Centru de certificare GlobalSign, înregistrat în Belgia și aparținând corporației japoneze GMO Group, a început retragerea certificatelor SSL anterior emise companiilor rusești, care se află sub incidența sancțiunilor aflate în vigoare în Uniunea Europeană. Într-o scrisoare adresată partenerilor GlobalSign, trimisă de directorul reprezentanței din Rusia, se menționează că retragerea certificatelor a început pe 13 iunie la ora 04:10 (MSK) și va fi efectuată treptat. Ca motiv, se menționează afirmația consorțiului CA/Browser Forum, care este locul de întâlnire pentru luarea deciziilor în interesul producătorilor de browsere și al centrelor de certificare, despre noile cerințe de verificare a organizațiilor la emiterea certificatelor.
Este vorba despre certificatele TLS extinse de nivel EV (Extended Validation), care confirmă parametrii de identificare declarați și necesită nu doar verificarea proprietății domeniului, ci și efectuarea de către centrul de certificare a unei verificări a existenței și statutului legal al companiei care obține certificatul. În browsere, atunci când se lucrează cu site-uri care au certificate EV și certificate obținute doar prin confirmare domeniu, se afișează același simbol.
Se menționează că în noua versiune a regulamentului de emitere a certificatelor EV, care a intrat în vigoare pe 4 mai, există o interdicție directă pentru centrele de certificare de a emite certificate companiilor aflate pe listele de sancțiuni, iar verificarea în conformitate cu listele de blocare a devenit obligatorie, nu doar recomandată.
Această informație nu este corectă, deoarece cerințele menționate au fost adăugate de CA/Browser Forum într-o versiune anterioară a regulamentului (cel puțin se regăsesc în versiunea 1.7.0 din 2019). În punctele 3.2.2.12.2 și 4.1.1.1, care impun verificarea în listele de sancțiuni, nu au fost aduse modificări în noua versiune a documentului (versiunea 2.0.2 din 4 mai 2026, versiunea 2.0.1 din 6 mai 2024).
La punctul 4.1.1.1, printre condițiile de verificare pentru obținerea certificatului EV, se menționează absența companiei verificate în listele organizațiilor interzise sau a celor supuse embargoului, conform legislației țării în care este înregistrat centrul de certificare. La punctul 3.2.2.12.2 se specifică faptul că centrul de certificare este obligat să verifice dacă organizația solicitantă a certificatului figurează în listele persoanelor și organizațiilor interzise care acționează în țara în jurisdicția căreia se află centrul de certificare, precum și în țările în care centrul de certificare își desfășoară activitatea.
Centrul de certificare este obligat să nu emită certificat EV dacă organizația solicitantă figurează în astfel de liste sau dacă desfășoară activități sau este înregistrată într-o țară cu care este interzisă desfășurarea de afaceri conform legislației țării în care este înregistrat centrul de certificare.
Compania GlobalSign este înregistrată în Belgia și trebuie să respecte restricțiile sancțiunilor în vigoare în Uniunea Europeană. Pe lângă sancțiunile individuale, în Uniunea Europeană este în vigoare, în cadrul celui de-al 14-lea pachet de sancțiuni, o interdicție de a furniza software corporate și servicii IT entităților juridice rusești. Se presupune că GlobalSign până în prezent nu a respectat aceste cerințe, beneficiind de o excepție legislativă care permitea furnizarea de servicii companiilor sancționate pentru asigurarea securității întregului internet. Acum, emiterea SSL-certificatelor a fost calificată de avocații GlobalSign sau de autoritățile de reglementare ca fiind furnizarea de servicii comerciale IT, ceea ce se încadrează sub interdicțiile sancțiunilor.
Sursa: opennet.ro
