Gli utenti del portale dei servizi pubblici della Federazione Russa (gosuslugi.ru) hanno ricevuto una comunicazione riguardo la creazione di un'autorità di certificazione statale con il proprio certificato TLS radice, non incluso nei repository dei certificati radice dei sistemi operativi e dei principali browser. I certificati vengono rilasciati su base volontaria a persone giuridiche e sono destinati all'uso in situazioni di revoca o cessazione del rinnovo dei certificati TLS a causa di sanzioni. Ad esempio, le autorità di certificazione soggette alla giurisdizione degli Stati Uniti, come DigiCert, hanno smesso di rilasciare certificati per i siti delle organizzazioni incluse nella lista delle sanzioni.
Attualmente, il certificato radice statale è integrato solo nei prodotti Yandex.Browser e Atom. Per garantire la fiducia nei siti che utilizzano certificati dell'autorità di certificazione statale, è necessario aggiungere manualmente il certificato radice al repository dei certificati di sistema o browser negli altri browser.
Tra i siti che hanno già ricevuto certificati TLS statali ci sono varie banche (Sber, VTB, Banca Centrale) e organizzazioni e progetti affiliati a strutture statali. Tuttavia, al momento della scrittura della notizia, sui principali siti di Sber e VTB continuano a essere utilizzati certificati TLS tradizionali, supportati da tutti i browser, ma alcuni sottodomini (ad esempio, online-alpha.vtb.ru) sono già stati trasferiti al nuovo certificato.
Nel caso in cui si inizi a imporre un nuovo ente certificatore o si scoprano abusi, come attacchi MITM, è probabile che i produttori di browser come Firefox, Chrome, Edge e Safari intraprendano azioni per aggiungere il certificato radice problematico alle liste di revoca dei certificati, come già fatto con il certificato implementato per intercettare il traffico HTTPS in Kazakistan.
Fonte: opennet.ru
