O centro de certificação GlobalSign, registrado na Bélgica e pertencente à corporação japonesa GMO Group, começou a revogar certificados SSL anteriormente emitidos para empresas russas sujeitas às sanções em vigor na União Europeia. Em uma carta enviada aos parceiros da GlobalSign pelo diretor da representação russa, foi informado que a revogação dos certificados começou em 13 de junho às 04:10 (MSK) e será realizada em etapas. A razão apresentada foi a afirmação do consórcio CA/Browser Forum, que atua como uma plataforma para a tomada de decisões em conjunto, levando em consideração os interesses dos fabricantes de navegadores e centros de certificação, sobre novas exigências para a verificação das organizações durante a emissão de certificados.
Trata-se de certificados TLS avançados de nível EV (Validação Estendida), que confirmam os parâmetros de identificação declarados e exigem não apenas a verificação da propriedade do domínio, mas também a realização, pelo centro de certificação, da verificação da existência e status legal da empresa que recebe o certificado. Nos navegadores, ao trabalhar com sites que possuem certificados EV e certificados obtidos apenas por meio de confirmação de domínio, é exibido o mesmo ícone.
Foi indicado que a nova versão do regulamento sobre a emissão de certificados EV, que entrou em vigor em 4 de maio, contém uma proibição direta para os centros de certificação emitirem certificados para empresas que constam em listas de sanções, e a verificação em relação às listas de bloqueio tornou-se não apenas recomendatória, mas obrigatória.
Essa informação não corresponde à realidade, pois os requisitos mencionados foram adicionados pelo CA/Browser Forum em uma versão anterior do regulamento (pelo menos eles estão presentes na versão 1.7.0 de 2019). Nos itens 3.2.2.12.2 e 4.1.1.1, que prescrevem a verificação nas listas de sanções, não houve alterações na nova versão do documento (versão 2.0.2 de 4 de maio de 2026, versão 2.0.1 de 6 de maio de 2024).
No item 4.1.1.1, entre as condições para passar na verificação ao obter um certificado EV, menciona a ausência da empresa verificada nas listas de organizações proibidas ou aquelas sujeitas a embargo, de acordo com a legislação do país em que o centro de certificação está registrado. No item 3.2.2.12.2, está especificado que o centro de certificação deve verificar a presença da organização que solicitou o certificado nas listas de pessoas e organizações proibidas que atuam no país onde o centro de certificação está localizado, bem como nos países onde o centro de certificação opera.
O centro de certificação deve recusar a emissão do certificado EV se a organização solicitante estiver presente nessas listas ou se estiver exercendo atividades ou registrada em um país onde a legislação do país em que o centro de certificação está registrado proíbe a realização de negócios.
A empresa GlobalSign está registrada na Bélgica e é obrigada a cumprir as restrições de sanções vigentes na União Europeia. Além das sanções individuais, também há uma proibição, introduzida no 14º pacote de sanções, de fornecer software corporativo e serviços de TI a entidades jurídicas russas. Presume-se que a GlobalSign, até hoje, não tenha cumprido esses requisitos, aproveitando-se da exceção legislativa que permitia fornecer serviços a empresas sancionadas para garantir a segurança de toda a internet. Agora, a emissão SSLde certificados é qualificada pelos advogados da GlobalSign ou pelas autoridades reguladoras como a prestação de serviços comerciais de TI, o que se enquadra nas proibições de sanções.
Fonte: opennet.ru
