Belgiad registreeritud ja Jaapani GMO Grupi omanduses olev GlobalSigni sertifitseerimiskeskus alustas SSL-sertifikaatide tühistamist, mis olid varem välja antud Venemaa ettevõtetele, kes kuuluvad EL-i kehtivate sanktsioonide alla. GlobalSigni Venemaa esinduse direktori saadetud partneritele adresseeritud kirjas öeldakse, et sertifikaatide tühistamine algas 13. juunil kell 04:10 (MSK) ning toimub järk-järgult. Tühistamise põhjuseks on CA/Browser Foreumi konsortsiumi nõuded, mis on koostööplatvorm brauseritootjate ja sertifitseerimiskeskuste huvide arvestamiseks, seoses organisatsioonide kontrollimise uute nõuetega sertifikaatide väljastamisel.
Räägime laiendatud EV (Extended Validation) TLS-sertifikaatidest, mis tõendavad esitatud identifitseerimisparameetreid ning nõuavad mitte ainult domeeni omandi kontrollimist, vaid ka sertifikaadi saava ettevõtte olemasolu ja seaduslikkuse kontrolli väljastava asutuse poolt. Veebibrauserid kuvavad veebisaitidele, millel on EV-sertifikaadid ja sertifikaadid, mis on saadud ainult kinnitamise kaudu domeeni, kuvatakse sama ikoon.
On märgitud, et 4. mail jõustus uue versiooni EV-sertifikaatide väljaandmise määrustest, mis sisaldab sertifitseerimiskeskustele otsest keeldumist väljastada sertifikaate sanktsioonide nimekirjadesse kuuluvatele ettevõtetele, ning kontroll sanktsioonide nimekirjadega on muutunud mitte soovitatavaks, vaid kohustuslikuks.
See teave ei vasta tõele, kuna nimetatud nõuded lisati CA/Browser Forumi varasema versiooni määrustest (vähemalt jälgitakse 2019. aasta versioonis 1.7.0). Punktides 3.2.2.12.2 ja 4.1.1.1, mis nõuavad kontrollimist sanktsioonide nimekirjades, ei ole uues dokumendis muudatusi tehtud (versioon 2.0.2 alates 4. maist 2026, versioon 2.0.1 alates 6. maist 2024).
Punktis 4.1.1.1 on EV-sertifikaadi saamise kontrolle tingimustes mainitud, et kontrollitava ettevõtte ei tohi olla keelatud organisatsioonide või sanktsioneeritud organisatsioonide loetelus, mis on kooskõlas sertifitseerimiskeskuse registreerimise riigi seadusandlusega. Punktis 3.2.2.12.2 on täpsustatud, et sertifitseerimiskeskus peab kontrollima sertifikaati taotlevat organisatsiooni keelatud isikute ja organisatsioonide loeteludes, mis kehtivad riigis, kus sertifitseerimiskeskus asub, ning ka riikides, kus sertifitseerimiskeskus tegutseb.
Sertifitseerimiskeskus ei tohi välja anda EV-sertifikaati, kui sertifikaati taotlev organisatsioon on sellistes loeteludes olemas või kui ta tegutseb või on registreeritud riigis, kus seadus keelab äritegevuse sertifitseerimiskeskuse registreerimise riigis.
Ettevõte GlobalSign on registreeritud Belgias ja peab järgima Euroopa Liidus kehtivaid sanktsioonipiiranguid. Lisaks individuaalsetele sanktsioonidele kehtib Euroopa Liidus ka 14. sanktsioonipaketiga kehtestatud keeld ettevõtte tarkvara ja IT-teenuste pakkumiseks Venemaa juriidilistele isikutele. Eeldatakse, et GlobalSign pole siiani neid nõudeid täitnud, kasutades seadusandusse sisse viidud erandit, mis lubas sanktsioonide all olevatele ettevõtetele teenuseid pakkuda kogu interneti turvalisuse tagamiseks. Nüüd sertifikaatide väljastamine SSL-tunnistatakse GlobalSigni juristide või reguleerivate asutuste poolt kaubanduslike IT-teenuste osutamisena, mis kuulub sanktsioonide keeldude alla.
Allikas: opennet.ru
