Gebruikers van het portaal voor overheidsdiensten van de Russische Federatie (gosuslugi.ru) hebben een melding ontvangen over de oprichting van een nationale certificeringsinstantie met een eigen root TLS-certificaat, dat niet is opgenomen in de opslagplaatsen van rootcertificaten van besturingssystemen en belangrijke browsers. Certificaten worden vrijwillig verstrekt aan juridische entiteiten en zijn bedoeld voor gebruik bij de intrekking of stopzetting van de verlenging van TLS-certificaten als gevolg van sancties. Zo hebben certificeringsinstanties onder jurisdictie van de VS, zoals DigiCert, de verstrekking van certificaten stopgezet voor websites van organisaties die op de sanctielijst staan.
Momenteel is het nationale rootcertificaat alleen geïntegreerd in de producten Yandex.Browser en Atom. Om vertrouwen te waarborgen in websites die gebruikmaken van certificaten van de nationale certificeringsinstantie, is handmatige toevoeging van het rootcertificaat aan de systeem- of browseropslagplaatsen van certificaten vereist in andere browsers.
Onder de websites die al nationale TLS-certificaten hebben ontvangen, bevinden zich verschillende banken (Sber, VTB, CBR) en organisaties en projecten die gelieerd zijn aan overheidsstructuren. Op het moment van schrijven worden op de belangrijkste websites van Sber en VTB nog steeds traditionele TLS-certificaten gebruikt die door alle browsers worden ondersteund, maar afzonderlijke subdomeinen (bijvoorbeeld online-alpha.vtb.ru) zijn al overgeschakeld naar het nieuwe certificaat.
In het geval van de oplegging van een nieuwe certificeringsinstantie of het blootleggen van misbruik, zoals het uitvoeren van MITM-aanvallen, is het waarschijnlijk dat de fabrikanten van browsers zoals Firefox, Chrome, Edge en Safari actie zullen ondernemen om het probleemcertificaat op de lijsten van ingetrokken certificaten te plaatsen, zoals al is gedaan met het certificaat dat werd geïmplementeerd voor het onderscheppen van HTTPS-verkeer in Kazachstan.
Bron: opennet.ru
