Десять сертификатов безопасности для российских сайтов
Новая классификация — это не просто увеличение цифры. Раньше сертификаты делились в основном по уровню проверки домена или организации. Теперь же каждый из десяти видов будет заточен под конкретную задачу.
Появились отдельные категории для подписи программного кода, для защиты корпоративных информационных систем и, конечно, для привычных сайтов. При этом сохраняется разделение на алгоритмы RSA и ГОСТ. Первые по-прежнему будут встраиваться в глобальные CT-логи, чтобы браузеры за пределами России их узнавали. Вторые — строго для внутренней инфраструктуры, с привязкой к конкретным классам средств шифрования.
Помимо новых типов, Минцифры предложило ужесточить правила отзыва сертификатов. Теперь действие могут прекратить не только по желанию владельца, но и в трех четко прописанных случаях.
-
Первый — если суд установит, что информация в сертификате недостоверна.
-
Второй — если у владельца отсутствует действительный ключ идентификации.
-
И третий — если ключ аутентификации совпадет с ключом, уже использованным в другом сертификате.
Эти меры призваны исключить ситуации, когда один и тот же ключ «гуляет» по разным ресурсам, или когда владелец теряет право на использование сертификата, но продолжает его применять. Для добросовестных компаний это лишь дополнительный стимул вести учет аккуратно.
К чему такие сложности?
Действительно, зачем городить десять типов, если раньше обходились тремя? Ответ лежит не в бюрократической прихоти, а в жестких практических потребностях, которые назрели за последние пару лет.
Раньше многие компании использовали один и тот же документ и для сайта, и для подписи внутренних приказов, и для защиты корпоративного портала. Это создавало зону неопределенности. Если сертификат скомпрометирован, понять, какие именно ресурсы под угрозой, было крайне сложно. Четкое разделение по задачам позволяет локализовать риски. Утекла ключевая информация для подписи ПО? Это не затронет SSL для сайта, и наоборот.
Федеральный закон №210-ФЗ, который вступает в силу одновременно с новой системой, предъявляет разные уровни защиты к разным типам информационных систем. Государственные порталы, банковские приложения и обычные блоги требуют разной устойчивости. Десять типов — это не прихоть, а попытка привязать класс сертификата к конкретному классу средств криптографической защиты информации (СКЗИ). Иначе говоря, каждый сертификат получает свой «уровень допуска» к шифрованию, и система автоматически подбирает нужный алгоритм под задачу.
Жесткая классификация с обязательным набором полей для каждого типа делает подделку более трудоемкой. Раньше злоумышленники могли манипулировать расширенными полями, чтобы выдать себя за другую организацию. Теперь каждое поле зафиксировано, и при проверке контролирующие органы сразу видят, соответствует ли сертификат своему заявленному типу. Если сайту выдан сертификат для подписи кода — это сразу красный флаг.
Пожалуй, самая главная причина — это будущее для внутреннего рынка. Да, за рубежом нашим сертификатам не доверяют, но страна строит собственную инфраструктуру доверия. Детализация позволяет создать прозрачную систему, где каждый сертификат имеет свое место и свою зону ответственности. Это упрощает аудит, ускоряет автоматическую проверку и дает бизнесу четкие инструкции: если у вас интернет-магазин, берите тип А; если разрабатываете софт для госзакупок — тип Б. Никакой путаницы.
По сути, такая сложность — это плата за порядок. Вместо того чтобы гадать, какой сертификат подойдет для вашего сценария, вы просто выбираете один из десяти готовых «конструкторов». Для владельцев сайтов, как и обещает Минцифры, это почти незаметно, потому что для них по-прежнему будет доступен тот же DV или OV сертификат*, что и раньше. А вот для сложных корпоративных систем такая детализация, наоборот, упрощает жизнь — она убирает серую зону и дает конкретный ответ на вопрос, каким сертификатом необходимо подписывать сетевые ресурсы.
Илья Шибанов, руководитель Яндекс Браузера: «Национальные сертификаты безопасности становятся частью новой инфраструктуры доверия, поэтому её законодательное регулирование — закономерный этап развития рынка. Яндекс Браузер поддерживает российские криптографические алгоритмы с 2022 года. Сайты с национальными сертификатами безопасности открываются в нём без дополнительных настроек со стороны пользователей. Подлинность сертификатов при этом проверяется через журналы прозрачности сертификатов. Кроме того, мы недавно запустили публичную программу для удостоверяющих центров, которые хотят добавить свой корневой сертификат в хранилище Яндекс Браузера: с прозрачными критериями отбора участников, независимым аудитом и открытой процедурой подачи заявки».
Инновации без перемен?
Если смотреть на картину целиком, то новая система — это скорее упорядочивание того, что уже работает. Десять типов вместо трех-четырех, жесткая классификация, усиленный контроль отзыва — все это выглядит как эволюция, а не революция.
Для рядового владельца сайта действительно почти ничего не изменится. Заявления, проверки, сроки — все по-старому. А вот для разработчиков программного обеспечения и крупных корпораций появятся новые инструменты, специально заточенные под их задачи.
Бизнесу и владельцам сайтов стоит паниковать?
Самый частый вопрос, который сейчас звучит: «Нам придется переоформлять все с нуля?» Минцифры уверяет, что принципиальных изменений в процедуре не произойдет.
Порядок подачи заявления, идентификация заявителя, проверка документов и перечень обязательных полей в сертификате останутся прежними. То есть если у вас уже есть действующий сертификат от Национального удостоверяющего центра, вы не почувствуете резких перемен. Единственное — при следующем продлении вам предложат выбрать один из десяти типов, соответствующий вашему реальному сценарию использования.
Для большинства владельцев обычных сайтов это будет либо подтверждение домена, либо подтверждение организации. Все как раньше. Так что слова чиновников о «бесшовности» перехода имеют под собой основания.
К сожалению, российские сертификаты нового образца не станут заменой международным. Зарубежные операционные системы и браузеры по-прежнему не доверяют российским корневым сертификатам..
Что это значит на практике? Если ваш сайт ориентирован на зарубежную аудиторию, то даже новый, правильно оформленный сертификат от Национального удостоверяющего центра не гарантирует, что в Chrome или Safari он будет принят без предупреждений. Единственный мостик — это сертификаты на алгоритме RSA, которые прописываются в глобальные логи, но и здесь полного доверия добиться сложно.
Минцифры честно признает этот факт. Новая система создается в первую очередь для внутреннего рынка, как ответ на отзыв иностранных центров сертификации из-за санкций.
* DV (Domain Validation) сертификат подтверждает только контроль над доменным именем, в то время как OV (Organization Validation) сертификат дополнительно подтверждает юридическое существование компании.
