С июня 2026 года международный центр сертификации GlobalSign начал принудительно отзывать TLS-сертификаты у некоторых российских сайтов. Разберёмся, почему это происходит и что это значит для пользователей.
TLS-сертификаты: как они работают и почему важны
TLS-сертификаты играют ключевую роль в обеспечении безопасности интернета. Они подтверждают подлинность соединения, гарантируя, что вы взаимодействуете именно с тем сайтом, который указан в адресной строке браузера. Кроме того, они содержат открытый ключ, необходимый для шифрования данных при обмене информацией между пользователями и интернет-ресурсами по протоколу HTTPS. Через эти сертификаты приложения также устанавливают связь со своими серверами. Потеря сертификата приводит к разрыву связи и прекращению работы приложения.
Кто выдаёт TLS-сертификаты?
TLS-сертификаты выдаются удостоверяющими центрами. Среди них выделяются японские и американские компании, такие как GlobalSign и Let's Encrypt. Оба центра входят в Международный консорциум CA/Browser Forum, который в феврале ввёл новые правила проверки организаций перед выдачей сертификатов.
Почему сертификаты отзывают?
Формально удостоверяющие центры должны отзывать сертификаты у компаний, попавших под санкции, с 2023 года. Однако теперь им необходимо действовать более активно. В соответствии с новыми правилами, центры обязаны проверять, не состоит ли заявитель в «каком-либо правительственном списке запрещённых лиц» или не находится ли он в юрисдикции, с которой запрещено вести бизнес по законодательству.
Центры сертификации обязаны проверять компании по списку Минфина США, санкционному перечню BIS и другим. Ранее это было рекомендацией. Обновлённые требования вступили в силу 4 мая, и GlobalSign сообщил о начале отзыва сертификатов 13 июня, как пишет РБК.
Что это означает для владельцев сайтов и приложений? СМИ сообщают, что под угрозой десятки тысяч сайтов и приложений организаций, попавших в санкционные списки. На момент публикации массовое распространение явление не получило. Помимо мессенджера Max, пока пострадали отдельные банковские приложения.
Крупные российские сервисы начали заранее получать новые TLS-сертификаты в других международных удостоверяющих центрах. Домены второго уровня ряда банков верифицируются сертификатом греческой компании HARICA. Однако эта мера может быть временной. Зарубежные регуляторы могут оказать давление на оставшихся участников рынка, и им придётся подчиниться. В случае продолжения тренда на изоляцию, компании будут вынуждены перейти на отечественную криптографию. В России есть свой удостоверяющий центр (НУЦ) под управлением Минцифры, но это создаст новые проблемы.
Угроза для пользователей: сайты перестанут открываться. Сайты с отечественными TLS-сертификатами не будут корректно работать в большинстве популярных браузеров, которые не признают НУЦ доверенным центром. Сертификат НУЦ сейчас встроен только в отечественные продукты, такие как «Яндекс Браузер».
При попытке открыть сайт с российским сертификатом в Google Chrome, Mozilla Firefox, Microsoft Edge, Safari или других зарубежных браузерах, появится предупреждение «Подключение не защищено». Поэтому даже государственные структуры не используют отечественные «цифровые паспорта». По данным специалистов, только 6% доменов российского госсектора имеют сертификат Минцифры.
Нажимать на предупреждение нельзя!
Предупреждение о небезопасном соединении не блокирует доступ, в большинстве браузеров есть кнопка «Всё равно перейти», но это плохая идея. Безопасность в интернете, включая шифрование данных, во многом зависит от TLS-сертификатов. Когда вы видите замочек и букву «s» после «http», вы понимаете, что это настоящий сайт, а не подделка мошенников.
Игнорирование предупреждений может привести к следующим последствиям:
- сайт может оказаться мошенническим, так как без сертификата легче подделать сайт банка или госсервиса;
- даже если сайт настоящий, ваши данные будут передаваться по незащищённому соединению и могут быть перехвачены злоумышленниками.
Не стоит формировать привычку игнорировать предупреждения и пользоваться незащищёнными соединениями.
Что можно сделать? Если вы используете «Яндекс Браузер» или другой отечественный браузер, переход сайта на российский сертификат будет незаметен. Если вы привыкли к Chrome, Firefox, Edge, Safari или другому зарубежному браузеру, у вас есть три варианта.
1. Скачать «Яндекс Браузер». Его можно использовать для работы с «Госуслугами», банками и другими местными сервисами, оставив Chrome или другой привычный браузер для доступа к «большому интернету».
2. Настроить отдельный профиль в Firefox и добавить сертификат НУЦ. Mozilla поддерживает создание независимых профилей с изолированными каталогами сертификатов, но это технически сложный вариант.
3. Универсальный, но спорный с точки зрения приватности способ — добавить корневой сертификат НУЦ на уровне операционной системы. В этом случае все браузеры и приложения будут доверять сертификатам Минцифры без предупреждений.
