Η GlobalSign, μια βελγική αρχή πιστοποίησης (CA) που ανήκει στην ιαπωνική εταιρεία GMO Group, ξεκίνησε την ανάκληση πιστοποιητικών SSL που είχαν εκδοθεί προηγουμένως σε ρωσικές εταιρείες που υπόκεινται σε κυρώσεις της ΕΕ. Σε επιστολή προς τους συνεργάτες της GlobalSign, την οποία απέστειλε ο διευθυντής του ρωσικού γραφείου αντιπροσώπευσής της, η ανάκληση ξεκίνησε στις 13 Ιουνίου στις 04:10 π.μ. (MSK) και θα πραγματοποιηθεί σταδιακά. Ο λόγος που αναφέρεται είναι η έγκριση από το CA/Browser Forum, μια κοινοπραξία για κοινή λήψη αποφάσεων που ασχολείται με τα συμφέροντα των κατασκευαστών προγραμμάτων περιήγησης και των CA, νέων απαιτήσεων για την επαλήθευση οργανισμών που εκδίδουν πιστοποιητικά.
Μιλάμε για πιστοποιητικά TLS EV (Extended Validation), τα οποία επιβεβαιώνουν τις δηλωμένες παραμέτρους αναγνώρισης και απαιτούν όχι μόνο επαλήθευση της ιδιοκτησίας του τομέα, αλλά και επαλήθευση από την αρχή πιστοποίησης της ύπαρξης και της νομικής κατάστασης της εταιρείας που λαμβάνει το πιστοποιητικό. Σε προγράμματα περιήγησης, όταν εργάζεστε με ιστότοπους με πιστοποιητικά EV και πιστοποιητικά που λαμβάνονται μόνο μέσω επαλήθευσης. τομέα, εμφανίζεται το ίδιο εικονίδιο.
Σημειώνεται ότι η νέα έκδοση των κανονισμών έκδοσης πιστοποιητικών ηλεκτρικών οχημάτων (EV), η οποία τέθηκε σε ισχύ στις 4 Μαΐου, περιλαμβάνει άμεση απαγόρευση στις αρχές πιστοποίησης να εκδίδουν πιστοποιητικά σε εταιρείες που περιλαμβάνονται σε λίστες κυρώσεων και ο έλεγχος με βάση τις λίστες αποκλεισμού έχει καταστεί υποχρεωτικός και όχι συμβουλευτικός.
Αυτές οι πληροφορίες είναι λανθασμένες, καθώς οι προαναφερθείσες απαιτήσεις προστέθηκαν από το CA/Browser Forum σε μια παλαιότερη έκδοση των κανονισμών (τουλάχιστον ήδη από την έκδοση 1.7.0 του 2019). Οι ενότητες 3.2.2.12.2 και 4.1.1.1, οι οποίες απαιτούν έλεγχο σε σχέση με τους καταλόγους κυρώσεων, δεν τροποποιήθηκαν στη νέα έκδοση του εγγράφου (έκδοση 2.0.2 της 4ης Μαΐου 2026, έκδοση 2.0.1 της 6ης Μαΐου 2024).
Η ενότητα 4.1.1.1 ορίζει ότι οι προϋποθέσεις επαλήθευσης για την απόκτηση πιστοποιητικού EV περιλαμβάνουν την απουσία της εταιρείας που επαληθεύεται από οποιαδήποτε λίστα απαγορευμένων ή υπό απαγόρευση οργανισμών, σύμφωνα με τους νόμους της χώρας στην οποία είναι εγγεγραμμένη η αρχή πιστοποίησης. Η ενότητα 3.2.2.12.2 ορίζει ότι η αρχή πιστοποίησης υποχρεούται να επαληθεύσει ότι ο οργανισμός που ζητά το πιστοποιητικό περιλαμβάνεται σε τυχόν καταλόγους απαγορευμένων ατόμων και οργανισμών που λειτουργούν στη χώρα υπό τη δικαιοδοσία της οποίας βρίσκεται η αρχή πιστοποίησης, καθώς και στις χώρες στις οποίες λειτουργεί η αρχή πιστοποίησης.
Η αρχή πιστοποίησης υποχρεούται να μην εκδώσει πιστοποιητικό EV εάν ο οργανισμός που ζητά το πιστοποιητικό περιλαμβάνεται σε τέτοιους καταλόγους ή εάν λειτουργεί ή είναι εγγεγραμμένος σε χώρα με την οποία η επιχειρηματική δραστηριότητα απαγορεύεται από τη νομοθεσία της χώρας στην οποία είναι εγγεγραμμένη η αρχή πιστοποίησης.
Η GlobalSign είναι εγγεγραμμένη στο Βέλγιο και υποχρεούται να συμμορφώνεται με τους περιορισμούς κυρώσεων στην Ευρωπαϊκή Ένωση. Εκτός από τις ατομικές κυρώσεις, η ΕΕ επιβάλλει επίσης απαγόρευση στην παροχή εταιρικού λογισμικού και υπηρεσιών πληροφορικής σε ρωσικά νομικά πρόσωπα, όπως εισήχθη στο 14ο πακέτο κυρώσεων. Πιστεύεται ότι η GlobalSign δεν έχει συμμορφωθεί με αυτές τις απαιτήσεις μέχρι τώρα, εκμεταλλευόμενη μια νομική εξαίρεση που της επιτρέπει να παρέχει υπηρεσίες σε εταιρείες που έχουν υποστεί κυρώσεις για να διασφαλίσει την ασφάλεια στο διαδίκτυο. Τώρα, η έκδοση... SSL-τα πιστοποιητικά χαρακτηρίζονται από τους δικηγόρους της GlobalSign ή τις ρυθμιστικές αρχές ως παρόχους εμπορικών υπηρεσιών πληροφορικής, κάτι που υπόκειται σε απαγορεύσεις κυρώσεων.
Πηγή: opennet.ru
