Ассоциация банков России предложила сделать сертификаты Минцифры обязательным компонентом смартфонов и других устройств, продаваемых в стране. Для пользователей это может означать меньше предупреждений о «небезопасном подключении» при входе на сайты российских банков, а для разработчиков и производителей — ещё одно требование к поставке ПО и железа.
Инициатива изложена в письме АБР главе Минцифры Максуту Шадаеву, сообщает vc.ru. Подлинность документа подтвердили в ассоциации, а министерство сообщило, что письмо получило. Пока речь идёт не о принятом решении, а о наборе предложений, который затрагивает мобильные приложения, настольные ОС и производителей техники.
Главная идея банков — устанавливать сертификаты Национального удостоверяющего центра при установке или обновлении приложений на смартфонах. НУЦ выпускает цифровые сертификаты для российских сайтов: браузер использует такой сертификат, чтобы проверить, с тем ли сервером соединяется пользователь, а TLS защищает передаваемые данные шифрованием. Если устройство не доверяет удостоверяющему центру, сайт может открыться с предупреждением или не открыться вовсе.
Проблема стала заметнее после того, как российские сервисы начали активнее получать сертификаты НУЦ. Их корневые сертификаты по умолчанию не входят в хранилища доверия многих зарубежных браузеров и операционных систем. Поэтому пользователь может увидеть тревожное сообщение, хотя сам сайт банка работает штатно и использует действующий российский сертификат. Банки заинтересованы убрать этот барьер: предупреждение в браузере выглядит для клиента как сбой или, что хуже, как возможная атака.
АБР предлагает не ограничиваться телефонами. В перечень инициатив вошли удобные установщики сертификатов НУЦ для популярных ОС, включая Windows и Linux, предустановка на российских операционных системах и обязанность для производителей компьютеров, смартфонов и другой техники добавлять сертификаты ещё на этапе производства. Отдельно банки предлагают упростить выпуск сертификатов через «Госуслуги» — фактически до одного действия — и создать автоматический механизм проверки и обновления уже выданных документов.
Есть и более широкий пункт: развитие сети удостоверяющих центров на уровне «дружественных» стран. Он выглядит как попытка снизить зависимость от инфраструктуры, которую контролируют глобальные центры сертификации и поставщики браузеров. Но технически международное доверие не появляется по решению одного регулятора: сертификат должен быть включён в корневые хранилища конкретных ОС и браузеров, а это отдельные процедуры, проверки и политика каждого вендора.
Опрошенные РБК эксперты назвали сертификаты НУЦ сопоставимыми по защищённости с зарубежными, однако призвали осторожно относиться к обязательной предустановке. Это важная оговорка. Корневой сертификат — не обычное приложение, которое можно безболезненно удалить при первом раздражении. Доверие к нему даёт выпущенным им сертификатам право подтверждать подлинность сайтов на устройстве. Чем шире распространяется такой компонент, тем выше требования к защите удостоверяющего центра, прозрачности процедур выпуска и оперативности отзыва скомпрометированных сертификатов.
Для команд, которые делают финансовые и государственные сервисы, возможная стандартизация упростит поддержку: меньше инструкций для пользователей, меньше обращений в поддержку, понятнее поведение на новых устройствах. Но разработчикам всё равно придётся учитывать разнородность среды. Часть аудитории использует устройства без российских предустановок, старые версии ОС, корпоративные политики безопасности или браузеры со своим хранилищем сертификатов. Надежда на автоматическую установку не заменяет нормальную диагностику ошибок соединения и ясные сообщения в приложении.
Для производителей вопрос тоже не сводится к добавлению одного файла в образ системы. Им потребуется понять, какие устройства и рынки подпадут под возможное требование, как будет организовано обновление корневых сертификатов и кто отвечает за совместимость с международными сервисами. Особенно чувствительным окажется сценарий, в котором одно устройство должно одновременно работать с российской инфраструктурой доверия и без ограничений подключаться к зарубежным ресурсам.
Если предложение перейдёт из письма в нормативные требования, спор будет не только о доступности банковских сайтов. По сути, он касается того, кто формирует базовый список доверенных центров на пользовательском устройстве и какие гарантии сопровождают это доверие. Сертификаты Минцифры могут стать привычной частью российской цифровой инфраструктуры, но массовая предустановка потребует прозрачных правил обновления, аудита и ответственности за инциденты.
