Российские ОС предложили оснащать корневыми сертификатами по умолчанию

Ассоциация банков России (АБР) предложила изменить порядок распространения корневых сертификатов Национального удостоверяющего центра (НУЦ) Минцифры, чтобы пользователям не приходилось самостоятельно настраивать устройства для доступа к финансовым сервисам. Соответствующее обращение направлено главе Минцифры Максуту Шадаеву.

Инициатива связана с отзывом TLS-сертификатов российских организаций зарубежными удостоверяющими центрами. Ограничения начали вводиться в 2022 году, тогда же в России заработал НУЦ, обеспечивающий альтернативный механизм подтверждения безопасности интернет-соединений. В мае 2026 года CA/Browser Forum ужесточил санкционные требования к проверке российских организаций. Вслед за этим иностранные центры стали аннулировать ранее выданные сертификаты. В июне к ним присоединился GlobalSign, начавший отзывать сертификаты организаций из санкционных списков.

Для банков такие ограничения оборачиваются предупреждениями о небезопасном соединении, затрудняют доступ клиентов к интернет-банкингу, а в отдельных случаях делают использование веб-сервисов невозможным. По данным АБР, каждая вторая кредитная организация сталкивалась с соответствующими жалобами. В одном из банков в первые 3-5 дней проблемы с настройкой сертификатов возникли примерно у 10% клиентов.

Предложения АБР:

• Автоматическая установка сертификатов через приложения. Встраивать корневые сертификаты НУЦ при загрузке и обновлении отечественных мобильных приложений, избавив пользователей от ручной настройки. 
• Интеграция в ОС. Включать сертификаты НУЦ в отечественные ОС по умолчанию, а для Windows, Linux и других распространенных систем разработать инструменты упрощенной установки. 
• Предустановка на устройства. Обязать производителей компьютеров, смартфонов и другой электроники поставлять устройства с уже установленными сертификатами НУЦ.
• Установка через «Госуслуги». Создать механизм автоматизированной установки сертификатов через государственный портал, сократив действия пользователя до одного клика.
• Контроль актуальности сертификатов. Разработать систему мониторинга ранее выданных сертификатов для отслеживания их состояния и своевременного обновления.
• Информирование пользователей. Организовать разъяснительную работу о назначении сертификатов, принципах их действия и влиянии на доступность цифровых услуг.
• Международная кросс-сертификация. Наладить взаимное признание сертификатов с удостоверяющими центрами стран БРИКС и других дружественных государств для облегчения доступа к российским интернет-ресурсам из-за рубежа.
• Распространение сертификатов среди иностранцев. Размещать официальные сертификаты, подписанные установочные файлы и многоязычные инструкции на государственных ресурсах, включая сайт Минцифры и «Госуслуги».
• Упрощение доступа для иностранных пользователей. Предусмотреть удобную процедуру настройки устройств и информирование приезжающих в Россию о необходимости установки сертификатов непосредственно при въезде в страну.

Международные инициативы АБР намерена изложить в отдельном обращении к Банку России. Особое внимание предполагается уделить доступу к российским сайтам при осуществлении внешнеэкономической деятельности, реализации международных проектов и туристических поездках.

В Минцифры отметили, что российские сертификаты необходимы, в частности, для доступа к веб-версиям банковских сервисов через зарубежные браузеры, включая Google Chrome, Safari и Edge. Ведомство совместно с крупнейшими банками уже проводит разъяснительную работу по их распространению. Использование сертификатов НУЦ, по оценке министерства, позволит сохранить защищенный доступ к электронным сервисам при отзыве документов иностранными удостоверяющими центрами.

Эксперты по информационной безопасности считают большинство предложений технически реализуемыми, однако указывают на ограничения мобильных ОС. На iPhone автоматическая установка стороннего корневого сертификата не обеспечивает доверия к нему со стороны всех приложений. На Android добавление сертификата также не гарантирует его использование всеми программами. Поэтому реализация инициативы через обновления приложений может потребовать изменения существующих механизмов защиты.

Дополнительные риски связаны с обязательной предустановкой государственного корневого сертификата. Она концентрирует доверие в одной инфраструктуре, оператор которой теоретически получает возможность выпускать сертификаты для любых доменов. При определенных условиях это создает предпосылки для перехвата зашифрованного трафика.

В качестве более безопасной альтернативы специалисты предлагают настраивать доверие к российским сертификатам непосредственно внутри банковских приложений, не распространяя его на всю операционную систему устройства.