Das Zertifizierungszentrum GlobalSign, das in Belgien registriert ist und der japanischen GMO Group gehört, hat die Rücknahme von SSL-Zertifikaten begonnen, die zuvor an russische Unternehmen vergeben wurden, die unter die geltenden EU-Sanktionen fallen. In einem Schreiben an die Partner von GlobalSign, das vom Direktor der russischen Niederlassung versandt wurde, wird erklärt, dass die Rücknahme der Zertifikate am 13. Juni um 04:10 Uhr (MSK) begonnen hat und schrittweise durchgeführt wird. Als Grund wird die Feststellung des Konsortiums CA/Browser Forum genannt, das als Plattform für gemeinsame Entscheidungen im Interesse der Browserhersteller und der Zertifizierungsstellen agiert, sowie die neuen Anforderungen an die Überprüfung von Organisationen bei der Ausstellung von Zertifikaten.
Es handelt sich um erweiterte TLS-Zertifikate der Stufe EV (Extended Validation), die die angegebenen Identifikationsparameter bestätigen und nicht nur die Überprüfung des Domainbesitzes, sondern auch die Durchführung einer Überprüfung des Bestehens und des rechtlichen Status des Unternehmens, das das Zertifikat erhält, durch die Zertifizierungsstelle erfordern. In Browsern wird bei der Arbeit mit Websites, die über EV-Zertifikate und Zertifikate verfügen, die nur nach Bestätigung erhalten wurden, der Domain unterscheiden, gesetzt werden.ein identisches Symbol angezeigt.
Es wurde angegeben, dass die am 4. Mai in Kraft getretene neue Version der Vorschriften für die Ausstellung von EV-Zertifikaten ein direktes Verbot für Zertifizierungsstellen enthält, Zertifikate an Unternehmen aus Sanktionslisten auszustellen, und dass die Überprüfung gegen die Sperrlisten nicht nur empfohlen, sondern verpflichtend geworden ist.
Diese Information ist nicht korrekt, da die genannten Anforderungen in einer früheren Version der Vorschriften vom CA/Browser Forum hinzugefügt wurden (mindestens sind sie in Version 1.7.0 aus dem Jahr 2019 nachweisbar). In den Punkten 3.2.2.12.2 und 4.1.1.1, die die Überprüfung gegen Sanktionslisten vorschreiben, wurden in der neuen Version des Dokuments keine Änderungen vorgenommen (Version 2.0.2 vom 4. Mai 2026, Version 2.0.1 vom 6. Mai 2024).
In Punkt 4.1.1.1 wird als Bedingungen für die Prüfung beim Erhalt des EV-Zertifikats angeführt, dass das prüfende Unternehmen nicht auf den Listen der verbotenen Organisationen oder Organisationen, die unter Embargo stehen, gemäß dem Gesetz des Landes, in dem das Zertifizierungszentrum registriert ist, aufgeführt ist. In Punkt 3.2.2.12.2 wird angegeben, dass das Zertifizierungszentrum verpflichtet ist, die Anfrage des zertifizierenden Unternehmens auf der Liste der verbotenen Personen und Organisationen, die im Land, in dessen Jurisdiktion sich das Zertifizierungszentrum befindet, sowie in den Ländern, in denen das Zertifizierungszentrum tätig ist, zu überprüfen.
Das Zertifizierungszentrum darf kein EV-Zertifikat ausstellen, wenn das anfragende Unternehmen auf diesen Listen steht oder wenn es in einem Land tätig ist oder registriert ist, in dem das Gesetz des Landes, in dem das Zertifizierungszentrum registriert ist, den Geschäftsbetrieb verbietet.
Das Unternehmen GlobalSign ist in Belgien registriert und verpflichtet, die im Europäischen Verband geltenden Sanktionen einzuhalten. Neben individuellen Sanktionen gilt auch im 14. Sanktionspaket der Europäische Union ein Verbot der Bereitstellung von Unternehmenssoftware und IT-Dienstleistungen für russische juristische Personen. Es wird angenommen, dass GlobalSign bis heute diese Anforderungen nicht erfüllt hat und die im Gesetz verankerte Ausnahme genutzt hat, um sanktionierten Unternehmen Dienstleistungen zur Gewährleistung der Sicherheit des gesamten Internets anzubieten. Nun wird die Vergabe SSL-Zertifikate von Juristen von GlobalSign oder Aufsichtsbehörden als Erbringung kommerzieller IT-Dienstleistungen eingestuft, was unter die Sanktionen fällt.
Quelle: opennet.ru
