Минцифры подготовило проект постановления о создании государственной информационной системы "Национальный удостоверяющий центр" (ГИС НУЦ). Новую платформу развернут на базе действующей инфраструктуры НУЦ, оператором станет министерство.
ГИС должна упростить выпуск, выдачу и отзыв российских сертификатов безопасности. Для государственных и муниципальных органов, предприятий и учреждений их использование станет обязательным и бесплатным. Для банков создание системы может снизить зависимость от зарубежных удостоверяющих центров, однако потребует учитывать совместимость российских сертификатов с пользовательскими устройствами и программным обеспечением.
Алексей Ахмеев, руководитель Управления информационной безопасности Своего Банка, отметил, что новая система не формирует для банков принципиально новый класс задач по сравнению с действующими удостоверяющими центрами.
"Принципиально новых или куда более сложных задач в работе с ГИС НУЦ по сравнению с действующими удостоверяющими центрами не появится. Никаких новых задач данная ГИС также не выполняет, это российский УЦ, который также будет выпускать сертификаты", - сказал он.
По словам эксперта, переход на отечественную инфраструктуру позволит минимизировать риски, связанные с решениями иностранных удостоверяющих центров, в том числе с односторонним отзывом.
Ранее RUБЕЖ сообщал, что японский удостоверяющий центр GlobalSign начал отзывать SSL-сертификаты у российских сайтов. Среди организаций, предупредивших клиентов о возможных проблемах с доступом, были и банки.
Максим Захаренко, CEO "Облакотеки", отметил, что для банка отзыв зарубежного сертификата означает риск появления у клиентов предупреждения о небезопасном соединении при попытке открыть дистанционный сервис.
"Для банка отзыв зарубежного сертификата - конкретная проблема: клиент открывает дистанционный сервис и видит предупреждение о небезопасном соединении. Российская инфраструктура снижает зависимость от решений иностранных удостоверяющих центров. НУЦ уже работает, поэтому от создания ГИС я ожидаю прежде всего надежного и понятного порядка выпуска, замены и отзыва сертификатов", - считает Захаренко.
В качестве альтернативы российская инфраструктура уже используется для выпуска отечественных сертификатов: НУЦ Минцифры предоставляет TLS-сертификаты для российских сайтов. Они предназначены для защищённого соединения между пользователем и сайтом.
В то же время сохраняется вопрос доверия к сертификатам НУЦ на устройствах клиентов. Если на устройстве нет российского корневого сертификата, пользователь может столкнуться с проблемой проверки подлинности защищённого соединения.
"Но вместе с тем появится другой потенциальный риск - применение и валидность выданных ГИС НУЦ сертификатов на устройствах, не оснащённых российскими корневыми сертификатами", - подчеркнул Ахмеев.
Захаренко добавил, что статус ГИС сам по себе не обеспечит автоматическое доверие к сертификатам НУЦ во всех браузерах и приложениях. Банкам потребуется проверить совместимость сайтов, мобильных приложений и соединений с партнёрскими системами. Клиентам при этом нельзя рекомендовать игнорировать предупреждения о небезопасном соединении: это может снизить их внимательность к признакам возможной кибератаки.
Эксперт также обратил внимание на необходимость вести учёт сертификатов, контролировать сроки их действия и автоматизировать обновление. При компрометации закрытого ключа банку необходимо оперативно отозвать сертификат, выпустить новый с другим ключом и обеспечить прекращение доверия к прежнему сертификату со стороны клиентского программного обеспечения. Такие сценарии важно проверять заранее, в том числе при недоступности сервиса проверки статуса.
"Короткий сбой НУЦ не обязательно остановит работу с уже выданными сертификатами, но длительная недоступность выпуска и отзыва станет серьезной проблемой. Для банка важен конкретный ответ: кто и за какое время восстановит эти функции после сбоя", - отметил Захаренко.
Таким образом, создание ГИС НУЦ может стать для банков инструментом повышения технологической независимости. Однако практическая устойчивость сервисов будет зависеть не только от выпуска отечественных сертификатов, но и от их совместимости с браузерами, программным обеспечением и пользовательскими устройствами.
Источник: