Tõendiv keskus GlobalSign on alustanud EV-sertifikaatide tagasivõtmist ettevõtetelt, mis on sanktsioonide all.

GlobalSign, Belgias registreeritud sertifitseerimiskeskus, kuulub Jaapani korporatsioonile GMO Group ja on hakanud kustutama SSL-sertifikaate, mis on varem antud Venemaa ettevõtetele, mis alluvad kehtivatele ELi sanktsioonidele. GlobalSign'i Venemaa esinduse direktor saatis partneritele kirja, kus öeldi, et sertifikaatide kustutamine algas 13. juunil kell 04:10 (MSK) ja toimub järk-järgult. Põhjuseks on CA/Browser Forumi konsortsiumi kehtestatud uued nõuded organisatsioonide kontrollimiseks sertifikaatide väljastamisel, kes arvestavad brauseritootjate ja sertifitseerimiskeskuste huve.

Räägitakse EV (Extended Validation) taseme TLS-sertifikaatidest, mis kinnitavad esitatud identifitseerimisparameetreid ning nõuavad mitte ainult domeeni omandi kontrollimist, vaid ka sertifitseerimiskeskuse poolt ettevõtte olemasolu ja seaduslikku staatust, kes sertifikaati taotleb. Brauserites, kui külastate EV-sertifikaadiga saidid ja sertifikaadid, mis on saadud ainult kontrolli kaudu, domeen, kuvatakse sama ikoon.

On märgitud, et 4. mail jõustunud uue EV-sertifikaatide väljastamise määruse versioonis on otse keelatud sertifitseerimiskeskustel anda sertifikaate ettevõtetele, kes on sanktsioonide nimekirjades, ning kontroll sanktsioonide loendite osas on muutunud kohustuslikuks, mitte soovituslikuks.

Antud teave ei vasta tõele, kuna nimetatud nõuded lisati CA/Browser Forumi varasemasse määruse versioonisse (vähemalt on need jälgitavad versioonis 1.7.0, mis on välja antud 2019. aastal). Uues dokumendi versioonis (versioon 2.0.2, 4. mai 2026, versioon 2.0.1, 6. mai 2024) ei ole punktides 3.2.2.12.2 ja 4.1.1.1, mis nõuavad kontrolli sanktsioonide nimekirjades, muudatusi tehtud.

Punktis 4.1.1.1 on EV-sertifikaadi saamise kontrolle tingimuste seas märgitud, et kontrollitav ettevõte ei tohi olla keelatud organisatsioonide nimekirjas või organisatsioonides, mis on embargote all vastavalt nendele seadustele, millega on registreeritud sertifitseerimiskeskus. Punktis 3.2.2.12.2 on märgitud, et sertifitseerimiskeskus peab kontrollima, kas sertifikaadi taotleja organisatsioon on keelatud isikute ja organisatsioonide nimekirjas, kes tegutsevad riigis, mille jurisdiktsioonis sertifitseerimiskeskus asub, samuti riikides, kus sertifitseerimiskeskus oma tegevust teostab.
Sertifitseerimiskeskus ei tohi anda EV-sertifikaati, kui sertifikaadi taotleva organisatsiooni nimi on sellistes nimekirjades või kui see tegutseb või on registreeritud riigis, kus seadus ei luba äritegevust sertifitseerimiskeskuse registreerimise riigis.

Ettevõte GlobalSign on registreeritud Belgias ja peab järgima Euroopa Liidus kehtivaid sanktsioone. Lisaks individuaalsetele sanktsioonidele kehtib Euroopa Liidus ka 14. sanktsioonipaketi raames keeldanda ettevõtte tarkvara andmist ja IT-teenuste osutamist Venemaa juriidilistele isikutele. Eeldatakse, et GlobalSign ei ole seni nende nõuete täitmist järginud, kasutades seadusandluses sisalduvat erandit, mis lubas pakkuda sanktsioonialustele ettevõtetele teenuseid kogu interneti turvalisuse tagamiseks. Nüüd on väljaandmine SSL-sertifikaate kvalifitseeritud GlobalSign'i juristide või regulatiivsete organite poolt kommertslike IT-teenuste osutamisena, mis allub sanktsioonide keeldudele.

Allikas: opennet.ru