Российские разработчики получат национальные сертификаты для подписи кода
Новые сертификаты смогут заменить западные аналоги главным образом внутри России
Минцифры предложило закрепить правила выдачи российских сертификатов для написанного кода. Информация о них будет отображаться в установочном файле конкретной программы. Это значит, что по электронной метке операционная система сможет определить издателя и предупредить пользователя, если программа выпущена неизвестной компанией. Об этом говорится в проекте постановления правительства, с которым ознакомились «Ведомости».
До сих пор подведомственный Минцифры Национальный удостоверяющий центр (НУЦ) выдавал сертификаты безопасности только для сайтов и веб-сервисов. Это нужно для того, чтобы потерявшие доступ к иностранным сертификатам безопасности ресурсы продолжали открываться.
Иностранные удостоверяющие центры в последний год несколько раз отзывали сертификаты безопасности у российских сайтов. 3 августа из-за отзыва сертификатов безопасности со стороны японского удостоверяющего центра GlobalSign перестали с зарубежных браузеров (Chrome, Safari, Edge и Opera) открываться сайты российских банков: «Сбера», Альфа-банка, Россельхозбанка, «Уралсиба», Промсвязьбанка и банка «Санкт-Петербург», сообщал РБК. Ранее, в июне, прошло две волны отзывов сертификатов безопасности с разницей в пять дней. Сперва GlobalSign отозвал около 20 000 доменов российских компаний. Вторая волна затронула около 310 доменных имен от 44 компаний, среди которых Газпромбанк, «Алроса», ВЭБ.РФ и др.
По словам представителя Минцифры, порядок выпуска сертификатов уже применялся на практике, но не был закреплен в публичном регламенте. Ведомство при этом не уточнило, выдавались ли раньше сертификаты именно для подписи кода и какими платформами они будут признаваться. Сертификат для кода также позволит установить разработчика программы и проверить, не изменили ли ее после выпуска, говорится в проекте. Принятый в июне закон № 210-ФЗ впервые закрепил статус НУЦ и его полномочия, а проект приказа описывает 11 профилей сертификатов: для сайтов, программного кода и корпоративных систем. Правило должно вступить в силу 1 марта 2027 г.
Опрошенные «Ведомостями» при содействии ассоциации «Руссофт» эксперты считают, что новые сертификаты смогут заменить западные аналоги главным образом внутри России. Но Microsoft, Apple и Google по умолчанию легитимность НУЦа не признают. «Сложно представить, что к нашим отечественным сертификатам появилось бы доверие у иностранных магазинов приложений», – говорит эксперт удостоверяющего центра «СКБ Контур» Иван Быков. Поэтому сертификат НУЦа не вернет подсанкционного разработчика в App Store или Google Play, но позволит подтверждать его программы внутри российского контура, говорит он.
Сам закон № 210 пока не обязывает разработчиков подписывать программы сертификатами НУЦа, но позволяет правительству установить такое требование в отдельных случаях. Наиболее обоснованно вводить его при госзакупках и поставках ПО для критической информационной инфраструктуры, считают генеральный директор Axiom JDK Роман Карпов и архитектор департамента информационной безопасности «Рексофт» Даниил Левченко. ИТ-директор «Корус Консалтинг» Максим Копов предлагает вводить обязательную подпись поэтапно – с 2027–2028 гг. и только для критичных категорий ПО. Тогда поставщикам понадобятся защищенное хранение ключей, средства российской криптографии, автоматическая подпись сборок и процедуры замены сертификатов. Для небольших разработчиков такие затраты могут стать дополнительным барьером при работе с государством, считает Карпов.
Параллельно IT-компании начали создавать собственный Отраслевой технологический удостоверяющий центр (ОТУЦ) для сертификации российского программного кода, сообщал РБК в июне. В проекте участвуют «Астра», «СберТех», «Базальт СПО», «КриптоПро», «ИнфоТеКС» и «Лаборатория Касперского». Но принятый позднее закон оставил выпуск сертификатов за НУЦем, поэтому роль ОТУЦа в новой системе пока окончательно не определена. Если НУЦ остается государственным корнем доверия, то специализированная организация работает непосредственно с разработчиками и на эту роль потенциально может претендовать создаваемый ИТ-компаниями ОТУЦ, считает Быков. ОТУЦ может принимать заявления, проверять разработчиков и сопровождать сертификаты, это не дает ему или коммерческим удостоверяющим центрам права самостоятельно их выпускать.