Японский центр сертификации GlobalSign 13 июня начал принудительно отзывать ранее выданные SSL-сертификаты у компаний из России. Эти сертификаты — своего рода «цифровые паспорта» сайтов: именно они отвечают за значок замка в адресной строке, протокол HTTPS и подтверждают, что вы подключились к настоящему ресурсу, а не к подделке. Без действующего сертификата браузеры вроде Chrome, Firefox и Safari начинают считать сайт небезопасным.
Формальная причина кроется в новых правилах международного консорциума CA/Browser Forum, который устанавливает единые стандарты выпуска сертификатов для всех крупнейших центров и разработчиков браузеров. С 4 мая проверка организаций по санкционным спискам стала из рекомендательной обязательной. Поскольку GlobalSign принадлежит японскому холдингу и работает под юрисдикцией Евросоюза, компания обязана этим правилам следовать — и после аудита портфеля приступила к отзыву.
Для обычного пользователя это выглядит просто: при попытке открыть затронутый сайт браузер покажет красное предупреждение «Соединение не защищено», а многие приложения и корпоративные системы могут и вовсе заблокировать доступ. Под ударом не только сайты — отзыв касается и сертификатов для подписи программного кода, без которых нельзя установить приложение на Windows, macOS или iOS. Так что часть мобильного и десктопного софта тоже рискует столкнуться с проблемами.
Оценки масштаба расходятся. По данным собеседников на рынке, в списке на отзыв находится порядка 15–20 тысяч доменов второго уровня, а с учётом поддоменов реальное число сертификатов может измеряться сотнями тысяч. В Минцифры, впрочем, дают более сдержанную оценку: по их словам, доля GlobalSign в Рунете не превышает 5%, и в худшем случае сайты окажутся недоступны лишь ненадолго — пока владельцы получают новые сертификаты. Для справки: в мире GlobalSign занимает второе место среди всех центров сертификации и остаётся крупнейшим среди коммерческих.
Выход из ситуации есть, но у каждого варианта свои нюансы. Отечественные сертификаты Минцифры выдаются бесплатно через «Госуслуги» и не боятся санкций, однако их пока не признают зарубежные браузеры. Бесплатный Let’s Encrypt остаётся доступным, а переход на китайские центры обходится заметно дороже и тоже не страхует от подобных отзывов. При этом GlobalSign оставался последним крупным международным коммерческим центром, продолжавшим полноценно работать с Россией после того, как DigiCert, Sectigo и другие свернули выпуск сертификатов для российских доменов ещё в 2022 году.
Сталкивались ли вы уже с предупреждениями браузера о небезопасных сайтах — и насколько критичной видите эту ситуацию лично для себя?
НовостиЖелезо и технологииРоссия
Источник: vgtimes.ru