👨‍💻 Для российского ПО готовят свою цифровую подпись

В России создают собственную систему доверия к программам, чтобы разработчики меньше зависели от зарубежных центров сертификации. Минцифры предложило закрепить правила, по которым Национальный удостоверяющий центр (НУЦ) будет выдавать сертификаты для подписи программного кода.

До сих пор НУЦ работал преимущественно с сертификатами безопасности для сайтов и веб-сервисов. Теперь его инфраструктуру хотят распространить и на программное обеспечение. Давайте разберемся, как работает такая подпись и где ее смогут признавать.

🤨 Как работает подпись кода?
Сертификат подтверждает личность издателя и целостность программы. Если после публикации в код внесут изменения, проверка покажет, что подпись нарушена. При этом сертификат сам по себе не гарантирует отсутствие вирусов или уязвимостей.

Для подсанкционных разработчиков российская система снижает зависимость от иностранных удостоверяющих центров, которые могут прекратить выдачу или отозвать уже действующий сертификат.

🛡 Станет ли НУЦ полноценной заменой западным сертификатам?
Внутри российской инфраструктуры — вполне может. В первую очередь это инструмент для российских ОС, корпоративных систем, государственных информационных систем и других сред, где доверие к НУЦ можно настроить централизованно.

На зарубежных платформах все зависит от того, доверяет ли сама система такому сертификату и признает ли его цепочку доверия. Одного использования RSA недостаточно, чтобы подпись автоматически считалась доверенной.

В Windows корневой сертификат можно добавить в доверенные вручную, но это создаст доверие только в конкретной системе или инфраструктуре и не обеспечит автоматического признания сертификата самой Microsoft.

На текущий момент в Android модель другая: система проверяет прежде всего подпись самого приложения и ключ разработчика. А магазины приложений устанавливают собственные правила публикации и подписи.

👀 Что может появиться вокруг новой системы?
Вокруг сертификатов НУЦ может возникнуть целый рынок дополнительных сервисов: удаленная подпись кода, безопасное хранение ключей, автоматическая подпись новых версий программ, проверка разработчиков, контроль срока действия и отзыв сертификатов.

Такие решения могут развивать удостоверяющие центры, компании по информационной безопасности, облачные сервисы и системные интеграторы. К этому рынку также могут подключиться разработчики средств криптографии и российских операционных систем.

Главное условие — сделать работу с сертификатами бесшовной для разработчиков. Если их можно будет без лишних сложностей встроить в обычный процесс разработки и выпуска ПО, рынок будет расти гораздо быстрее. Главными ограничениями могут стать несовместимость отдельных платформ, избыточные ручные настройки и лишняя бюрократическая волокита.

⏺«Богатырёва о цифре» в Максе