Вечером 3 августа корреспонденты РБК обнаружили, что сайты нескольких крупных российских банков не загружаются в Google Chrome, Safari и других зарубежных браузерах. Недоступность коснулась, в частности, ВТБ и его веб-приложения, установленного на смартфон в виде ярлыка. Три источника издания связали проблему с отзывом зарубежных SSL-сертификатов. Вследствие этого банк перевел сервисы на сертификат Национального удостоверяющего центра Минцифры.
SSL-сертификат подтверждает подлинность сайта и шифрует обмен данными между браузером и сервером. После отзыва цифрового документа браузер перестает доверять ресурсу, предупреждает пользователя о небезопасном соединении либо полностью блокирует загрузку страницы. Массовый отзыв сертификатов GlobalSign у российских компаний начался в июне.
Российский корневой сертификат отсутствует в стандартных хранилищах доверия большинства иностранных браузеров. По этой причине Chrome, Safari, Edge и другие программы не могут автоматически подтвердить подлинность сайтов, перешедших на документы Национального удостоверяющего центра. Из-за этого банковские ресурсы оказываются недоступными для части клиентов. ВТБ на своем сайте предупредил, что в такой ситуации пользователь видит предупреждение о небезопасном соединении. Обойти его можно через дополнительные настройки, однако такой способ опасен: есть риск перейти на поддельный ресурс, имитирующий официальный сайт банка.
ВТБ рекомендовал клиентам установить российские сертификаты безопасности Минцифры либо использовать "Яндекс Браузер". Российский браузер поддерживает национальную инфраструктуру доверия, поэтому сайт и веб-приложение банка работают без дополнительных настроек. Владельцам устройств с ранее установленными сертификатами Минцифры также не требуется менять параметры.
Проверка РБК показала аналогичные проблемы с сайтами "Сбера", Альфа-банка, Россельхозбанка, банка "Уралсиб", Промсвязьбанка и банка "Санкт-Петербург". Среди проверенных ресурсов в зарубежном браузере загрузился только сайт Т-Банка. При этом через "Яндекс Браузер" все перечисленные сайты открывались без ошибок.
Альфа-банк, в свою очередь, сообщил об отсутствии сбоя в собственных сервисах. Кредитная организация объяснила недоступность сайта ограниченной поддержкой российских сертификатов в иностранных браузерах. "Сейчас не все онлайн-сервисы работают с иностранными сертификатами безопасности", - заявили в пресс-службе Альфа-банка. Клиентам предложили установить документы Минцифры по инструкции на сайте либо перейти на "Яндекс Браузер".
Предупреждение о возможных сбоях появилось еще 23 июля. Минцифры сообщило, что некоторые российские сайты могут перестать корректно открываться в зарубежных браузерах, если иностранные удостоверяющие центры отзовут их SSL-сертификаты. Ведомство рекомендовало пользователям установить корневой и выпускающий сертификаты Национального удостоверяющего центра, доступные через "Госуслуги". Пользователям "Яндекс Браузера" дополнительные действия не требуются.
Проблемы с доступом стали следствием отзыва цифровых документов международными удостоверяющими центрами. В июне японская GlobalSign аннулировала сертификаты примерно для 15-20 тысяч российских доменов второго уровня, а затем запустила вторую волну отзыва. Дополнительный перечень включал более 300 доменных имен, связанных с "Роснефтью", Газпромбанком, АЛРОСА, ВЭБ.РФ и другими организациями.
Сложившаяся ситуация затрагивает крупнейшие кредитные организации, которые уже начали разъяснительную работу с клиентами. Для банков это означает дополнительные издержки на поддержку пользователей и необходимость ускорять переход на национальную инфраструктуру сертификации. Клиенты, использующие иностранные браузеры, сохраняют риск столкнуться с блокировкой ресурсов до установки сертификатов Минцифры. Практика отзыва сертификатов международными центрами, вероятно, продолжится, поэтому российским компаниям придётся адаптироваться к работе в новых условиях.
