Один из крупнейших мировых центров сертификации вновь начал отзывать сертификаты безопасности у российских сайтов, заявили в «Руцентре». Всего к настоящему времени в России было отозвано 11 тыс. сертификатов у 1,3 тыс. организаций
В начале ноября «Руцентр» (входит в группу «Рунити») получил от одного из крупнейших центров сертификации в мире, японского GlobalSign уведомление о плане провести новый массовый отзыв SSL/TLS-сертификатов у российских сайтов. Об этом рассказал руководитель развития доменов и сопутствующих сервисов «Руцентра» Георгий Казаров на мероприятии компании в среду, 11 ноября. Речь идет о десятках сертификатов разных организаций, которые в том числе попали в последний санкционный список Евросоюза, сообщил он.
SSL/TLS-сертификаты — это цифровой «паспорт» сайта, он подтверждает его подлинность, гарантируя, что пользователь подключился именно к тому ресурсу, к которому хотел, а не к поддельному, и шифрует трафик между браузером и сервером, делая его недоступным для перехвата (именно он отвечает за значок замка в адресной строке и протокол HTTPS). Без действующего сертификата зарубежные браузеры — Google Chrome, Safari, Firefox — отказываются открывать сайт или выводят предупреждение о небезопасном соединении. Это, в свою очередь, может привести к тому, что сервисы для клиентов или сервисы внутри организации не будут там работать.
Казаров отметил, что с лета этого года было несколько волн отзыва сертификатов. Помимо GlobalSign, сертификаты также отзывал греческий удостоверяющий центр HARICA. В последнем, по словам представителя «Руцентра», выпускали сертификаты те российские организации, у которых ранее сертификаты отозвал GlobalSign. Но HARICA также произвел отзыв, причем за несколько секунд, то есть у владельцев сайтов не было времени адекватно отреагировать на ситуацию, подчеркнул Казаров. Всего, по его словам, зарубежные центры отозвали 11 тыс. сертификатов у 1,3 тыс. российских организаций. Из этого количества на GlobalSign пришлось 4830 сертификатов, на HARICA — 3456.
В первую очередь зарубежные центры отзывают сертификаты у организаций, попавших в санкционные списки ЕС и США, поскольку должны выполнять требования Международного консорциума CA/Browser Forum, рассказал Казаров. CA/Browser Forum — это глобальный регулятор, в который входят все крупнейшие центры сертификации мира и разработчики браузеров — Google, Apple, Microsoft, Mozilla — и который устанавливает единые правила выпуска и отзыва цифровых сертификатов. Также причиной отзыва могут быть требования законодательства той страны, в которой расположен удостоверяющий центр, или жалобы третьих лиц, добавил представитель «Руцентра».
Он отметил, что иногда удостоверяющие центры допускают ошибки и отзывают сертификаты, не подпадающие под перечисленные причины. В этом случае «Руцентр» пытается «вести диалог» с центрами, чтобы убрать такой сертификат из списка отзываемых. «Первые разы получалось плохо, но в каждой следующей волне отзывов всегда есть сертификат, по которому нам удается договориться с удостоверяющим центром и исключить его из списка отзывов», — сказал Казаров.
GlobalSign начал массово отзывать сертификаты у российских организаций в середине июня. В начале мая вступили в силу обновленные требования к проверке организаций CA/Browser Forum, которые вводят прямой запрет для удостоверяющих центров выдавать сертификаты компаниям из санкционных списков — проверка по OFAC SDN List, BIS Denied Persons List и их европейским аналогам стала не рекомендательной, а обязательной.
В России с 2021 года работает Национальный удостоверяющий центр Минцифры, который выдает отечественные TLS-сертификаты, но их признают только российские браузеры. После перехода на отечественные сертификаты безопасности сайты ряда российских банков, в частности ВТБ и Альфа-банка, перестали нормально открываться в большинстве зарубежных браузеров.
В конце октября Ассоциация банков России попросила главу Минцифры Максута Шадаева расширить применение отечественных сертификатов. В частности, обеспечить их обязательную установку на мобильные устройства пользователей при установке или обновлении российских мобильных приложений, установить требования для производителей компьютеров, телефонов и других устройств по предустановке российских сертификатов и др. Представитель Минцифры тогда говорил, что ведомство проанализирует предложения. Впрочем, часть экспертов указывали, что, если требования и примут, их станут выполнять не все производители, а только те, которые собирают прошивку для российского рынка.
*по информации «РБК»
