Ключ к доверию
Минцифры раскрыло детали работы российских сертификатов безопасности
Минцифры введет десять типов сертификатов безопасности для интернет-ресурсов с жесткой классификацией по задачам и алгоритмам. Новая система заработает с 1 марта 2027 года. Но для глобального рынка российские сертификаты не станут заменой, так как зарубежные операционные системы им «не доверяют».
Фото: Дмитрий Лебедев / Коммерсантъ
Фото: Дмитрий Лебедев / Коммерсантъ
Минцифры опубликовало для общественного обсуждения проект приказа, который впервые детально прописывает, как именно с 1 марта 2027 года будет работать система сертификатов безопасности Национального удостоверяющего центра (НУЦ). Документ вводит классификацию из десяти видов сертификатов (подтверждают безопасность ресурсов в сети). К уже выдаваемым средствам подтверждения подлинности для сайтов (DV и OV) добавляются средства для подтверждения подписи программного кода для корпоративных систем. Также в документе подробнее прописаны требования к корневым и промежуточным сертификатам, которые уже также поставляются через НУЦ. Для каждого типа прописан строгий набор обязательных полей. Документ вступает в силу 1 марта 2027 года — синхронно с профильным законом №210-ФЗ (касается применения сертификатов безопасности НУЦ).
НУЦ на базе НИИ «Восход» начал работу в 2022 году. Тогда же зарубежные центры стали отзывать сертификаты у подсанкционных российских организаций. Сейчас НУЦ бесплатно выдает TLS-сертификаты типов DV и OV через «Госуслуги», причем доступны как RSA, так и ГОСТ-версии. Летом 2026 года зарубежные удостоверяющие центры стали массово отзывать SSL/TLS-сертификаты у российских компаний из-за санкций.
В Минцифры “Ъ” пояснили, что «для бизнеса и владельцев сайтов принципиальных изменений не произойдет». Проект закрепляет действующий порядок подачи заявления, идентификации заявителя, проверки документов, а также состав информации, которая указывается в сертификате.
Министерство в техническом описании сохраняет разделение на два криптографических подхода: международный RSA и российский ГОСТ. Для RSA-сертификатов сохраняется публичная фиксация в глобальных CT-логах (механизм прозрачности), что обеспечивает их совместимость с зарубежными браузерами и системами. Для ГОСТ-сертификатов такого требования нет — они будут работать в российском криптоконтуре. Но для ГОСТ-сертификатов впервые прописывается обязательная привязка к конкретным классам СКЗИ (средств криптографической защиты информации), что прямо указывает на требуемый уровень шифрования.
14,1 тысячи штук
— количество действующих сертификатов, выданных НУЦ, согласно российскому сервису проверки Precert.ru
Сегодня только два отечественных браузера уже поддерживают российские криптографические алгоритмы, отмечает эксперт Иван Быков, это «Яндекс.Браузер» и open-source-решение Chromium ГОСТ. Также отдельные госсистемы, включая портал госзакупок, давно работают с российской криптографией, и для пользователей это привычно. Однако массовый переход может вызвать вопросы технического характера, в том числе такие, как настройка рабочих мест и работа с новыми сертификатами.
Сертификаты НУЦ позволят разработчикам продолжать выпускать и распространять ПО в России, особенно если у них отозваны западные сертификаты, добавляет руководитель Центра компетенций DevOps/DevSecOps компании Bell Integrator Сергей Головашов. Однако в ближайшей перспективе они не смогут стать полноценной заменой для глобального рынка, так как зарубежные ОС не включат российские корневые сертификаты в свои списки доверия, и для иностранных пользователей такое ПО будет выглядеть как подписанное «неизвестным издателем».