L'autorità di certificazione GlobalSign, registrata in Belgio e di proprietà della giapponese GMO Group, ha avviato il ritiro dei certificati SSL precedentemente rilasciati a società russe soggette alle attuali sanzioni dell'Unione Europea. In una lettera inviata ai partner, scritta dal direttore della rappresentanza russa di GlobalSign, si afferma che il ritiro dei certificati è iniziato il 13 giugno alle 04:10 (MSK) e avverrà in fasi. Come motivo è stata citata l'affermazione del consorzio CA/Browser Forum, che funge da piattaforma per decisioni condivise tenendo conto degli interessi dei produttori di browser e delle autorità di certificazione, riguardo alle nuove esigenze per la verifica delle organizzazioni al momento dell'emissione dei certificati.
Si tratta di certificati TLS avanzati di livello EV (Extended Validation), che confermano i parametri di identificazione dichiarati e richiedono non solo la verifica della proprietà del dominio, ma anche una verifica del legittimo status giuridico dell'azienda richiedente effettuata dall'autorità di certificazione. Nei browser, durante la navigazione su siti web con certificati EV e certificati ottenuti solo tramite conferma, di dominio, appare la stessa icona.
È stato specificato che la nuova versione del regolamento per il rilascio dei certificati EV, entrata in vigore il 4 maggio, contiene un divieto esplicito per gli enti certificatori di rilasciare certificati a società incluse nelle liste di sanzioni, e la verifica contro le liste di blocco è diventata obbligatoria anziché raccomandata.
Queste informazioni non corrispondono alla realtà, poiché i requisiti menzionati sono stati aggiunti dal CA/Browser Forum in una versione precedente del regolamento (almeno nella versione 1.7.0 del 2019). Negli articoli 3.2.2.12.2 e 4.1.1.1, che impongono la verifica contro le liste di sanzioni, non sono state apportate modifiche nella nuova versione del documento (versione 2.0.2 del 4 maggio 2026, versione 2.0.1 del 6 maggio 2024).
Nel punto 4.1.1.1, tra le condizioni per superare il controllo per ottenere un certificato EV, è menzionata l’assenza dell'azienda richiedente nelle liste delle organizzazioni vietate o soggette a embargo, in conformità con la legislazione del paese in cui è registrato l'ente certificatore. Nel punto 3.2.2.12.2 si specifica che l'ente certificatore è tenuto a verificare la presenza dell'organizzazione richiedente il certificato nelle liste di persone e organizzazioni vietate, operative nel paese in cui si trova l'ente certificatore, nonché nei paesi in cui l'ente certificatore svolge la propria attività.
L'ente certificatore è obbligato a non rilasciare un certificato EV se l'organizzazione richiedente è presente in tali liste o se svolge attività o è registrata in un paese in cui la legislazione del paese in cui è registrato l'ente certificatore vieta l'esercizio di attività commerciali.
L'azienda GlobalSign è registrata in Belgio e deve conformarsi alle restrizioni sanzionatorie in vigore nell'Unione Europea. Oltre alle sanzioni individuali, nell'Unione Europea è in vigore, tra le sanzioni del pacchetto 14, il divieto di fornire software aziendale e servizi IT a persone giuridiche russe. Si presume che GlobalSign, fino ad oggi, non abbia rispettato tali requisiti, avvalendosi di un'eccezione legislativa che consentiva di fornire servizi alle aziende sottoposte a sanzioni per garantire la sicurezza dell'intero internet. Ora l'emissione SSL-dei certificati è stata qualificata dagli avvocati di GlobalSign o dagli organi di regolamentazione come la fornitura di servizi IT commerciali, che rientra nei divieti sanzionatori.
Fonte: opennet.ru
