«Руцентр» сообщил о плане GlobalSign провести новый массовый отзыв SSL/TLS-сертификатов у российских сайтов, передаёт РБК. Об этом на мероприятии компании 11 ноября рассказал руководитель развития доменов и сопутствующих сервисов «Руцентра» Георгий Казаров. Речь идёт о десятках сертификатов организаций, в том числе попавших в последний санкционный список Евросоюза.
По словам Казарова, волны отзыва идут с лета. Помимо GlobalSign сертификаты отзывал греческий удостоверяющий центр HARICA, причём делал это за секунды, не давая владельцам сайтов времени на реакцию. Всего зарубежные центры отозвали 11 тыс. сертификатов у 1,3 тыс. российских организаций. Из них на GlobalSign пришлось 4830 сертификатов, на HARICA - 3456.
Сертификат подтверждает подлинность сайта и шифрует трафик. Без действующего сертификата зарубежные браузеры, включая Chrome, Safari и Firefox, могут не открыть сайт или показать предупреждение о небезопасном соединении. Для банков, магазинов и внутренних сервисов это означает риск недоступности и недоверия пользователей.
Основная причина отзыва - требования CA/Browser Forum, которые с мая обязывают удостоверяющие центры проверять клиентов по санкционным спискам OFAC, BIS и европейским аналогам. Также отзыв возможен из-за законодательства страны центра сертификации или жалоб третьих лиц. В «Руцентре» отмечают, что иногда центры ошибаются и отзывают сертификаты без оснований; в таких случаях компания пытается оспорить решение.
В России действует Национальный удостоверяющий центр Минцифры, но его сертификаты признают только российские браузеры. После перехода на них сайты некоторых банков перестали нормально открываться за рубежом. В конце октября Ассоциация банков России предложила шире применять отечественные сертификаты, в том числе устанавливать их на мобильные устройства и предустанавливать на технику для российского рынка; Минцифры обещало рассмотреть предложения.
Для владельцев сайтов практический вывод: заранее проверить, какой центр выпустил сертификат и не входит ли организация в санкционные списки. Если сертификат отозван, сайт может остаться доступным в российских браузерах с национальным сертификатом, но для зарубежной аудитории потребуется отдельное решение. Внутренние сервисы и API стоит проверить отдельно: там предупреждение браузера может остановить интеграцию, а не только показать баннер посетителю.
Отзыв затрагивает не только публичные сайты. Если сертификат использовался для API, платёжных интеграций или служебных доменов, предупреждение браузера может остановить обмен данными между системами. Поэтому проверять стоит весь периметр: внешние домены, поддомены, тестовые среды и сервисы, которые обращаются к ним автоматически. Для организаций из санкционных списков риск повторных волн сохраняется, а замена на сертификат другого зарубежного центра не гарантирует, что его не отзовут по тем же требованиям.
Национальный сертификат решает проблему только в браузерах, которые доверяют российскому корню. Для зарубежных пользователей и партнёров это не эквивалентная замена, поэтому компаниям приходится либо мириться с предупреждениями, либо строить отдельный контур для внешней аудитории.
Отдельный вопрос - сроки. Уведомление о новой волне приходит заранее, но у организаций остаётся мало времени на выпуск и установку замены, особенно если доменов много. Поэтому проверку сертификатов стоит включить в регулярный мониторинг, а не ждать письма от удостоверяющего центра.
