Die in Belgien registrierte Zertifizierungsstelle GlobalSign, die zur japanischen GMO Group gehört, hat mit dem Widerruf von SSL-Zertifikaten begonnen, die zuvor an russische Unternehmen vergeben wurden, die von den aktuellen EU-Sanktionen betroffen sind. In einem Schreiben an die Partner von GlobalSign, das vom Direktor der russischen Niederlassung versendet wurde, wird erklärt, dass der Widerruf der Zertifikate am 13. Juni um 04:10 Uhr (MSK) begonnen hat und schrittweise erfolgen wird. Als Grund für diese Maßnahme wurde die Entscheidung des CA/Browser Forum genannt, das als Plattform für die gemeinsame Entscheidungsfindung im Interesse von Browser-Herstellern und Zertifizierungsstellen dient, um neue Anforderungen an die Verifizierung von Unternehmen bei der Ausstellung von Zertifikaten zu berücksichtigen.
Es handelt sich um erweiterte TLS-Zertifikate der Stufe EV (Extended Validation), die die angegebenen Identifikationsparameter bestätigen und nicht nur den Nachweis des Domainbesitzes, sondern auch eine Überprüfung des Bestehens und des rechtlichen Status der Firma, die das Zertifikat erhält, durch die Zertifizierungsstelle erfordern. In Browsern wird bei der Arbeit mit Websites, die über EV-Zertifikate und Zertifikate verfügen, die ausschließlich durch Bestätigung erhalten wurden, dasselbe Symbol angezeigt. Nach Abschluss des Transfers kann die Domain auf unser Hosting gerichtet werden..
Es wird angegeben, dass die am 4. Mai in Kraft getretene neue Version der Richtlinie zur Ausstellung von EV-Zertifikaten ein direktes Verbot für Zertifizierungsstellen enthält, Zertifikate an Unternehmen aus Sanktionslisten auszugeben. Die Überprüfung auf Sanktionslisten ist nun nicht nur empfohlen, sondern obligatorisch geworden.
Diese Information entspricht nicht der Realität, da die genannten Anforderungen bereits in einer früheren Version der Richtlinie (mindestens in der Version 1.7.0 aus dem Jahr 2019) vom CA/Browser Forum hinzugefügt wurden. In den Punkten 3.2.2.12.2 und 4.1.1.1, die die Überprüfung auf Sanktionslisten vorschreiben, wurden in der neuen Version des Dokuments keine Änderungen vorgenommen (Version 2.0.2 vom 4. Mai 2026, Version 2.0.1 vom 6. Mai 2024).
In Punkt 4.1.1.1 der Anforderungen für die Prüfung zur Erlangung eines EV-Zertifikats wird erwähnt, dass das prüfende Unternehmen nicht auf den Listen der verbotenen Organisationen oder der unter Embargo stehenden Organisationen stehen darf, gemäß den Gesetzen des Landes, in dem die Zertifizierungsstelle registriert ist. In Punkt 3.2.2.12.2 wird angegeben, dass die Zertifizierungsstelle verpflichtet ist, zu prüfen, ob die antragstellende Organisation auf den Listen verbotener Personen und Organisationen steht, die in dem Land tätig sind, in dessen Jurisdiktion sich die Zertifizierungsstelle befindet, sowie in den Ländern, in denen die Zertifizierungsstelle tätig ist.
Die Zertifizierungsstelle darf kein EV-Zertifikat ausstellen, wenn die antragstellende Organisation auf solchen Listen steht oder wenn sie in einem Land tätig ist oder registriert ist, in dem das Führen von Geschäften gesetzlich verboten ist, gemäß den Gesetzen des Landes, in dem die Zertifizierungsstelle registriert ist.
Das Unternehmen GlobalSign ist in Belgien registriert und ist verpflichtet, die im Europäischen Union geltenden Sanktionen einzuhalten. Neben individuellen Sanktionen gibt es in der EU auch ein Verbot, das im 14. Sanktionspaket eingeführt wurde, welches die Bereitstellung von Unternehmenssoftware und IT-Dienstleistungen für russische juristische Personen untersagt. Es wird angenommen, dass GlobalSign bis heute diese Anforderungen nicht erfüllt hat, indem es sich auf eine gesetzliche Ausnahme berufen hat, die es erlaubte, sanktionierten Unternehmen Dienstleistungen zur Gewährleistung der Sicherheit des gesamten Internets anzubieten. Nun wird die Ausstellung SSL-Zertifikate von Juristen von GlobalSign oder Aufsichtsbehörden als Erbringung kommerzieller IT-Dienstleistungen qualifiziert, was unter die Sanktionsverbote fällt.
Quelle: opennet.ru
