Удостоверяющий центр GlobalSign, зарегистрированный в Бельгии и входящий в состав японской корпорации GMO Group, начал процедуру отзыва TLS-сертификатов расширенной проверки (EV) у российских компаний, находящихся под санкциями Евросоюза. Согласно уведомлению, направленному партнёрам российским представительством, процесс был запущен 13 июня в 04:10 по московскому времени и проводится поэтапно.
В качестве формального обоснования GlobalSign ссылается на обновлённые требования консорциума CA/Browser Forum, регулирующего правила выдачи сертификатов. Однако анализ документации показывает, что подобные нормы по проверке организаций на предмет санкционных ограничений присутствовали в регламентах консорциума еще с 2022 года. Таким образом, текущие действия GlobalSign продиктованы не изменениями в правилах форума, а пересмотром правового статуса их услуг в рамках новых санкционных пакетов ЕС.
Суть ограничений и новые требования
TLS-сертификаты уровня EV (Extended Validation) требуют от удостоверяющих центров не только верификации домена, но и подтверждения легального статуса юридического лица. Согласно пунктам 3.2.2.12.2 и 4.1.1.1 регламента CA/Browser Forum, удостоверяющий центр обязан сверять данные заявителя с официальными санкционными списками стран своей юрисдикции. Если компания фигурирует в перечнях организаций, попавших под эмбарго, или ведет деятельность в запрещенных регионах, выпуск сертификата должен быть заблокирован.
Почему GlobalSign отзывает сертификаты сейчас?
Поскольку штаб-квартира GlobalSign расположена в Бельгии, компания обязана строго следовать законодательству Евросоюза. Ранее сертификаторы могли использовать исключения, позволявшие предоставлять услуги по обеспечению безопасности сетевой инфраструктуры даже подсанкционным субъектам. Однако, судя по всему, новые интерпретации санкционного законодательства ЕС (включая запреты на предоставление корпоративного ПО и IT-услуг российским юрлицам) исключили выдачу SSL-сертификатов из перечня «безопасных» услуг. Теперь юристы компании классифицируют этот процесс как предоставление коммерческих IT-сервисов, что делает невозможным дальнейшее обслуживание клиентов из санкционных списков.
Напомним, что российские пользователи уже сталкивались с последствиями подобных ограничений: ранее Chrome и Safari перестали открывать сайты российских банков — всё дело в сертификатах безопасности, когда браузеры начали блокировать доступ к ресурсам из-за проблем с доверием к выданным сертификатам.
