Certifikatcentret GlobalSign, registreret i Belgien og ejet af den japanske virksomhed GMO Group, har begyndt at tilbagekalde SSL-certifikater, der tidligere blev udstedt til russiske virksomheder, der falder ind under gældende sanktioner i EU. I et brev til GlobalSigns partnere, sendt af direktøren for den russiske repræsentation, står der, at tilbagekaldelsen af certifikaterne startede den 13. juni kl. 04:10 (MSK) og vil blive gennemført i faser. Som årsag er angivet en erklæring fra konsortiet CA/Browser Forum, der fungerer som en platform for fælles beslutningstagning med hensyn til interesserne hos producenter af browsere og certifikatcentre, om nye krav til dokumentation af organisationer ved udstedelse af certifikater.
Der refereres til udvidede TLS-certifikater på EV-niveau (Extended Validation), som bekræfter de angivne identifikationsparametre og kræver ikke kun bekræftelse af ejerskab af domænet, men også at certifikatskaberne foretager en verifikation af eksistensen og den lovlige status af den virksomhed, der modtager certifikatet. I browsere, når man arbejder med hjemmesider, der har EV-certifikater og certifikater, der kun er opnået gennem bekræftelse domænet, vises det samme ikon.
Det er angivet, at den nye version af reglerne for udstedelse af EV-certifikater, der trådte i kraft den 4. maj, indeholder et direkte forbud imod certifikatcentre at udstede certifikater til virksomheder fra sanktionslisterne, og verificeringen mod disse lister er blevet obligatorisk snarere end anbefalet.
Denne information er ikke korrekt, da de nævnte krav blev tilføjet af CA/Browser Forum i en tidligere version af reglerne (i det mindste sporbare i version 1.7.0 fra 2019). Der er ikke indført ændringer i punkterne 3.2.2.12.2 og 4.1.1.1, som pålægger verificeringen mod sanktionslisterne, i den nye version af dokumentet (version 2.0.2 fra den 4. maj 2026, version 2.0.1 fra den 6. maj 2024).
I punkt 4.1.1.1 blandt betingelserne for at bestå kontrollen ved modtagelse af et EV-certifikat nævnes det, at den kontrollerede virksomhed ikke må være på listerne over forbudte organisationer eller organisationer, der er omfattet af embargo, i henhold til lovgivningen i det land, hvor certificeringscentret er registreret. I punkt 3.2.2.12.2 angives det, at certificeringscentret er forpligtet til at kontrollere, om den anmodende certifikatvirksomhed er på listerne over forbudte personer og organisationer, der opererer i det land, hvor certificeringscentret har jurisdiktion, samt i de lande, hvor certificeringscentret udfører sine aktiviteter.
Certificeringscentret må ikke udstede et EV-certifikat, hvis den anmodende certifikatvirksomhed findes på sådanne lister, eller hvis den er aktiv eller registreret i et land, hvor erhvervslivet er forbudt ved lovgivningen i det land, hvor certificeringscentret er registreret.
Virksomheden GlobalSign er registreret i Belgien og er forpligtet til at overholde de sanktioner, der gælder i Den Europæiske Union. Udover individuelle sanktioner gælder der også i Den Europæiske Union et forbud mod at levere corporate software og tilbyde IT-tjenester til russiske juridiske enheder, som blev indført i det 14. sanktionspakke. Det formodes, at GlobalSign frem til i dag ikke har overholdt disse krav, idet de har udnyttet en undtagelse i lovgivningen, som tillod at levere tjenester til sanktionerede virksomheder for at sikre internettets samlede sikkerhed. Nu er udstedelsen af SSL-certifikater blevet kvalificeret af jurister fra GlobalSign eller regulerende myndigheder som levering af kommercielle IT-tjenester, hvilket falder ind under de sanktionerede forbud.
Kilde: opennet.ru
