GlobalSign отключает сертификаты в России: как это повлияет на тысячи сайтов

После отзыва SSL-сертификатов сайты могут стать «небезопасными» для браузеров

Японский удостоверяющий центр GlobalSign начал процесс отзыва ряда SSL-сертификатов, ранее выданных компаниям России. Эта информация была озвучена в письме генерального директора российского филиала компании «Джи-Эм-О Глобал Сайн Раша» Дмитрия Рыжикова, которое было отправлено партнерам GlobalSign в России, сообщает РБК.

В документе указано, что новые требования международного консорциума CA/Browser Forum, состоящего из ведущих разработчиков браузеров и удостоверяющих центров, теперь обязывают соблюдать санкционные меры при выдаче и обслуживании сертификатов. В результате GlobalSign начала отзыв части сертификатов, ранее выданных российским организациям.

SSL-сертификаты обеспечивают функционирование защищенного соединения HTTPS и подтверждают идентичность сайта. После их отзыва браузеры, такие как Google Chrome, Safari и Firefox, могут выдавать предупреждения о небезопасном соединении или блокировать доступ к ресурсу.

Представитель Минцифры сообщил РБК, что доля GlobalSign в российском интернете не превышает 5%, в то время как владельцы сайтов могут воспользоваться российскими TLS-сертификатами, которые бесплатно предоставляются через Национальный удостоверяющий центр на портале «Госуслуги».

Однако мнения участников рынка различаются. Заместитель генерального директора Astra Cloud Константин Анисимов утверждает, что среди коммерческих иностранных сертификатов GlobalSign фактически контролирует до 90% российского рынка, тогда как бесплатные сертификаты в основном предоставляет Let’s Encrypt, а государственные учреждения используют сертификаты от Минцифры.

Генеральный директор Timeweb Андрей Баширов отметил, что после отзыва сертификатов пользователи могут столкнуться с предупреждениями браузеров о небезопасном соединении. По его словам, многие корпоративные системы и сервисы могут полностью блокировать доступ к таким ресурсам.

Независимый эксперт в области информационной безопасности Алексей Лукацкий считает, что текущий отзыв сертификатов — это лишь начало более широкого процесса. Он подчеркивает, что новые правила затрагивают множество российских компаний, уже находящихся под санкциями. По его мнению, проблема касается не только сайтов, но и программного обеспечения, так как сертификаты используются для подписания приложений для Windows, macOS и iOS.

Генеральный директор хостинг-провайдера RUVDS Никита Цаплин охарактеризовал происходящее как «серьезный инфраструктурный риск». Он отметил, что наиболее уязвимыми окажутся мобильные приложения, которые используют механизм Certificate Pinning, когда приложение доверяет только заранее определенному сертификату. В таком случае, после его отзыва, связь приложения с сервером может полностью прерваться до выхода обновления.

Цаплин также добавил, что российские сертификаты Минцифры не признаются зарубежными браузерами, а переход на удостоверяющие центры других стран не гарантирует защиту от аналогичных ограничений в будущем. По его мнению, это приведет к дальнейшему разделению интернет-инфраструктуры на внутренний российский и международный контуры.

Согласно данным одного из собеседников РБК на рынке информационной безопасности, под отзыв могут попасть сертификаты для 15–20 тысяч российских доменов второго уровня. Учитывая поддомены, речь может идти о сотнях тысяч или даже миллионах сертификатов, используемых российскими компаниями и сервисами.