О чем не пишут в лентах новостей про массовый отзыв TLS-сертификатов у российских организаций.
Фактически дело в Google & Apple, а точнее в их подданстве (США) — именно эти компании подпадают под Strict Liability в вопросах нацибеза и санкционного режима (OFAC & BIS). Когда госрегулятор приходит не с предписаниями, а уже со штрафами и уголовными делами для топ-менеджеров, за ненадлежащую проверку контрагентов по SDN (список рестрикций в США).
Изменение регламента в «CA/Browser Forum» инициирован этими компаниями, чтобы избежать подобного сценария преследования и разбирательств с Минюстом США.
Если какой-то из удостоверяющий центров продолжит выписывать сертификаты для российских «подсанкционных» юрлиц, то вообще все сертификаты выданные этим центром перестанут работать в платформах Google & Apple. И речь не только про Android, но и браузер Chrome на какой бы ОС таковый ни выполнялся. Поскольку техническая сторона вопроса такова, что Chrome самостоятельно решает каким корневым (root'овым) сертификатам доверять (от каких удостоверяющих центров).
Это вшито в кодовую базу и затрагивает махом сразу все браузеры на базе Chromium'а — как Vivaldi, Brave и т.п.
Установка сертификаты Минцифры РФ пользователем самостоятельно трактуется как доверенный, но будет работать лишь до тех пор, пока тот же Google не решит запретить использование такового на своих устройствах и в экосистеме Chrome & Chromium.
Почему не отозван сертификат у Госуслуг?
У этого ресурса сертификат DV (Domain Validation) типа, когда неизвестно какая организация стоит за доменом, а выдача сертификата производится лишь по факту автоматической проверки контроля за доменом. Т.е. в отличии от OV/EV типа сертификатов не производится никакой проверки юрлица стоящего за онлайн-ресурсом.
Да и угрожать GlobalSign отменой корневого сертификата ни Google ни Apple не могут, т.к. это накроет медным тазом огромное количество ресурсов — фактически это миллионы ресурсов (как банковских, так и государственных порталов во многих странах).
Далее, всегда в любых санкционных-рестрикциях прописывается исключение для критической гражданской инфраструктуры. Поскольку война официально не объявлена, то госрегуляторы не вправе требовать чинить препятствия работе того, что может повлиять на связь (телеком), здравоохранение и базовые государственные сервисы.
Отдельно про
техническую сторону вопроса работы системы PKI в плане сертификатов для веб-сайтов (и SCT-записи, и CT-логи и как пользовательские сертификаты ущемляются, а так же какой цифровой суверенитет в РФ из-за этого разворачивается).
#
https #
crypto #
криптография #
tls #
PKI #
pki #
google #
apple #
lang_ru @
Russia
