Важно, что НУЦ выпускает сертификаты безопасности с 2022 года. Но стандартизация требований к таким сертификатам - важный шаг в развитии безопасности российских сайтов и информационных систем.
Большинство российских сайтов до сих пор пользуются зарубежными удостоверяющими центрами для выпуска сертификатов. В этом году у многих российских компаний, попавших в санкционные списки, сертификаты безопасности были отозваны зарубежными удостоверяющими центрами. Возникали риски полной недоступности информационных систем для пользователей, так как доверенное безопасное подключение с использованием старых сертификатов становилось невозможным.
"Проект приказа лишь систематизирует и формализует его работу, а также вводит публичные требования к совместимости с сертификатами безопасности НУЦ. У международных центров сертификации есть практика публиковать свою сертификационную политику (политику по выпуску сертификатов), где подробно описана их работа, в том числе состав сертификатов, чтобы пользователи точно знали, что они будут выпускать. Разрабатываемый приказ - это по сути часть такой сертификационной политики", - говорит руководитель проектов Центра сертификации ТЦИ Никита Новиков.
По его словам, отечественные TLS-сертификаты на сегодня не смогут полностью заменить иностранные, но создадут основу для устойчивости Рунета внутри страны. "Сами сертификаты, как у НУЦ, так и у ТЦИ, технологически ничем не отличаются от зарубежных. Сейчас главный вопрос - доверие этим центрам в экосистемах ОС и браузеров. Сертификатам НУЦ и ТЦИ уже доверяют все ключевые отечественные ОС, а "Яндекс Браузер" обеспечивает поддержку отечественных TLS-сертификатов, включая выпускаемые НУЦ и ЦС ТЦИ", - отмечает эксперт.
При этом большинство зарубежных браузеров (Chrome, Safari, Edge, Firefox) по умолчанию не включают корневой сертификат Национального удостоверяющего центра в свои списки доверенных, что часто не дает пользователям возможности загружать страницы отечественных сайтов. Руководитель лаборатории информационной и сетевой безопасности компании "Криптонит" Александр Спиридонов объясняет, что проблема доверия по умолчанию к корневому сертификату Минцифры в популярных операционных системах и браузерах есть, но она не критична. Для ручной установки сертификата в систему требуются некоторые навыки и желание, при этом в ряде российских операционных систем и браузеров сертификат уже предустановлен.
"Согласно обсуждаемым требованиям к сертификатам национального удостоверяющего центра предусмотрен выпуск сертификатов безопасности с применением российских криптографических алгоритмов. Однако поддержка таких сертификатов на стороне пользователя требует применения отечественных или специальных версий браузеров совместно с криптопровайдерами, поддерживающими российские криптоалгоритмы", - объясняет Спиридонов.
Также эксперты указывают, что эффективность новых требований будет зависеть не от криптографии - в этом случае безопасности самого сертификата, а от того, смогут ли российские сертификаты стать "родными" для браузеров. Для повышения безопасности нужна не только нормативная база, но и технологическая интеграция.
По словам старшего преподавателя кафедры КБ-14 "Цифровые технологии обработки данных" Института кибербезопасности и цифровых технологий РТУ МИРЭА Игоря Котилевеца, до 2022 года практически все российские сайты с HTTPS-соединением использовали сертификаты, выданные иностранными центрами сертификации, такими как Let's Encrypt, DigiCert, GlobalSign и другими. Эти центры признавались браузерами по умолчанию, и их сертификаты считались доверенными автоматически. Когда зарубежные центры перестали обслуживать российские компании и ограничили сроки действия своих сертификатов, многие сайты столкнулись с проблемой: либо использовать самоподписанный сертификат, который браузеры считают небезопасным, либо переходить на российские сертификаты НУЦ.
"Возникла проблема совместимости. Риски этой зависимости были очевидны: отказ в выдаче сертификатов, блокировка действующих, невозможность продлить срок действия. По сути, зарубежные центры держали под контролем доступность российских сайтов. Поэтому создание НУЦ и переход на отечественные сертификаты - это не вопрос удобства, а вопрос цифрового суверенитета", - говорит эксперт.