Опубликовано: 30.09.2026 | Источник: CNews (новости)

КЭП без визита в УЦ в дипломе: как спроектировать и защитить PKI-решение

Введение

26 марта 2026 года аккредитованный удостоверяющий центр «Калуга Астрал» объявил о запуске дистанционного выпуска квалифицированной электронной подписи (КЭП) через приложение «Госключ». То, что ещё пять лет назад требовало личного визита в УЦ, паспорта и бумажного заявления, теперь укладывается в мобильный сценарий: подтверждение личности через ЕСИА, генерация ключа в защищённом контуре телефона, выпуск сертификата на стороне УЦ. Для выпускника направления «Информационная безопасность» или «Прикладная информатика» это не просто новость — это готовый каркас практической главы ВКР, где нужно увязать PKI-инфраструктуру, доверенную среду, юридическую значимость и метрики надёжности. Разберём, как превратить эту тему в защищаемую работу.

Основная часть: от новости к дипломному проекту

Тема ВКР №1. Проектирование доверенного сценария удалённого выпуска КЭП

Актуальность темы прямо вытекает из кейса «Калуга Астрал» — рынок движется к бесшовному выпуску подписи, а регуляторика (63-ФЗ, приказы ФСБ) уже допускает удалённую идентификацию при соблюдении ряда условий. Цель — разработать архитектуру сервиса, обеспечивающего выпуск КЭП без физического присутствия заявителя. Задачи: анализ нормативной базы, выбор криптопровайдера, проектирование схемы идентификации, построение модели угроз. Структура: Глава 1 — обзор PKI и стандартов; Глава 2 — C4-диаграммы сервиса, спецификация API; Глава 3 — тестирование на STRIDE и расчёт метрик по ISO/IEC 25010.

Тема ВКР №2. Интеграция мобильного криптопровайдера с УЦ

Актуальность: «Госключ» демонстрирует, что ключ может рождаться и храниться на устройстве пользователя, а не в HSM УЦ. Цель — спроектировать протокол обмена между мобильным приложением и сервисом регистрации. Задачи: описание последовательности операций (BPMN), выбор схемы подтверждения (OTP, биометрия), реализация проверки цепочки сертификатов через OCSP, оценка задержек. Структура: Глава 1 — теория X.509 и ГОСТ Р 34.10-2012; Глава 2 — UML-sequence регистрации; Глава 3 — нагрузочное тестирование и метрики отклика.

Тема ВКР №3. Оценка рисков электронного документооборота с удалённой КЭП

Актуальность: расширение дистанционного выпуска увеличивает поверхность атаки — компрометация мобильного устройства становится эквивалентом утраты подписи. Цель — построить методику оценки рисков и предложить контрмеры. Задачи: классификация угроз по OWASP ASVS, построение дерева атак, разработка матрицы «вероятность × ущерб», предложение технических и организационных мер. Структура: Глава 1 — обзор методов риск-анализа; Глава 2 — модель угроз и архитектура контрмер; Глава 3 — валидация на пилотной выборке инцидентов.

Как встроить материал статьи в три главы

Глава 1 (аналитическая). Здесь новость работает как «свежий» источник: опишите эволюцию процедуры выпуска КЭП (визит в УЦ → выездная регистрация → удалённый выпуск через «Госключ»), постройте BPMN-диаграмму «как было / как стало». Обязательно сослась на 63-ФЗ и требования регулятора — нормоконтроль это любит.

Глава 2 (проектная). Стройте C4-диаграммы (Context → Container → Component) сервиса выпуска: мобильное приложение, сервис идентификации, УЦ, HSM, ЕСИА, OCSP/CRL. Для API — спецификация в OpenAPI. UML-sequence покажет обмен: запрос → идентификация → генерация ключа → подпись запроса на сертификат → выдача.

Глава 3 (экспериментальная). Здесь считайте метрики. Минимум: время выпуска (p50/p95), доля успешных идентификаций, стоимость одной операции, покрытие модели угроз по STRIDE. Сводите в таблицу и стройте графики — это защищаемо.

# Псевдокод проверки цепочки сертификатов при выпуске КЭП
def validate_chain(user_cert, ca_cert, ocsp_url):
    # 1. Проверка подписи сертификата корневым УЦ
    if not verify_signature(user_cert, ca_cert.public_key):
        raise CertError("Подпись ЦС недействительна")
    # 2. Проверка срока действия
    if not (user_cert.not_before <= now() <= user_cert.not_after):
        raise CertError("Сертификат просрочен")
    # 3. Онлайн-проверка статуса через OCSP (RFC 6960)
    status = ocsp_check(ocsp_url, user_cert.serial)
    if status != "good":
        raise CertError(f"Статус: {status}")
    # 4. Проверка расширений KeyUsage / EKU
    assert "digitalSignature" in user_cert.key_usage
    return True

Диаграмма последовательности удалённого выпуска (UML-sequence, текстом):

Пользователь → Приложение: запрос КЭП
Приложение → ЕСИА: подтверждение личности
ЕСИА → Приложение: токен идентификации
Приложение → УЦ: CSR + токен
УЦ → HSM: выпуск сертификата
УЦ → Приложение: X.509-сертификат
Приложение → Пользователь: КЭП готова

Чему вы научитесь на этой теме

• Проектировать PKI-архитектуры по C4 и защищать их на защите ВКР перед комиссией.
• Считать метрики доступности и производительности по ISO/IEC 25010, а не «на глаз».
• Строить модели угроз по STRIDE и OWASP ASVS с конкретными контрмерами.
• Оформлять ТЗ и пояснительную записку по ГОСТ 34.602 без переделок после нормоконтроля.
• Интегрировать свежие отраслевые кейсы (как с «Госключ») в теоретическую главу.

FAQ: реальные вопросы студентов

Источник: КЭП без визита в УЦ: «Калуга Астрал» запустила выпуск через «Госключ» (опубликовано 2026-03-26)