В начале ноября японский удостоверяющий центр GlobalSign уведомил регистратора «Руцентр» о новом массовом отзыве SSL/TLS-сертификатов у российских сайтов. Об этом 11 ноября рассказал руководитель развития доменов и сопутствующих сервисов «Руцентра» Георгий Казаров, сообщает РБК. Речь идет о десятках сертификатов разных организаций, в том числе попавших в последний санкционный список Евросоюза.
Сколько сертификатов уже отозвано
Отзывы идут волнами с середины июня: тогда GlobalSign начал отзывать сертификаты российских компаний, а через несколько дней запустил вторую волну. Среди пострадавших оказался и сайт ФНС – из-за отзыва сертификата на elk.nalog.gov.ru перестали работать налоговый вычет и подача деклараций.
По данным «Руцентра», всего зарубежные удостоверяющие центры отозвали около 11 тыс. сертификатов у 1,3 тыс. российских организаций. На GlobalSign пришлось 4830 из них, на греческий центр HARICA – 3456. К HARICA переходили в том числе компании, у которых сертификаты ранее отозвал GlobalSign, но и там их отозвали – по словам Казарова, за несколько секунд, так что владельцы сайтов не успели заменить сертификаты.
Почему сертификаты отзывают
Главная причина – санкционные списки ЕС и США. В мае вступили в силу обновленные требования CA/Browser Forum – консорциума, в который входят крупнейшие удостоверяющие центры и разработчики браузеров Google, Apple, Microsoft и Mozilla. Проверка организаций по спискам OFAC SDN, BIS Denied Persons и их европейским аналогам стала обязательной, и выдавать сертификаты компаниям из этих списков центрам запрещено. Отзыв также может быть связан с законами страны, где находится удостоверяющий центр, или с жалобами третьих лиц. В «Руцентре» добавляют, что центры иногда отзывают сертификаты по ошибке, и в каждой волне регистратору удается исключить из списка хотя бы один из них.
Что это значит для пользователей
Без действующего сертификата Chrome, Safari, Firefox и Edge не открывают сайт или предупреждают о небезопасном подключении. Часть организаций переходит на сертификаты Национального удостоверяющего центра Минцифры, но зарубежные браузеры им не доверяют: в августе по этой причине перестали открываться сайты ряда российских банков.
Так Google Chrome открывает сайт с сертификатом Минцифры, если корневой сертификат не установлен. Изображение: Comss.ru
Корневые сертификаты Минцифры встроены в Яндекс Браузер, в остальных браузерах их нужно установить вручную – как это сделать в Windows, macOS, Linux, Android и iOS, мы рассказали в инструкции «Подключение не защищено»: как открыть сайты с российскими сертификатами. В конце октября Ассоциация банков России предложила сделать обязательной предустановку сертификатов Минцифры на смартфоны.
