Японский GlobalSign начал принудительно отзывать SSL-сертификаты российских компаний
Японский GlobalSign — один из крупнейших центров сертификации в мире — утром 13 июня начал процедуру принудительного отзыва ранее выпущенных SSL-сертификатов у компаний из России. Об этом сообщает РБК со ссылкой на письмо гендиректора российского юрлица «Джи-Эм-О Глобал сайн раша» Дмитрия Рыжикова в адрес партнеров компании в стране. Подлинность письма изданию подтвердили четыре собеседника на рынке хостинг-провайдеров.
- SSL-сертификат подтверждает подлинность сайта: он гарантирует, что пользователь подключился именно к тому ресурсу, к которому хотел, а не к поддельному, и шифрует трафик между браузером и сервером, делая его недоступным для перехвата. Без действующего сертификата зарубежные браузеры — Google Chrome, Safari, Firefox — отказываются открывать сайт или выводят предупреждение о небезопасном соединении.
В письме Рыжикова говорится, что Международный консорциум CA/Browser Forum (глобальный регулятор, который устанавливает единые правила выпуска и отзыва цифровых сертификатов) утвердил обновленные требования к проверке организаций. Согласно новым регламентам консорциума, он обязан жестко соблюдать международные санкции. «В связи с этим глобальный удостоверяющий центр начал процедуру принудительного отзыва части ранее выпущенных сертификатов для компаний из России», — говорится в письме. Отзыв будет проходить поэтапно, начиная с 13 июня 4:10 мск.
В 10:00 13 июня Т-банк разослал части своих клиентов СМС, в которых предупредил, что из-за санкций у некоторых российских сайтов или приложений могут быть проблемы со входом, рассказал РБК клиент банка, получивший такое сообщение. РСХБ, в свою очередь, предупредил, что старая версия приложения на Android может работать с ошибками.
В мире cреди коммерческих центров сертификации GlobalSign — крупнейший. Замгендиректора Astra Cloud Константин Анисимов в разговоре с РБК заявил, что в коммерческом сегменте западных сертификатов GlobalSign занимает в России около 90% рынка, среди бесплатных сертификатов лидирует Let’s Encrypt, а госсектор использует сертификаты Минцифры.
Представитель Минцифры сообщил РБК, что при отзыве иностранного сертификата «в худшем случае сайты и онлайн-сервисы, у которых они отзываются, могут быть недоступны непродолжительное время, пока владельцы получают новые сертификаты». «При этом, по данным открытых источников, доля GlobalSign в рунете не превышает 5%», — дополнил он.
«Когда в марте 2022 года иностранные компании, выдававшие сертификаты безопасности, стали отзывать их, в России начали безвозмездно выдавать качественные аналоги — отечественные TLS-сертификаты. Юрлица, владеющие сайтами, могут получить их бесплатно на «Госуслугах». Сертификат помогает передавать данные в зашифрованном виде, подтверждать подлинность сайта и защищает онлайн-транзакции», — напомнил представитель Минцифры.
По данным еще одного собеседника РБК, в списке на отзыв сертификатов находится около 15–20 тысяч доменов второго уровня — то есть основных адресов сайтов, но под каждым таким доменом могут находиться сотни или тысячи поддоменов третьего и следующих уровней, каждый из которых тоже защищен отдельным SSL-сертификатом. «Поэтому реальное количество сертификатов, оказавшихся под угрозой отзыва, может измеряться сотнями тысяч или даже миллионами — особенно если в списке окажутся домены крупных банков, госструктур и технологических платформ с разветвленной сетью поддоменов», — говорит он.
Независимый эксперт рынка информационной безопасности Алексей Лукацкий сказал, что реальный масштаб последствий станет понятен ближе к концу лета. При этом для небольших негосударственных компаний и физических лиц событие «большого значения не имеет».