TLS-сертификат — это «цифровой паспорт» сайта, который подтверждает его подлинность, гарантируя, что пользователь подключился именно к тому ресурсу, к которому хотел, а не к поддельному, и шифрует трафик между браузером и сервером, делая его недоступным для перехвата (именно он отвечает за значок замка в адресной строке и протокол HTTPS). Без действующего сертификата зарубежные браузеры — Google Chrome, Safari, Firefox — отказываются открывать сайт или выводят предупреждение о небезопасном соединении.
Первая волна отзыва сертификатов безопасности российских сайтов прошла 13 июня. Источник РБК тогда сообщал, что в списке на отзыв находилось около 15–20 тыс. доменов второго уровня (основных адресов сайтов, под каждым из которых могут находиться сотни или тысячи поддоменов третьего и следующих уровней). Поддомены тоже защищены отдельными TLS-сертификатами, поэтому реальное количество сертификатов под угрозой отзыва могло измеряться сотнями тысяч, говорил тогда собеседник. Причиной отзыва стали новые правила глобального консорциума CA/Browser Forum — международного регулятора, в который входят все крупнейшие центры сертификации мира и разработчики браузеров (Google, Apple, Microsoft, Mozilla). Этот консорциум 4 мая утвердил документ, сделавший обязательной проверку клиентов по санкционным спискам — OFAC SDN List, BIS Denied Persons List и их европейским аналогам.
«Мы действительно получили от GlobalSign уведомление о возможном отзыве сертификатов для доменных имен, принадлежащих российским подсанкционным компаниям», — сообщил РБК представитель «Руцентра».
В письме GlobalSign, по его словам, «четко указано, что причина в комплаенс-требованиях по исполнению санкционных ограничений». В список на отзыв сертификатов попали, в частности, домены «Роснефти», «Газпромбанка», «Алросы», Positive Technologies, Объединенной авиастроительной корпорации (ОАК, входит в «Ростех»), АНО «Диалог», «ВЭБ.РФ» и других организаций — всего около 310 доменных имен от 44 компаний.
По его словам, сейчас служба поддержки «Руцентра» связывается с администраторами доменов из списка, чтобы предупредить их о риске отзыва.
«Параллельно компания направила заявки в российский центр сертификации «Технический центр Интернет» (ТЦИ) для выпуска за свой счет отечественных сертификатов взамен потенциально отозванных иностранных — для всего перечня пострадавших доменов. По той же схеме «Руцентр» действовал неделей ранее, когда получил первый перечень на отзыв», — дополнил он.
Представитель «Руцентра» предупредил, что ситуация с пересмотром санкционных требований может в ближайшее время распространиться и на других иностранных поставщиков сертификатов — прежде всего на американский Let's Encrypt.
«Поэтому компаниям под санкциями стоит дополнительно удостовериться в готовности к таким отзывам и наличии альтернативных российских решений от Минцифры или ТЦИ», — подчеркнул он.
Другие опрошенные РБК доменные регистраторы сообщили РБК, что пока не получали от GlobalSign нового письма об отзыве сертификатов безопасности российских сайтов.