Российский интернет теряет сертификаты: GlobalSign начал отключения, это может затронуть десятки тысяч сайтов
Японский удостоверяющий центр GlobalSign начал процедуру отзыва части SSL-сертификатов, ранее выданных российским компаниям. Об этом стало известно из письма генерального директора российского подразделения компании «Джи-Эм-О Глобал Сайн Раша» Дмитрия Рыжикова, которое было направлено партнерам GlobalSign в России, сообщает РБК.
В документе говорится, что новые требования международного консорциума CA/Browser Forum, объединяющего крупнейших разработчиков браузеров и удостоверяющие центры, теперь требуют обязательного соблюдения санкционных ограничений при выпуске и обслуживании сертификатов. В результате GlobalSign приступила к отзыву части ранее выданных сертификатов для российских организаций.
SSL-сертификаты обеспечивают работу защищенного соединения HTTPS и подтверждают подлинность сайта. После их отзыва браузеры Google Chrome, Safari, Firefox и другие могут показывать предупреждение о небезопасном соединении или блокировать доступ к ресурсу.
Представитель Минцифры сообщил РБК, что доля GlobalSign в российском сегменте интернета не превышает 5%, а владельцы сайтов могут использовать российские TLS-сертификаты, которые бесплатно выдаются через Национальный удостоверяющий центр на портале «Госуслуги».
При этом оценки участников рынка отличаются. Заместитель генерального директора Astra Cloud Константин Анисимов заявил, что среди коммерческих зарубежных сертификатов GlobalSign фактически занимает до 90% российского рынка, тогда как бесплатные сертификаты в основном предоставляет Let’s Encrypt, а государственные структуры используют сертификаты Минцифры.
Генеральный директор Timeweb Андрей Баширов отметил, что после отзыва сертификата пользователи могут столкнуться с предупреждениями браузеров о небезопасном соединении. По его словам, многие корпоративные системы и сервисы способны полностью блокировать доступ к таким ресурсам.
Независимый эксперт по информационной безопасности Алексей Лукацкий считает, что нынешний отзыв сертификатов — лишь начало более масштабного процесса. Он отмечает, что новые правила затрагивают большое количество российских компаний, уже находящихся под санкциями. По его словам, проблема касается не только сайтов, но и программного обеспечения, поскольку сертификаты используются для подписи приложений под Windows, macOS и iOS.
Генеральный директор хостинг-провайдера RUVDS Никита Цаплин назвал происходящее «серьезным инфраструктурным риском». По его словам, наиболее уязвимыми окажутся мобильные приложения, использующие механизм Certificate Pinning, когда приложение доверяет только заранее заданному сертификату. В этом случае после его отзыва связь приложения с сервером может полностью прекратиться до выпуска обновления.
Цаплин также отметил, что российские сертификаты Минцифры не признаются зарубежными браузерами, а переход на удостоверяющие центры из других стран не гарантирует защиты от аналогичных ограничений в будущем. По его мнению, это приведет к дальнейшему разделению интернет-инфраструктуры на внутренний российский и внешний международный контуры.
По данным одного из собеседников РБК на рынке информационной безопасности, под отзыв могут попасть сертификаты для 15–20 тысяч российских доменов второго уровня. С учетом поддоменов речь может идти о сотнях тысяч или даже миллионах сертификатов, используемых российскими компаниями и сервисами.
© iXBT
