Россия намерена создать собственный удостоверяющий центр для SSL-сертификатов

555

Работа по созданию государственного удостоверяющего центра, который будет выдавать сайтам в Рунете SSL-сертификаты, необходимые при защищённой передаче данных, началась в администрации президента, пишет «Коммерсант» со ссылкой на осведомлённые источники.

“Огромное количество сайтов в Рунете использует защищенное соединение: интернет-магазины, платежные системы, государственные сервисы, где пользователь вводит свои персональные данные. На государственном портале gosuslugi.ru используется SSL-сертификат, выданный удостоверяющим центром (УЦ) американской компании Comodo, а на портале ФНС nalog.ru — SSL-сертификат от компании Thawte, принадлежащей Symantec. Если они по какой-то причине отзовут эти сертификаты, это может поставить под угрозу защищенную передачу данных в Рунете”, — объясняет собеседник издания, близкий к администрации президента.

Стандартная процедура использования сертификата в самом общем виде такова. Прежде чем дать пользователю доступ к ресурсу с криптозащитой (HTTPS-соединение, осуществляется по специальному протоколу SSL) передаваемых данных, браузер проверяет сертификат ресурса путём обращения в сертификационный центр. Если сертификационный центр удостоверяет право ресурса обмениваться с пользователем защищённым трафиком, данные передаются (осуществляется банковская транзакция, происходит заказ билетов на самолёт, предоставляются сервисы электронного правительства и т.п.). К каким именно сертификационным центрам обращаться за подтверждением подлинности сервера, «решает» браузер – это одна из его функций.

Контроль над сертификационными центрами – важный инструмент влияния на онлайн-сервисы. Если этот инструмент не контролируется правительством, оно не вполне самостоятельно в управлении своими онлайн-ресурсами. Проблема не решается созданием своего центра сертификации – нужно ещё, чтобы браузеры к нему обращались в поисках сертификата. А это, в свою очередь, зависит от многих условий, в частности, от популярности сертификационного центра, доверия к нему разработчиков онлайн-сервисов, а также от доброй воли производителей браузеров.

Глава Фонда информационной демократии Илья Массух подтвердил «Коммерсанту», что создание УЦ будет обсуждаться рабочей группой по использованию информационно-телекоммуникационной сети Интернет в отечественной экономике.

Группа создана в начале февраля решением главы администрации президента Сергея Иванова для выполнения поручений президента РФ Владимира Путина. Массух возглавил подгруппу “Интернет + суверенитет”, в рамках которой, по его словам, “будут вырабатываться предложения по созданию УЦ с учетом мнения экспертов и компаний–разработчиков отечественных браузеров — “Яндекс.Браузер” и “Спутник””.

В Минкомсвязи от комментариев изданию отказались. Представитель “Яндекса” Ася Мелкумова сообщила, что в компанию не обращались с предложением добавить в “Яндекс.Браузер” корневые доверенные сертификаты SSL и что они “не планируют менять штатное поведение браузера и операционной системы в этом плане”. В “Ростелекоме”, совладельце браузера “Спутник”, отказались от комментариев.

Как пишет “Коммерсант”, в России существуют УЦ, которые выдают собственные SSL-сертификаты, однако они не предустановлены в ОС и браузерах, а потому пользователи, зашедшие на сайт с таким сертификатом, получают уведомление о небезопасном соединении до тех пор, пока самостоятельно не добавят эти УЦ в “коренные доверенные центры сертификации” на своем компьютере.

Собеседник “Коммерсанта”, близкий к администрации президента, сообщил, что предустановка российского сертификата будет решаться на переговорах с компаниями-разработчиками ОС и браузеров, а если они не пойдут навстречу, “мерами законодательного регулирования”.

Наиболее популярными мировыми УЦ являются Comodo, Symantec, GoDaddy, Geotrust, GlobalSign и др. Коренные SSL-сертификаты этих УЦ предустановлены в качестве “доверенных” во всех популярных операционных системах и браузерах. В России продажей сертификатов этих УЦ занимаются Ru-Center, Reg.Ru, Agava и др. В среднем объем продажи SSL-сертификатов в России в год «Коммерсант» оценил в 6,2 миллиарда рублей.

См. также “Поддержка криптографических алгоритмов ГОСТ 2012 добавлена в библиотеку OpenSSL” >>>