L'autorité de certification GlobalSign, enregistrée en Belgique et appartenant au groupe japonais GMO, a commencé à révoquer les certificats SSL précédemment délivrés aux entreprises russes sous les sanctions en vigueur dans l'Union européenne. Dans une lettre adressée aux partenaires de GlobalSign, envoyée par le directeur de la représentation russe, il est indiqué que la révocation des certificats a commencé le 13 juin à 04h10 (MSK) et se fera par étapes. La raison invoquée est l'affirmation du consortium CA/Browser Forum, plateforme de décision collaborative tenant compte des intérêts des fabricants de navigateurs et des autorités de certification, concernant de nouvelles exigences de vérification des organisations lors de l'émission de certificats.
Il s'agit de certificats TLS de niveau EV (Validation Étendue), qui valident les paramètres d'identification déclarés et nécessitent non seulement une vérification de la propriété du domaine, mais aussi une vérification par l'autorité de certification de l'existence et du statut légal de l'entreprise recevant le certificat. Dans les navigateurs, lors de l'utilisation de sites ayant des certificats EV et d'autres certificats obtenus uniquement par confirmation de domaine, le même symbole est affiché.
Il est indiqué que la nouvelle version du règlement sur la délivrance des certificats EV, entrée en vigueur le 4 mai, contient une interdiction explicite pour les autorités de certification de délivrer des certificats aux entreprises figurant sur les listes de sanctions, et que la vérification des listes de blocage est devenue obligatoire plutôt que simplement recommandée.
Cette information est incorrecte, car les exigences mentionnées ont été ajoutées par le CA/Browser Forum dans une version antérieure du règlement (au moins présentes dans la version 1.7.0 de 2019). Les sections 3.2.2.12.2 et 4.1.1.1, qui imposent la vérification sur les listes de sanctions, n'ont pas été modifiées dans la nouvelle version du document (version 2.0.2 du 4 mai 2026, version 2.0.1 du 6 mai 2024).
Au point 4.1.1.1, parmi les conditions de réussite du contrôle lors de l'obtention d'un certificat EV, il est mentionné l'absence de l'entreprise vérifiée dans les listes d'organisations interdites ou d'organisations concernées par un embargo, conformément à la législation du pays dans lequel l'autorité de certification est enregistrée. Au point 3.2.2.12.2, il est indiqué que l'autorité de certification est tenue de vérifier la présence de l'organisation demandant le certificat dans les listes de personnes et d'organisations interdites opérant dans le pays où se trouve l'autorité de certification, ainsi que dans les pays où l'autorité de certification exerce son activité.
L'autorité de certification est tenue de ne pas délivrer de certificat EV si l'organisation demandant le certificat figure sur de telles listes ou si elle exerce des activités ou est enregistrée dans un pays où la législation du pays dans lequel l'autorité de certification est enregistrée interdit la conduite des affaires.
La société GlobalSign est enregistrée en Belgique et est tenue de respecter les restrictions de sanctions en vigueur dans l'Union européenne. En plus des sanctions individuelles, l'Union européenne a également mis en place, dans le 14ème paquet de sanctions, une interdiction de fournir des logiciels d'entreprise et de fournir des services informatiques aux personnes morales russes. Il est supposé que GlobalSign n'a pas respecté ces exigences jusqu'à présent, profitant d'une exception introduite dans la législation permettant de fournir des services aux entreprises sous sanctions pour assurer la sécurité de l'ensemble d'Internet. Maintenant, la délivrance SSLde certificats est qualifiée par les juristes de GlobalSign ou les autorités de régulation comme fourniture de services informatiques commerciaux, ce qui est soumis aux interdictions de sanctions.
Source : opennet.ru
