Centrum certyfikacji GlobalSign, zarejestrowane w Belgii i należące do japońskiej korporacji GMO Group, rozpoczęło wycofywanie certyfikatów SSL, wcześniej wydanych rosyjskim firmom objętym obecnymi sankcjami Unii Europejskiej. W liście do partnerów firmy GlobalSign, wysłanym przez dyrektora rosyjskiego biura, podano, że wycofywanie certyfikatów rozpoczęło się 13 czerwca o 04:10 (MSK) i będzie prowadzone etapami. Jako powód podano ustalenie konsorcjum CA/Browser Forum, które jest platformą dla wspólnego podejmowania decyzji z uwzględnieniem interesów producentów przeglądarek oraz centrów certyfikacji, nowych wymagań dotyczących weryfikacji organizacji przy wydawaniu certyfikatów.
Mowa o rozszerzonych certyfikatach TLS poziomu EV (Extended Validation), potwierdzających zgłoszone dane identyfikacyjne i wymagających nie tylko weryfikacji posiadania domeny, ale także przeprowadzenia przez centrum certyfikacji weryfikacji istnienia i legalnego statusu firmy ubiegającej się o certyfikat. W przeglądarkach podczas pracy z witrynami posiadającymi certyfikaty EV oraz certyfikaty uzyskane tylko przez potwierdzenie domeny, wyświetlany jest ten sam znak.
Podano, że w nowej wersji regulaminu wydawania certyfikatów EV, która weszła w życie 4 maja, zawarty jest bezpośredni zakaz dla centrów certyfikacji wydawania certyfikatów firmom z list sankcyjnych, a weryfikacja według list blokady stała się obligatoryjna, a nie tylko zalecana.
Informacje te są niezgodne z rzeczywistością, ponieważ wspomniane wymagania zostały dodane przez CA/Browser Forum w wcześniejszej wersji regulaminu (co najmniej śledzone są w wersji 1.7.0 z 2019 roku). Do punktów 3.2.2.12.2 oraz 4.1.1.1, nakładających obowiązek weryfikacji w listach sankcyjnych, w nowej wersji dokumentu nie wprowadzono zmian (wersja 2.0.2 z 4 maja 2026 roku, wersja 2.0.1 z 6 maja 2024 roku).
W punkcie 4.1.1.1 wśród warunków przechodzenia kontroli przy uzyskaniu certyfikatu EV wspomniano o braku sprawdzanej firmy na listach zakazanych organizacji lub organizacji objętych embargiem, zgodnie z prawodawstwem kraju, w którym zarejestrowany jest urząd certyfikacji. W punkcie 3.2.2.12.2 podano, że urząd certyfikacji ma obowiązek sprawdzić, czy organizacja ubiegająca się o certyfikat znajduje się na listach zakazanych osób i organizacji działających w kraju, w jurysdykcji którego znajduje się urząd certyfikacji, a także w krajach, w których urząd certyfikacji prowadzi swoją działalność.
Urząd certyfikacji nie ma prawa wydawać certyfikatu EV, jeśli organizacja ubiegająca się o certyfikat znajduje się na takich listach lub jeśli prowadzi działalność lub jest zarejestrowana w kraju, w którym prawa krajowe zabraniają prowadzenia działalności przez urzęd certyfikacji.
Firma GlobalSign jest zarejestrowana w Belgii i zobowiązana do przestrzegania ograniczeń sankcyjnych obowiązujących w Unii Europejskiej. Oprócz indywidualnych sankcji, w Unii Europejskiej obowiązuje również wprowadzony w 14 pakiecie sankcji zakaz udostępniania oprogramowania korporacyjnego oraz świadczenia usług IT dla rosyjskich podmiotów prawnych. Zakłada się, że GlobalSign do dnia dzisiejszego nie spełniał tych wymogów, korzystając z wprowadzonego w prawodawstwie wyjątku, który pozwalał na świadczenie usług dla podmiotów objętych sankcjami w celu zapewnienia bezpieczeństwa całego internetu. Teraz wydawanie SSL-certyfikatów zostało zakwalifikowane przez prawników GlobalSign lub organy regulacyjne jako świadczenie komercyjnych usług IT, co podpada pod sankcyjne zakazy.
Źródło: opennet.ru
