GlobalSign начал новую волну отзыва сертификатов у российских сайтов

GlobalSign, один из крупнейших мировых центров сертификации (Япония), уведомил «Руцентр» (входит в группу «Рунити») о плане провести новый массовый отзыв SSL/TLS-сертификатов у российских сайтов. Об этом 11 ноября на мероприятии компании сообщил руководитель развития доменов и сопутствующих сервисов «Руцентра» Георгий Казаров. Речь идет о десятках сертификатов различных организаций, часть которых попала в последний санкционный список Евросоюза.

SSL/TLS-сертификат — цифровой «паспорт» сайта: он подтверждает подлинность ресурса и шифрует трафик между браузером и сервером, обеспечивая работу протокола HTTPS и значка замка в адресной строке. Без действующего сертификата зарубежные браузеры — Google Chrome, Safari, Firefox — отказываются открывать сайт или выводят предупреждение о небезопасном соединении. Это может привести к недоступности клиентских и внутренних сервисов организации.

По словам Казарова, с лета этого года прошло несколько волн отзыва сертификатов. Помимо GlobalSign, сертификаты отзывал греческий удостоверяющий центр HARICA, причем за несколько секунд, не оставив владельцам сайтов времени на реакцию. Всего зарубежные центры отозвали 11 тыс. сертификатов у 1,3 тыс. российских организаций: на GlobalSign пришлось 4830 сертификатов, на HARICA — 3456.

В первую очередь сертификаты отзывают у организаций из санкционных списков ЕС и США — в соответствии с требованиями международного консорциума CA/Browser Forum, глобального регулятора, в который входят крупнейшие центры сертификации и разработчики браузеров (Google, Apple, Microsoft, Mozilla). Причинами отзыва также могут быть требования законодательства страны удостоверяющего центра или жалобы третьих лиц. Иногда центры допускают ошибки и отзывают сертификаты без оснований — в таких случаях «Руцентр» ведет с ними диалог об исключении сертификата из списка отзываемых, и в каждой волне по одному сертификату договориться удается.

Массовый отзыв сертификатов GlobalSign начал в середине июня. В начале мая вступили в силу обновленные требования CA/Browser Forum к проверке организаций: проверка по OFAC SDN List, BIS Denied Persons List и их европейским аналогам стала обязательной, а выдача сертификатов компаниям из санкционных списков прямо запрещена. В России с 2021 года действует Национальный удостоверяющий центр Минцифры, выдающий отечественные TLS-сертификаты, признаваемые только российскими браузерами; после перехода на них сайты ряда банков, в частности ВТБ и Альфа-банка, перестали нормально открываться в большинстве зарубежных браузеров.

В конце октября Ассоциация банков России попросила главу Минцифры Максута Шадаева расширить применение отечественных сертификатов: обеспечить их обязательную установку на мобильные устройства при установке или обновлении российских приложений, а также предустановку на компьютеры и телефоны. В Минцифры сообщили, что проанализируют предложения. Часть экспертов отмечает, что выполнять такие требования станут не все производители, а только собирающие прошивку для российского рынка.