Удостоверяващият център GlobalSign започна оттегляне на EV сертификати от компании, които са под санкции

Удостоверителният център GlobalSign, регистриран в Белгия и принадлежащ на японската корпорация GMO Group, започна отзоваване на SSL сертификати, издадени по-рано на руски компании, попадащи под действие на действащите санкции в Европейския съюз. В писмо до партньорите на компанията GlobalSign, изпратено от директора на руското представителство, е посочено, че отзоваването на сертификатите е започнало на 13 юни в 04:10 (MSK) и ще бъде извършвано на етапи. Като причина е посочено твърдението на консорциума CA/Browser Forum, който е платформа за съвместно взимане на решения, в съответствие с интересите на производителите на браузери и удостоверителните центрове, за новите изисквания за проверка на организациите при издаване на сертификати.

Става въпрос за разширени TLS сертификати от ниво EV (Разширена Валидация), които потвърдяват обявените параметри за идентификация и изискват не само проверка на собствеността на домейна, но и извършване на проверка от удостоверителния център относно съществуването и легалния статус на компанията, получаваща сертификата. В браузърите, при работа със сайтове, които имат EV сертификати и сертификати, получени само чрез потвърждение, домейн, се показва една и съща икона.

Посочва се, че в новата версия на регламента за издаване на EV сертификати, влязла в сила на 4 май, е включена пряка забрана за удостоверителните центрове да издават сертификати на компании от санкционните списъци, а проверката по списъците за блокиране е станала не просто препоръчителна, а задължителна.

Тази информация не отразява действителността, тъй като посочените изисквания бяха добавени от CA/Browser Forum в по-ранна версия на регламента (поне са проследими във версия 1.7.0 от 2019 година). В точките 3.2.2.12.2 и 4.1.1.1, предписващи проверка в санкционните списъци, в новата версия на документа не са направени промени (версия 2.0.2 от 4 май 2026 година, версия 2.0.1 от 6 май 2024 година).

В чл. 4.1.1.1 сред условията за преминаване на проверка при получаване на EV-сертификат се споменава отсъствието на проверяваната компания в списъците на забранени организации или организации, попадащи под ембарго, в съответствие с законодателството на страната, в която е регистриран удостоверяващият център. В чл. 3.2.2.12.2 е указано, че удостоверяващият център е длъжен да провери наличието на организацията, поискала сертификата, в списъците на забранените физически лица и организации, действащи в страната, в която се намира удостоверяващият център, както и в страните, в които удостоверяващият център осъществява своята дейност.
Удостоверяващият център е длъжен да не издава EV-сертификат, ако организацията, поискала сертификата, присъства в подобни списъци или ако тя извършва дейност или е регистрирана в страна, в която е забранено извършването на бизнес съгласно законодателството на страната, в която е регистриран удостоверяващият център.

Компанията GlobalSign е регистрирана в Белгия и е длъжна да спазва санкционните ограничения, действителни в Европейския съюз. Освен индивидуалните санкции, в Европейския съюз също е в сила въведеното с 14-тия пакет санкции забранение за предоставяне на корпоративен софтуер и предоставяне на ИТ услуги на руски юридически лица. Предполага се, че GlobalSign до днешен ден не е изпълнявал тези изисквания, ползвайки въведеното в законодателството изключение, позволяващо предоставянето на услуги на физически лица, които са под санкции, за осигуряване на безопасността на целия интернет. Сега издаването SSL-сертификати е квалифицирано от юристите на GlobalSign или регулаторните органи като предоставяне на търговски ИТ услуги, което попада под санкционните забрани.

Източник: opennet.ru