Il centro di certificazione GlobalSign, registrato in Belgio e di proprietà della corporation giapponese GMO Group, ha iniziato il ritiro dei certificati SSL precedentemente rilasciati a aziende russe che rientrano sotto le sanzioni vigenti nell'Unione Europea. In una lettera ai partner di GlobalSign, inviata dal direttore della rappresentanza russa, si afferma che il ritiro dei certificati è iniziato il 13 giugno alle 04:10 (MSK) e sarà effettuato in fasi. Come motivo è stato indicato l'affermazione del consorzio CA/Browser Forum, che funge da piattaforma per la presa di decisioni congiunta tenendo conto degli interessi dei produttori di browser e dei centri di certificazione, di nuovi requisiti per la verifica delle organizzazioni al momento del rilascio dei certificati.
Si tratta di certificati TLS estesi di livello EV (Extended Validation), che confermano i parametri di identificazione dichiarati e richiedono non solo la verifica della proprietà del dominio, ma anche che il centro di certificazione verifichi l'esistenza e lo status legale dell'azienda che riceve il certificato. Nei browser, durante l'interazione con siti web che dispongono di certificati EV e certificati ottenuti solo tramite conferma di dominio, viene visualizzato lo stesso simbolo.
È stato indicato che nella nuova versione del regolamento sull'emissione dei certificati EV, entrata in vigore il 4 maggio, è presente un divieto diretto per i centri di certificazione di emettere certificati a aziende presenti nelle liste sanzionatorie, e la verifica contro le liste di blocco è diventata obbligatoria anziché raccomandata.
Queste informazioni non corrispondono alla realtà, poiché i requisiti menzionati sono stati aggiunti dal CA/Browser Forum in una versione precedente del regolamento (sono rintracciabili almeno nella versione 1.7.0 del 2019). Nei punti 3.2.2.12.2 e 4.1.1.1, che prescrivono la verifica nelle liste sanzionatorie, non sono state apportate modifiche nella nuova versione del documento (versione 2.0.2 del 4 maggio 2026, versione 2.0.1 del 6 maggio 2024).
Nel punto 4.1.1.1, tra le condizioni per superare la verifica per ricevere il certificato EV, è stata menzionata l'assenza dell'azienda controllata nelle liste di organizzazioni proibite o di organizzazioni soggette a embargo, in conformità con la legislazione del paese in cui è registrato l'ente di certificazione. Nel punto 3.2.2.12.2 si afferma che l'ente di certificazione è obbligato a verificare la presenza dell'ente richiedente il certificato nelle liste di persone e organizzazioni proibite, che operano nel paese in cui si trova l'ente di certificazione e nei paesi in cui esso esercita la sua attività.
L'ente di certificazione è obbligato a non rilasciare il certificato EV se l'ente richiedente è presente in tali liste o se opera o è registrato in un paese in cui la legislazione del paese in cui è registrato l'ente di certificazione vieta l'attività commerciale.
L'azienda GlobalSign è registrata in Belgio e deve rispettare le restrizioni sanitarie in vigore nell'Unione Europea. Oltre alle sanzioni individuali, nell'Unione Europea è in vigore un divieto, previsto nel 14° pacchetto di sanzioni, di fornire software aziendale e servizi IT a persone giuridiche russe. Si presume che GlobalSign fino ad oggi non abbia rispettato tali requisiti, avvalendosi dell'eccezione introdotta nella legislazione che consentiva di fornire servizi alle aziende soggette a sanzioni per garantire la sicurezza dell'intero internet. Ora l'emissione SSL-di certificati è stata qualificata da avvocati di GlobalSign o da enti di regolamentazione come prestazione di servizi IT commerciali, che è soggetta ai divieti delle sanzioni.
Fonte: opennet.ru
