Het certificeringscentrum GlobalSign, geregistreerd in Belgiƫ en eigendom van de Japanse GMO Group, is begonnen met het intrekken van SSL-certificaten die eerder zijn verleend aan Russische bedrijven die onder de huidige EU-sancties vallen. In een brief aan de partners van GlobalSign, gestuurd door de directeur van het Russische filiaal, wordt vermeld dat de intrekking van certificaten op 13 juni om 04:10 (MSK) is begonnen en gefaseerd zal worden uitgevoerd. Als reden wordt het statement van het consortium CA/Browser Forum genoemd, dat dient als platform voor gezamenlijke besluitvorming met inachtneming van de belangen van browserproducenten en certificeringscentra, betreffende de nieuwe vereisten voor de controle van organisaties bij het verstrekken van certificaten.
Het betreft uitgebreide TLS-certificaten van het niveau EV (Extended Validation), die de opgegeven identificatieparameters bevestigen en niet alleen vereisen dat het eigendom van het domein wordt gecontroleerd, maar ook dat het certificeringscentrum de rechtsgeldigheid en de status van het bedrijf dat het certificaat ontvangt, controleert. In browsers, bij het werken met websites die EV-certificaten hebben en certificaten die alleen zijn verkregen door bevestiging, domein, verschijnt hetzelfde pictogram.
Het wordt vermeld dat in de op 4 mei in werking getreden nieuwe versie van de regelgeving voor het verstrekken van EV-certificaten een directe verboden bepaling voor certificeringscentra is opgenomen om certificaten te verstrekken aan bedrijven op sanctielijsten, en dat de controle op blokkadelijsten niet langer optioneel maar verplicht is geworden.
Deze informatie is niet juist, aangezien de genoemde vereisten door het CA/Browser Forum al in een eerdere versie van de regelgeving zijn toegevoegd (ten minste traceerbaar in versie 1.7.0 van 2019). In de punten 3.2.2.12.2 en 4.1.1.1, die de controle op sanctielijsten voorschrijven, zijn in de nieuwe versie van het document geen wijzigingen aangebracht (versie 2.0.2 van 4 mei 2026, versie 2.0.1 van 6 mei 2024).
In paragraaf 4.1.1.1 wordt onder de voorwaarden voor de controle bij het verkrijgen van een EV-certificaat vermeld dat het gecontroleerde bedrijf niet op de lijsten van verboden organisaties of organisaties die onder embargo vallen, staat volgens de wetgeving van het land waar het certificeringscentrum is geregistreerd. In paragraaf 3.2.2.12.2 staat dat het certificeringscentrum verplicht is om te controleren of de organisatie die het certificaat aanvraagt op de lijsten van verboden personen en organisaties staat die actief zijn in het land waar het certificeringscentrum zich bevindt, evenals in landen waar het certificeringscentrum actief is.
Het certificeringscentrum mag geen EV-certificaat uitgeven als de aanvraagende organisatie op dergelijke lijsten staat of als zij actief is of geregistreerd is in een land waar de wetgeving van het land waar het certificeringscentrum is geregistreerd, het zakendoen verbiedt.
Het bedrijf GlobalSign is geregistreerd in Belgiƫ en is verplicht om de sanctiebeperkingen die in de Europese Unie van kracht zijn, na te leven. Naast individuele sancties geldt in de Europese Unie ook de in het 14e sanctiepakket vastgestelde verbod op het verstrekken van zakelijke software en het verlenen van IT-diensten aan Russische rechtspersonen. Het wordt vermoed dat GlobalSign tot op heden deze vereisten niet heeft nageleefd, gebruikmakend van de uitzondering in de wetgeving die het mogelijk maakte om gesanctioneerde bedrijven diensten te leveren ter waarborging van de veiligheid van het internet. Nu wordt de uitgifte SSL-certificaten gekwalificeerd door juristen van GlobalSign of regelgevende instanties als het verlenen van commerciƫle IT-diensten, wat onder de sanctieverboden valt.
Bron: opennet.ru
