Россия запускает собственную систему подписи ПО, обходя западные сертификаты

Новая система заработает с 2027 года

Министерство цифрового развития разработало проект правил для выдачи российских сертификатов, предназначенных для подписи программного кода. Эти сертификаты позволят операционной системе удостоверять издателя приложения и проверять, был ли изменён код после его выпуска. Основная цель данной инициативы — уменьшить зависимость отечественного программного обеспечения от зарубежных центров сертификации.

Цифровой сертификат функционирует как своего рода паспорт для программы. С его помощью система определяет, кто является разработчиком приложения, а в случае отсутствия подписи или использования неизвестного сертификата может предупредить пользователя о потенциальных рисках.

Национальный удостоверяющий центр (НУЦ), находящийся в ведении Минцифры, уже выдает российские сертификаты для веб-сайтов и онлайн-сервисов. После того как иностранные удостоверяющие центры начали отзывать сертификаты у российских компаний, эта инфраструктура стала особенно актуальной. Теперь аналогичный механизм планируется официально распространить и на программное обеспечение.

Проект включает 11 профилей сертификатов для веб-сайтов, программного кода и корпоративных информационных систем. Введение новых правил ожидается с 1 марта 2027 года.

Национальные сертификаты будут полностью функционировать в пределах России. Microsoft, Apple и Google не рассматривают НУЦ как доверенный центр по умолчанию, поэтому национальная подпись не поможет разработчикам, находящимся под санкциями, публиковать приложения в App Store или Google Play.

Обязательной для всего отечественного ПО новая подпись пока не станет. Тем не менее действующее законодательство позволяет правительству ввести такое требование для определённых категорий программ, особенно в области государственных закупок и объектов критической информационной инфраструктуры.

В то же время крупнейшие российские ИТ-компании, такие как «Астра», «СберТех», «Базальт СПО», «КриптоПро», «ИнфоТеКС» и «Лаборатория Касперского», развивают свой собственный Отраслевой технологический удостоверяющий центр. Однако право на выпуск национальных сертификатов закон предоставляет исключительно государственному НУЦ.