GlobalSign начал новую волну отзыва сертификатов безопасности у российских сайтов

Центр сертификации GlobalSign уведомил «Руцентр» о новом массовом отзыве SSL/TLS-сертификатов у российских организаций. Речь идёт о десятках сертификатов, в том числе выданных компаниям из последнего санкционного списка Евросоюза. Об этом рассказал руководитель развития доменов и сопутствующих сервисов «Руцентра» Георгий Казаров, сообщает РБК. Уведомление поступило в начале месяца.

По данным Казарова, зарубежные удостоверяющие центры к настоящему времени отозвали в общей сложности 11 000 сертификатов у 1,3 тыс. российских организаций. Эта статистика охватывает несколько волн отзывов, а не только предстоящее аннулирование, о котором предупредил GlobalSign.

Почему отзыв сертификата мешает работе сайта

SSL/TLS-сертификат подтверждает подлинность сайта и используется при установлении зашифрованного соединения между браузером и сервером. Если сертификат отозван, браузер может заблокировать подключение или показать предупреждение о небезопасном соединении. В результате у организации возникают проблемы не только с доступом клиентов к порталу, но и с работой внутренних сервисов.

Сам сайт при этом не обязательно прекращает работу: препятствие возникает при попытке установить защищённое соединение. Для пользователя разница, однако, может оказаться незаметной — привычный сервис для него просто становится недоступен в браузере.

Смена удостоверяющего центра не гарантирует защиты

По словам Казарова, с лета произошло несколько волн отзывов. Помимо GlobalSign, сертификаты аннулировал греческий удостоверяющий центр HARICA. К нему ранее обращались российские организации, лишившиеся сертификатов GlobalSign, но впоследствии столкнулись с той же проблемой.

Представитель «Руцентра» утверждает, что в случае HARICA отзыв произошёл за несколько секунд и владельцы сайтов не успели подготовиться. Из общего числа аннулированных сертификатов 4830 пришлось на GlobalSign, ещё 3456 — на HARICA.

Основной причиной Казаров назвал включение организаций в санкционные списки ЕС и США. Удостоверяющие центры должны учитывать требования отраслевого объединения CA/Browser Forum, в котором участвуют центры сертификации и разработчики браузеров. Кроме того, основаниями для отзыва могут стать законодательство страны, где работает центр, и жалобы третьих лиц.

Как пишет РБК, в начале мая вступили в силу обновлённые требования CA/Browser Forum: проверка организаций по санкционным спискам, включая американские OFAC SDN List и BIS Denied Persons List, а также европейские аналоги, стала обязательной. Массовый отзыв сертификатов GlobalSign у российских организаций начался в середине июня.

При этом, по словам Казарова, не все решения оказываются обоснованными. «Руцентр» оспаривает случаи, которые считает ошибочными, и иногда добивается исключения отдельных сертификатов из списков на отзыв. Однако речь идёт об индивидуальных договорённостях, а не об отмене самой практики.

Проблемы с российской альтернативой

Отечественные сертификаты выдаёт Национальный удостоверяющий центр Минцифры. Получить их можно бесплатно через «Госуслуги», в том числе взамен иностранного сертификата после его отзыва или окончания срока действия.

Но выпустить новый сертификат и обеспечить беспрепятственный доступ к сайту – разные задачи. Российские сертификаты не получают автоматического доверия во всех браузерах: в зависимости от используемого программного обеспечения пользователю может потребоваться установка сертификатов удостоверяющего центра. Поэтому переход на отечественное решение сам по себе не устраняет все проблемы с доступностью.

РБК отмечает, что после такого перехода сайты ВТБ и Альфа-банка перестали нормально открываться в большинстве зарубежных браузеров. В конце октября Ассоциация банков России направила главе Минцифры Максуту Шадаеву предложения по расширению применения российских сертификатов. Среди них – добавление необходимых сертификатов при установке или обновлении российских мобильных приложений, а также их обязательная предустановка производителями компьютеров, смартфонов и других устройств.

Минцифры сообщило, что изучит инициативы. Опрошенные РБК эксперты при этом предупредили: даже если такие требования появятся, выполнять их, вероятно, будут прежде всего производители, которые выпускают отдельные прошивки для российского рынка.

Комментарий команды Яндекс Браузера

Важно, чтобы у пользователей сохранялся стабильный доступ к российским цифровым сервисам. Расширение использования сертификатов НУЦ Минцифры — один из способов обеспечить такой доступ. При этом уже сегодня есть удобные решения: например, Яндекс Браузер поддерживает отечественные сертификаты, позволяя получать доступ к сайтам без дополнительных настроек. Востребованность такой возможности подтверждается в том числе и ростом аудитории Браузера. Пользователи других браузеров также могут установить сертификаты в операционную систему самостоятельно, если это необходимо.

Помимо поддержки сертификатов, важны дополнительные механизмы безопасности. Например, Яндекс Браузер проверяет, зарегистрирован ли сертификат сайта в публичных журналах Certificate Transparency (CT), которые позволяют отслеживать выпуск сертификатов и выявлять нарушения требований безопасности. Если сертификат не проходит необходимые проверки, Браузер блокирует соединение и предупреждает пользователя, не позволяя ему перейти на потенциально небезопасный сайт.

Мнение редакции

Наличие собственного сертификата ещё не означает независимости цифрового сервиса. Важно не только то, кто подтверждает подлинность сайта, но и то, признаёт ли это подтверждение браузер пользователя. А зарубежные разработки этого, естественно, не делают. Именно на этом стыке технических правил и санкционных ограничений возникает проблема, которую одной заменой поставщика решить не получится.