Россия вводит суверенные сертификаты для подписи программного кода
Минцифры предложило закрепить правила выпуска национальных сертификатов для подписи программного кода — первый шаг к цифровому суверенитету в той части ИТ, где Россия сейчас почти полностью зависит от западных удостоверяющих центров.
Проект постановления описывает новые профили сертификатов, а полноценно механизм должен заработать с 1 марта 2027 года.
Новость важна не только для разработчиков. За ней стоит системная проблема: за последний год иностранные удостоверяющие центры несколько раз отзывали сертификаты безопасности у российских сайтов, в результате чего ресурсы банков и крупных компаний переставали открываться в зарубежных браузерах.
Почему это стало необходимо
Поводом послужила целая серия отзывов сертификатов. В июне японский центр GlobalSign двумя волнами с интервалом в пять дней аннулировал сертификаты примерно 20 тысяч доменов российских компаний, а затем еще около 310 доменных имен 44 организаций, включая Газпромбанк, «Алросу» и ВЭБ.РФ. 3 августа последовал новый отзыв — из-за него с зарубежных браузеров (Chrome, Safari, Edge, Opera) перестали открываться сайты «Сбера», Альфа-банка, Россельхозбанка, «Уралсиба» и других банков.
До сих пор подведомственный Минцифры Национальный удостоверяющий центр (НУЦ) выпускал сертификаты только для сайтов и веб-сервисов — чтобы потерявшие доверие западных центров ресурсы продолжали работать. Теперь функционал расширяют на сам программный код.
Что предлагает Минцифры
Согласно проекту, сертификат для кода позволит операционной системе по электронной метке определить издателя программы и предупредить пользователя, если софт выпущен неизвестной компанией. Информация о сертификате будет отображаться прямо в установочном файле.
Ключевые параметры инициативы:
Профили сертификатов — документ описывает 11 типов для сайтов, программного кода и корпоративных ИТ-систем, разделенных по видам криптографических алгоритмов;
Правовая база — принятый в июне закон № 210-ФЗ впервые закрепил статус и полномочия НУЦ;
Сроки — правило должно вступить в силу 1 марта 2027 года;
Добровольность пока сохранена — закон не обязывает подписывать программы сертификатами НУЦ, но дает правительству право ввести такое требование в отдельных случаях.
В Минцифры уточняют, что порядок выпуска таких сертификатов уже применялся на практике, но не был закреплен в публичном регламенте. Сейчас ведется работа по интеграции их поддержки в отечественных операционных системах и в магазине приложений RuStore для Android.
Главное ограничение: границы суверенитета
Опрошенные при содействии ассоциации «Руссофт» эксперты сходятся во мнении: новые сертификаты смогут заменить западные аналоги прежде всего внутри России. Microsoft, Apple и Google по умолчанию легитимность НУЦ не признают.
«Сложно представить, что к нашим отечественным сертификатам появилось бы доверие у иностранных магазинов приложений», — отмечает эксперт удостоверяющего центра «СКБ Контур» Иван Быков. То есть сертификат НУЦ не вернет подсанкционного разработчика в App Store или Google Play, но позволит подтверждать его программы внутри российского контура.
При этом параллельно ИТ-компании («Астра», «СберТех», «Базальт СПО», «КриптоПро», «ИнфоТеКС», «Лаборатория Касперского») начали создавать собственный Отраслевой технологический удостоверяющий центр (ОТУЦ). Принятый позже закон оставил выпуск сертификатов за государственным НУЦ, поэтому роль ОТУЦ пока не определена: он может принимать заявления, проверять разработчиков и сопровождать сертификаты, но не выпускать их самостоятельно.
Что это значит для читателя и рынка
Эксперты предлагают вводить обязательную подпись поэтапно — с 2027–2028 годов и только для критичных категорий ПО, в первую очередь для госзакупок и поставок в критическую информационную инфраструктуру. Есть и оборотная сторона: для небольших разработчиков такие затраты могут стать дополнительным барьером при работе с государством.
По сути, это очередной, но характерный элемент строящегося цифрового суверенитета: государство выстраивает собственную инфраструктуру доверия там, где раньше полагалось на иностранные центры. Работает она пока в пределах страны — и этого в нынешних условиях, видимо, достаточно.
Источники
Полезное
