Certifikační autorita GlobalSign, registrovaná v Belgii a vlastněná japonskou korporací GMO Group, zahájila odvolání SSL certifikátů, které dříve byly vydány ruským společnostem, spadajícím pod platné sankce v Evropské unii. V dopise partnerům společnosti GlobalSign, zaslaném ředitelem ruské pobočky, se uvádí, že odvolání certifikátů začalo 13. června v 04:10 (MSK) a bude probíhat postupně. Jako důvod je uvedeno tvrzení konsorcia CA/Browser Forum, které slouží jako platforma pro společné rozhodování s ohledem na zájmy výrobců prohlížečů a certifikačních autorit, nové požadavky na ověřování organizací při vydávání certifikátů.
Hovoříme o rozšířených TLS certifikátech úrovně EV (Extended Validation), které potvrzují deklarované parametry identifikace a vyžadují nejen ověření vlastnictví domény, ale také provedení certifikační autoritou kontroly existence a legálního statusu společnosti, která certifikát získává. V prohlížečích se při práci s webovými stránkami, které mají EV certifikáty a certifikáty získané výhradně prostřednictvím potvrzení domény, zobrazuje stejný symbol.
Je uvedeno, že v nově platné verzi předpisu pro vydávání EV certifikátů, která vstoupila v platnost 4. května, je obsažen přímý zákaz pro certifikační autority vydávat certifikáty společnostem ze sankčních seznamů, a kontrola podle blacklistů se stala nikoli doporučující, ale povinnou.
Tato informace není pravdivá, jelikož zmíněné požadavky byly přidány CA/Browser Forum v dřívější verzi předpisu (minimálně se objevují ve verzi 1.7.0 z roku 2019). Do bodů 3.2.2.12.2 a 4.1.1.1, které předepisují kontrolu na sankčních seznamech, nebyly v nové verzi dokumentu provedeny žádné změny (verze 2.0.2 z 4. května 2026, verze 2.0.1 z 6. května 2024).
V bodě 4.1.1.1 mezi podmínkami pro provedení kontroly při získání certifikátu EV je uvedeno, že ověřovaná společnost není zařazena na seznamy zakázaných organizací nebo organizací podléhajících embargu v souladu s legislativou země, v níž je registrováno certifikační centrum. V bodě 3.2.2.12.2 je uvedeno, že certifikační centrum je povinno zkontrolovat, zda se organizace žádající o certifikát nenachází na seznamech zakázaných osob a organizací, které působí v zemi, v jejíž jurisdikci se certifikační centrum nachází, a také v zemích, kde certifikační centrum vykonává svou činnost.
Certifikační centrum nesmí vydat certifikát EV, pokud se organizace žádající o certifikát nachází na takových seznamech nebo pokud vykonává činnost či je registrována v zemi, která má podle legislativy země, v níž je registrováno certifikační centrum, zakázané obchodování.
Společnost GlobalSign je registrována v Belgii a musí dodržovat sankční omezení platná v Evropské unii. Kromě individuálních sankcí se v Evropské unii také uplatňuje v 14. balíčku sankcí zákaz poskytování firemního softwaru a IT služeb ruským právnickým osobám. Předpokládá se, že GlobalSign dosud tyto požadavky nedodržoval, využívajíc výjimku uvedenou v legislativě, která umožnila poskytování služeb sankcionovaným společnostem za účelem zajištění bezpečnosti celého internetu. Nyní vydávání SSL-certifikátů je kvalifikováno právníky GlobalSign nebo regulačními orgány jako poskytování komerčních IT služeb, což spadá pod sankční zákazy.
Zdroj: opennet.ru
