После того, как западные удостоверяющие центры (УЦ) начали уходить с российского рынка из-за введения санкций, в Минцифры приняли решение заменить иностранные сертификаты шифрования российскими. Отзыв зарубежных грозит обернуться для обыкновенных пользователей проблемами с безопасностью зашифрованных интернет-соединений. Прежде всего, это касается сайтов, на которых происходят приемы платежей.

Для начала - небольшой ликбез. TLS-сертификат нужен, чтобы мошенники не могли перехватить личные данные, которые пользователи вводят на сайте. В них входят логины и пароли от аккаунтов, номера банковских карт, адреса электронной почты и т.п.

Выдавать такие сертификаты Минцифры планирует на Госуслугах в полностью дистанционном режиме:

«Все браузеры и операционные системы должны будут поддержать работу TLS-сертификатов на сайтах, которые их получат. Увидеть полный перечень доменов, на которые выданы сертификаты, можно будет на портале Госуслуг», - говорится в сообщении ведомства.

Выпускать сертификаты будет Национальный удостоверяющий центр (НУЦ). Власти давно готовились к их установке на отечественные ресурсы на случай конфликта с западными партнерами. Еще в 2017 году российское шифрование тестировали на тех же Госуслугах.

Однако развернуть такой удостоверяющий центр недостаточно. Необходимо, чтобы браузеры и операционные системы внесли его в список доверенных, а в текущей ситуации это проблемно:

«Конечно, Яндекс.Браузер или российское криптографическое ПО это сделают, но гораздо большее количество пользователей используют другие браузеры и openvpn. Пользователь может, конечно, внести этот УЦ в свой список вручную, но сколькие из них об этом знают и тем более умеют... Вероятно, такой УЦ несколько смягчит проблемы, но точно не разрешит их», - комментирует ситуацию Генеральный директор ГК «Март» Александр Солодовников.

Проблема с российским удостоверяющим центром, по мнению Солодовникова, заключается в том, что производители браузеров вряд ли внесут его в доверенные, а даже если внесут, то, скорее всего, в «черный список».

Не существует гарантий, что Правительство не будет использовать шифрование в своих целях. Например, усилит контроль за действиями российских граждан в сети и не будет перехватывать какую-либо конфиденциальную информацию. Эти опасения корреспондентам iluki.ruподтвердил в анонимной беседе сотрудник службы безопасности одного крупного российского банка:

«Если в итоге в стране все провайдеры, банки и прочие структуры перейдут на отечественные сертификаты, централизованно контролируемые властями, то ничего хорошего из этого не выйдет. Власти буквально смогут блокировать что угодно и мониторить любой трафик, поскольку будет возможность расшифровать его на полпути».

К слову, в последние дни с Госулуг пользователям уже начали приходить сообщения о проблемах с доступом к некоторым ресурсам. В сообщении сайта говорится, что для доступа ко всем необходимым порталам сейчас лучше всего установить Яндекс.Браузер или Атом.

К сожалению, отечественным сертификатам, которые уже встроены в эти браузеры, доверяют далеко не все, а MozillaFirefox вообще предупреждает пользователей о уязвимостях, которые они могут нести. Зарубежные разработчики браузеров уже блокировали сертификаты из-за нарушения норм безопасности. Например, в 2019 и 2020 популярные браузеры заблокировали корневой «сертификат безопасности» из Казахстана.

По мнению разработчиков браузеров, такие сертификаты могут скомпрометировать данные пользователей. Как будет разворачиваться ситуация с российскими сертификации, пока не ясно, но есть основания полагать, что повторится «казахстанский сценарий».