A GlobalSign issuing center, registered in Belgium and owned by the Japanese corporation GMO Group, has started revoking SSL certificates previously issued to Russian companies subject to current EU sanctions. In a letter to partners sent by the director of the Russian representative office, it is stated that the revocation of certificates began on June 13 at 04:10 (MSK) and will be carried out in stages. The reason given is the CA/Browser Forum consortium's assertion, which serves as a platform for joint decision-making considering the interests of browser manufacturers and issuing centers, of new requirements for organization verification when issuing certificates.
This concerns extended EV (Extended Validation) TLS certificates, which confirm the claimed identification parameters and require not only domain ownership verification but also a legal status check of the company receiving the certificate by the issuing center. When operating with websites that have EV certificates and certificates obtained solely through confirmation, domain, the same icon is displayed.
It is noted that the new version of the EV certificate issuance regulation, which came into effect on May 4, contains a direct prohibition for issuing centers to issue certificates to companies from sanctioned lists, and the verification against these lists has now become mandatory rather than recommended.
This information is not accurate, as the mentioned requirements were added by the CA/Browser Forum in an earlier version of the regulation (at least they can be traced back to version 1.7.0 from 2019). No changes were made to clauses 3.2.2.12.2 and 4.1.1.1 concerning verification against sanctions lists in the new version of the document (version 2.0.2 from May 4, 2026, version 2.0.1 from May 6, 2024).
A 4.1.1.1 bekezdésben az EV-tanúsítvány megszerzésének ellenőrzési feltételei között szerepel, hogy az ellenőrzött cég nem szerepel a tiltott szervezetek vagy embargóval sújtott szervezetek listáján, a tanúsítványkiadó központ országának jogszabályai szerint. A 3.2.2.12.2 bekezdésben meg van határozva, hogy a tanúsítványkiadó központ köteles ellenőrizni a tanúsítványt kérő szervezetek görbevezetőlistáinak jelenlétét, akik a tanúsítványkiadó központ joghatóságában működnek, valamint az olyan országok listáit is, ahol a központ tevékenykedik.
A tanúsítványkiadó központ nem bocsáthat ki EV-tanúsítványt, ha a tanúsítványt kérő szervezet jelen van az ilyen listákon, vagy ha olyan országban működik vagy van bejegyezve, ahol a jogszabályok szerint a vállalkozás folytatása tilos a tanúsítványkiadó központ országában.
A GlobalSign vállalat Belgiumban van bejegyezve, és be kell tartania az Európai Unióban érvényes szankciós korlátozásokat. Az egyedi szankciók mellett az Európai Unióban a 14. szankciós csomag keretein belül korlátozásokat vezettek be az orosz jogi személyek számára biztosított vállalati szoftverek és IT-szolgáltatások tekintetében. Feltételezik, hogy a GlobalSign eddig nem tartotta be ezeket a követelményeket, mivel a jogszabályba foglalt kivételt alkalmazta, amely lehetővé tette a szankciókkal sújtott vállalatok számára az internet biztonságának megőrzéséhez szükséges szolgáltatások nyújtását. Most a kiadás SSL-tanúsítványok szakszerűen minősülnek a GlobalSign jogászei vagy a szabályozó hatóságok által kereskedelmi IT-szolgáltatások nyújtásának, amely a szankciós tilalmak alá esik.
Forrás: opennet.ru
