Удостоверителният център GlobalSign, регистриран в Белгия и собственост на японската корпорация GMO Group, започна оттеглянето на SSL сертификати, издадени на руски компании, попадащи под действащите санкции на Европейския съюз. В имейл до партньорите на компанията GlobalSign, изпратен от директора на руското представителство, се посочва, че оттеглянето на сертификатите е започнало на 13 юни в 04:10 (MSK) и ще се извършва на етапи. Като причина е посочено становището на консорциума CA/Browser Forum, който действа като платформа за съвместно вземане на решения с оглед интересите на производителите на браузъри и удостоверителните центрове, за новите изисквания за проверка на организациите при издаването на сертификати.
Става въпрос за разширени TLS сертификати от тип EV (Extended Validation), които удостоверяват заявените параметри на идентификация и изискват не само проверка на правото на домейна, но и извършване на проверка от удостоверителния център за съществуването и легалния статус на компанията, получаваща сертификата. При работа с сайтове, разполагащи с EV сертификати и сертификати, получени само чрез потвърждение домейн, се показва еднаква икона.
Посочено е, че в новата версия на регламента за издаване на EV сертификати, влязла в сила на 4 май, се съдържа пряка забрана за удостоверителните центрове да издават сертификати на компании от санкционните списъци, а проверката по списъците с блокировки е станала не само препоръчителна, но и задължителна.
Тази информация не е вярна, тъй като споменатите изисквания бяха добавени от CA/Browser Forum в по-ранна версия на регламента (поне проследяват се в версия 1.7.0 от 2019 година). В точките 3.2.2.12.2 и 4.1.1.1, предписващи проверка в санкционните списъци, в новата версия на документа не са направени промени (версия 2.0.2 от 4 май 2026 година, версия 2.0.1 от 6 май 2024 година).
В точка 4.1.1.1 сред условията за преминаване на проверката при получаване на EV-сертификат е упоменато отсъствието на проверяваната компания в списъците на забранени организации или организации, които попадат под ембарго, в съответствие с законодателството на страната, в която е регистриран удостоверяващият център. В точка 3.2.2.12.2 е посочено, че удостоверяващият център е длъжен да провери наличието на организацията, искала сертификата, в списъците на забранени лица и организации, действащи в страната, в която е юрисдикцията на удостоверяващия център, както и в страните, в които удостоверяващият център осъществява своята дейност.
Удостоверяващият център е длъжен да не издава EV-сертификат, ако искалата сертификата организация присъства в подобни списъци или ако действа или е регистрирана в страна, с която законодателството на страната, в която е регистриран удостоверяващият център, забранява бизнес.
Компанията GlobalSign е регистрирана в Белгия и е задължена да спазва санкционните ограничения, действащи в Европейския съюз. Освен индивидуални санкции, в Европейския съюз действат и наложените в 14 пакета санкции забрани за предоставяне на корпоративен софтуер и за предлагане на ИТ-услуги на руски юридически лица. Предполага се, че GlobalSign до днешна дата не е изпълнявал тези изисквания, ползвайки въведеното в законодателството изключение, позволяващо предоставяне на услуги на санкционирани компании за осигуряване на сигурността в интернет като цяло. Сега издаването SSL-сертификати вече е квалифицирано от юристите на GlobalSign или регулаторните органи като предоставяне на търговски ИТ-услуги, което попада под санкционните забрани.
Източник: opennet.ru
