Минцифры подготовило проект постановления правительства, закрепляющего порядок оформления российских сертификатов для программного кода. Сведения о таком сертификате будут встроены в установочный файл приложения, что позволит операционной системе по электронной метке распознавать издателя и информировать пользователя о программах от неизвестных компаний. Документ оказался в распоряжении «Ведомостей». Ранее подведомственный ведомству Национальный удостоверяющий центр (НУЦ) выпускал такие сертификаты исключительно для сайтов и веб-сервисов, чтобы ресурсы, лишившиеся зарубежных сертификатов, продолжали работать. За последний год зарубежные удостоверяющие центры неоднократно аннулировали сертификаты российских ресурсов. Так, 3 августа из-за действий японского центра GlobalSign перестали открываться в иностранных браузерах (Chrome, Safari, Edge, Opera) сайты «Сбера», Альфа-банка, Россельхозбанка, «Уралсиба», Промсвязьбанка и банка «Санкт-Петербург». Об этом сообщал РБК. В июне же прошли две волны отзывов с интервалом в пять дней: сначала GlobalSign лишил сертификатов около 20 000 доменов, затем под раздачу попали примерно 310 доменных имен 44 компаний, включая Газпромбанк, «Алросу» и ВЭБ.РФ. Представитель Минцифры пояснил, что предложенный порядок уже фактически использовался, однако не имел публичного регламента. Ведомство не раскрывает, выдавались ли раньше сертификаты для подписи кода и какие платформы будут их принимать. В проекте указано, что такой сертификат даст возможность устанавливать разработчика программы и проверять, не вносились ли в нее изменения после выпуска. Принятый в июне закон № 210-ФЗ впервые официально закрепил статус и полномочия НУЦ, а проект приказа описывает 11 профилей сертификатов: для сайтов, кода и корпоративных систем. Норма должна заработать с 1 марта 2027 года. Опрошенные «Ведомостями» при поддержке ассоциации «Руссофт» специалисты полагают, что новые сертификаты смогут заменить западные аналоги преимущественно внутри страны, поскольку Microsoft, Apple и Google не признают легитимность НУЦ по умолчанию. Иван Быков из удостоверяющего центра «СКБ Контур» сомневается, что зарубежные магазины приложений станут доверять отечественным сертификатам. По его мнению, сертификат НУЦ не вернет подсанкционного разработчика в App Store или Google Play, но позволит подтверждать его продукты в российском контуре. Закон № 210 пока не обязывает разработчиков подписывать программы, однако дает правительству право вводить такое требование в отдельных случаях. Наиболее логично внедрять обязательную подпись для госзакупок и поставок ПО для критической информационной инфраструктуры, считают гендиректор Axiom JDK Роман Карпов и архитектор департамента информационной безопасности «Рексофт» Даниил Левченко. ИТ-директор «Корус Консалтинг» Максим Копов предлагает делать это поэтапно, начиная с 2027–2028 годов и только для критичных категорий. Поставщикам тогда понадобятся защищенное хранение ключей, отечественные криптосредства, автоматическая подпись сборок и процедуры замены сертификатов. Для небольших компаний это может стать дополнительным барьером при работе с государством, отмечает Карпов. Параллельно IT-отрасль занялась созданием собственного Отраслевого технологического удостоверяющего центра (ОТУЦ) для сертификации российского кода, о чем РБК писал в июне. В проекте задействованы «Астра», «СберТех», «Базальт СПО», «КриптоПро», «ИнфоТеКС» и «Лаборатория Касперского». Однако принятый позже закон оставил выпуск сертификатов за НУЦ, и роль ОТУЦ в новой схеме до конца не ясна. Быков предполагает, что если НУЦ остается государственным корнем доверия, то специализированная организация могла бы напрямую работать с разработчиками, и на эту роль потенциально подходит создаваемый ИТ-компаниями ОТУЦ. Он может принимать заявления, проверять разработчиков и сопровождать сертификаты, но не вправе самостоятельно их выпускать.
Вопросы и ответы
Что произошло с сайтами российских банков 3 августа из-за действий японского центра GlobalSign?
3 августа из-за действий японского центра GlobalSign перестали открываться в иностранных браузерах, таких как Chrome, Safari, Edge и Opera, сайты «Сбера», Альфа-банка, Россельхозбанка, «Уралсиба», Промсвязьбанка и банка «Санкт-Петербург».
Когда должна заработать норма о новых сертификатах для программного кода?
Норма, закрепляющая порядок оформления российских сертификатов для программного кода, должна заработать с 1 марта 2027 года. Проект постановления подготовлен Минцифры, а сведения о сертификате будут встроены в установочный файл приложения.
Признают ли Microsoft, Apple и Google новые российские сертификаты для кода?
Нет, Microsoft, Apple и Google не признают легитимность НУЦ по умолчанию, поэтому новые сертификаты смогут заменить западные аналоги преимущественно внутри страны. Иван Быков из «СКБ Контур» считает, что сертификат НУЦ не вернет разработчика в App Store или Google Play, но подтвердит его продукты в российском контуре.
