=Министерство обороны РФ, C=RU). |
| Субъект (Subject DN) | Данные владельца: ФИО, воинское звание/должность, военная часть/организация, ИНН/СНИЛС (при необходимости), OID роли. |
| Срок действия | Not Before / Not After (Дата начала и окончания действия). Типичный срок: 1 год для КЭП, до 3 лет для серверных/УЦ. |
| Статус сертификата | Активен (Valid), Приостановлен (On Hold), Отозван (Revoked), Просрочен (Expired). Для отозванных указывается код причины (Reason Code: keyCompromise, cessationOfOperation, affiliationChanged и др.). |
| Расширения (Extensions) | Key Usage (Целевое назначение ключа), Extended Key Usage (EKU), CRL Distribution Points (CDP), Authority Information Access (AIA), Subject Alternative Name (SAN). |
| Отпечаток (Fingerprint) | Хеш-сумма сертификата (SHA-256 / ГОСТ Р 34.11-2012) для быстрой идентификации. |
Проверка сертификатов: официальные инструменты
Для проверки конкретного сертификата (например, по номеру КИ 0007247 или другому идентификатору) используются официальные ведомственные ресурсы. Публичный доступ к полному реестру Минобороны, как правило, ограничен (доступен только из контура ВЧС/КРС или по VPN для уполномоченных органов), однако существуют стандартные механизмы верификации:
Ведомственный портал КСОК (внутренний контур)
Основной инструмент — веб-интерфейс или клиентская часть АРМ администратора безопасности / оператора УЦ; Позволяет:
- Поиск по серийному номеру, ФИО, подразделению, отпечатку.
- Просмотр полной цепочки доверия (Chain of Trust).
- Получение актуального списка отзыва (CRL) или ответа OCSP.
- Скачивание сертификата в формате .cer / .p7b / .der.
Автоматизированная проверка через OCSP / CRL
Информационные системы Минобороны интегрированы с точками распространения CRL (CRL Distribution Points) и серверами OCSP (Online Certificate Status Protocol), указанными в расширениях сертификата. Это позволяет в режиме реального времени проверять статус «КИ 0007247» при входе в систему или проверке ЭП.
Программные средства (КриптоПро CSP, VipNet CSP и др.)
На рабочих станциях пользователей установлены криптопровайдеры, лицензированные ФСБ. Они позволяют:
- Открыть сертификат из хранилища «Личное» или с носителя (eToken, JaCarta, Рутокен ЭЦП 2.0/3.0).
- Проверить цепочку сертификатов до корневого УЦ Минобороны.
- Автоматически загрузить актуальные CRL с ведомственных CDP.
Особенности работы с номерами серии (на примере формата «КИ XXXXXXX»)
Нумерация сертификатов в Минобороне может иметь ведомственную специфику. Префикс «КИ» (или «КИ-», «KI») во внутренней нумерации часто используется для обозначения:
- Корневой / Квалифицированный / Криптографический Идентификатор;
- Кода конкретного Контингента / Командования / Корпуса / Квартиры (УЦ), выдавшего сертификат;
- Типа ключевой пары (Ключ Имитовставки / подписи).
Важно: Точное расшифровывание префикса «КИ» для конкретного номера 0007247 возможно только при обращении к базе данных выдавшего УЦ. Номер 0007247 указывает на относительно ранний порядковый выпуск в рамках данной серии (7 247-й экземпляр).
Алгоритм действий для проверки конкретного номера:
- Определить, к какому УЦ относится серия «КИ» (через справочник УЦ своего органа/подразделения).
- Обратиться к администратору безопасности (Администратору КСОК) своей военной части/органа.
- Администратор выполнит запрос в автоматизированной системе учета сертификатов (АСУС / АРМ УЦ) по серийному номеру.
- Получит ответ: статус, владелец, сроки, принадлежность ключу (подпись/шифрование), наличие на носителе.
Типичные проблемы и их решение
| Проблема | Причина | Решение |
|---|---|---|
| Сертификат не проходит проверку цепочки доверия | В хранилище «Доверенные корневые центры сертификации» отсутствует корневой сертификат Минобороны или промежуточный УЦ. | Установить актуальный пакет корневых сертификатов Минобороны (распространяется через ведомственные каналы связи или портал КСОК). |
| Статус «Отозван» / «Приостановлен» | Компрометация ключа, увольнение/перевод владельца, смена должности, истечение срока действия носителя. | Обратиться в УЦ для перевыпуска. Старый сертификат использовать запрещено. |
| Ошибка «Сертификат не найден в реестре» | Ошибка в номере, сертификат выдан другим УЦ (не Минобороны), реестр не синхронизирован. | Проверить точность номера (регистр букв, разделители). Уточнить УЦ-эмитента по Subject DN. |
| Недоступность точек CDP / OCSP | Проблемы с сетью ВЧС, блокировка портов файрволом, плановые работы на УЦ. | Проверить сетевую доступность до CDP/OCSP (ping, telnet порт 80/443). Ожидать восстановления или использовать кэшированные CRL (если политика позволяет). |
Безопасность и режим доступа
Информация, содержащаяся в реестре сертификатов Минобороны РФ, относится к сведениям ограниченного распространения (ДСП, Гостайна или сведения, не составляющие гостайну, но подлежащие защите по закону).
- Запрещается: публикация полных выгрузок реестра в открытых источниках, передача данных третьим лицам без согласования с органами военной контрразведки и безопасности.
- Разрешается: автоматический обмен статусами (OCSP/CRL) между ведомственными АС, предоставление сведений о конкретном сертификате его владельцу или уполномоченному проверяющему органу.
Реестр сертификатов Министерства обороны РФ — это критически важная инфраструктура, обеспечивающая неотрекаемость, подлинность и конфиденциальность электронных документов в ведомстве. Работа с конкретными записями, такими как сертификат серии КИ 0007247, требует доступа к ведомственным автоматизированным системам учета КСОК через уполномоченных администраторов безопасности или операторов Удостоверяющих центров. Пользователям рекомендуется своевременно обновлять корневые сертификаты и списки отзыва (CRL) для бесперебойной работы систем электронного документооборота и защищенной связи.
Дисclaimer: Данная статья носит справочно-информационный характер и описывает общие принципы организации КСОК в ведомствах типа Минобороны РФ. Для получения актуального статуса конкретного сертификата (в т.ч. «КИ 0007247») необходимо обратиться к администратору КСОК вашей военной части/органа или оператору ведомственного Удостоверяющего центра.