Российские разработчики и компании в сфере информационной безопасности разворачивают собственную систему доверия для подписи программного кода. Она нужна на случай, если зарубежные удостоверяющие центры начнут отзывать сертификаты, с помощью которых операционные системы проверяют подлинность приложений и обновлений.
Поводом ускорить работу стал июньский отзыв SSL-сертификатов у российских сайтов со стороны японской GlobalSign. В отрасли опасаются, что аналогичный сценарий может затронуть и сертификаты Code Signing, которые используются для подтверждения происхождения программного обеспечения.
Справка! Цифровая подпись программного кода – это электронная метка, которая показывает, что программа выпущена конкретным разработчиком, а ее код не был изменен после подписания, например злоумышленниками.
Кто создает российскую систему подписи кода
Проектом занимается рабочая группа «Единое пространство доверия». Она действует на базе Национального технологического центра цифровой криптографии во взаимодействии с ФСБ, Минцифры и ФСТЭК. Согласно презентации рабочей группы, создается инфраструктура для защиты отечественного программного обеспечения на случай массового отзыва зарубежных сертификатов.
В состав рабочей группы входят крупнейшие российские IT-компании и разработчики средств информационной безопасности:
- «РусБИТех-Астра» – часть ГК «Астра»;
- «Сбертех» – дочерняя структура «Сбера»;
- «Базальт СПО»;
- «Открытая мобильная платформа» – дочерняя компания «Ростелекома» и разработчик ОС «Аврора»;
- «КриптоПро», «ИнфоТеКС», «Лаборатория Касперского», «Код безопасности» и другие участники рынка.
Ключевым элементом создаваемой инфраструктуры станет Отраслевой технологический удостоверяющий центр, или ОТУЦ. Его задача – выдавать российским разработчикам сертификаты подписи кода вместо западных удостоверяющих центров.
По словам одного из руководителей рабочей группы, гендиректора «КриптоПро» Станислава Смышляева, ОТУЦ уже работает в тестовом режиме. С ноября 2025 года систему проверяли «КриптоПро», «ИнфоТеКС», «Код безопасности», «Лаборатория Касперского», «Сбертех», а также разработчики операционных систем Astra Linux, «Альт», РЕД ОС, ROSA и «Аврора». Участники получили сертификаты, подписали ими свои программные продукты и обменялись ими для взаимной проверки.
Почему риск стал актуальным после действий GlobalSign
В июне японская GlobalSign начала массово отзывать SSL-сертификаты у российских сайтов. Компания работает на европейском рынке и обязана соблюдать действующие санкционные требования. SSL-сертификаты подтверждают подлинность сайта и обеспечивают шифрование соединения между браузером и сервером.
13 июня GlobalSign – один из крупнейших мировых центров сертификации – запустила процедуру принудительного отзыва ранее выпущенных SSL-сертификатов у российских компаний. Об этом партнеров компании уведомил генеральный директор российского юрлица «Джи-Эм-О Глобал Сайн Раша» Дмитрий Рыжиков.
Причиной стали обновленные требования CA/Browser Forum – международного консорциума, в который входят крупнейшие центры сертификации и разработчики браузеров Google, Apple, Microsoft и Mozilla. Документ, вступивший в силу 4 мая, сделал обязательной проверку организаций по санкционным спискам OFAC SDN List, BIS Denied Persons List и европейским аналогам. Для удостоверяющих центров появился прямой запрет на выдачу сертификатов компаниям из таких списков.
| Тип сертификата | Для чего используется | Что происходит при отзыве |
|---|---|---|
| SSL/TLS-сертификат | Подтверждает подлинность сайта и шифрует трафик между браузером и сервером | Браузер может показать предупреждение «Соединение не защищено» или заблокировать доступ |
| Сертификат подписи кода | Подтверждает издателя программы и неизменность программного кода | ОС может заблокировать запуск приложения или отметить издателя как небезопасного |
По оценкам экспертов, под отзыв попало около 15–20 тыс. доменов второго уровня. При этом под каждым из них могут работать сотни или тысячи поддоменов, защищенных отдельными сертификатами. Поэтому фактическое количество затронутых сертификатов может измеряться сотнями тысяч или даже миллионами.
Что угрожает подписи программного кода
Российские компании получали сертификаты подписи кода преимущественно у зарубежных удостоверяющих центров. К крупнейшим провайдерам относятся американские Sectigo и DigiCert, а также японская GlobalSign. После 2022 года Sectigo и DigiCert прекратили выпуск новых сертификатов для российских компаний. Сейчас отрасль опасается, что вслед за отзывом SSL-сертификатов аналогичные меры могут затронуть и сертификаты подписи программного кода.
Если сертификат отзывают, операционная система перестает доверять подписи. В зависимости от настроек и платформы программа может не запуститься вовсе либо пользователь увидит предупреждение о небезопасном издателе.
Для разработчика в такой ситуации остаются ограниченные варианты действий:
- Полностью убрать подпись кода, чтобы операционной системе было нечего проверять.
- Использовать сертификаты небольших иностранных компаний, которые пока не соблюдают санкционные ограничения.
Оба варианта несут риски. Если подпись убрать, программа часто продолжит запускаться, но гарантий ее подлинности уже не будет. Злоумышленники смогут внедрить вредоносный код, а пользователь или система не смогут надежно выявить подмену.
Важно! Отказ от подписи кода особенно опасен для обновлений: пользователь может установить модифицированную версию программы, считая ее официальной, а разработчик потеряет технический механизм подтверждения целостности поставки.
Почему проблема зависит от Windows, macOS и «корней доверия»
Основная проблема в том, что в зарубежных операционных системах нет единых российских «корней доверия». Это главные сертификаты, которым система доверяет по умолчанию и от которых строится проверка всех остальных сертификатов.
Станислав Смышляев отмечает, что самый прямой путь – добавление российских сертификатов разработчиком операционной системы. Российские разработчики могут пойти на такой шаг, однако Microsoft, которой принадлежит Windows, или Apple, развивающая iOS и macOS, вряд ли добавят российские корневые сертификаты на системном уровне. Поэтому отрасли придется искать другие механизмы доверия к программному обеспечению.
Зависимость от зарубежных ОС остается высокой. По данным ирландской аналитической компании Statcounter, к маю 2026 года доля Windows среди настольных компьютеров в России составляла 83,2%, macOS от Apple занимала еще 7,4%. На российские ОС на базе Linux – Astra Linux, ALT Linux, РЕД ОС и другие – приходилось около 3%.
Позиция Минцифры и роль Национального удостоверяющего центра
Представитель Минцифры напомнил, что 13 июня Совет Федерации одобрил второй пакет мер по борьбе с кибермошенничеством. Эти изменения наделяют Национальный удостоверяющий центр Минцифры статусом государственной информационной системы и расширяют перечень типов выпускаемых сертификатов.
Представитель Минцифры сообщил, что техническая возможность выпуска отечественных сертификатов подписи программного кода уже существует. Одновременно законодательные изменения расширяют полномочия Национального удостоверяющего центра, который сможет выдавать такие сертификаты. Параллельно идет пилотирование подписи кода на российском криптографическом стандарте ГОСТ в отечественных десктопных операционных системах семейства Linux.
В министерстве также сообщили, что получены результаты по встраиванию стандарта ГОСТ для подписания установочных файлов в Android при сохранении существующей экосистемы. По словам представителя ведомства, Минцифры находится в тесном взаимодействии с отраслью, а информации о планах отзыва иностранных сертификатов подписи кода или запрета добавления новых доверенных сертификатов в Windows на данный момент нет.
Если российские сертификаты подписи кода будут использоваться в зарубежных операционных системах, пользователи смогут добавлять их в список доверенных либо использовать предусмотренные механизмами конкретной платформы способы установки. В Windows и Android это можно сделать вручную, а в iOS и macOS приложение устанавливается через режим разработчика, после чего работает в обычном режиме.
Какие последствия возможны для разработчиков и пользователей
По оценке специалистов, массовый отзыв сертификатов подписи кода может серьезно осложнить работу российских разработчиков. Без таких сертификатов могут возникнуть проблемы с выпуском новых версий программ, их обновлением и распространением среди пользователей.
Это может привести к следующим последствиям:
- задержке выпуска новых функций и обновлений безопасности;
- сложностям с публикацией программ в официальных магазинах приложений, включая App Store;
- ограничениям при тестировании программ на реальных устройствах;
- снижению уровня защиты пользователей от поддельных и вредоносных программ.
В ГК «Астра» также считают, что отзыв сертификатов зарубежных удостоверяющих центров может создать проблемы с запуском российского программного обеспечения в Windows и других иностранных операционных системах. Поэтому компании работают над использованием отечественных сертификатов подписи кода. В частности, в «Астре» сообщили, что уже применяют сертификаты «КриптоПро».
Директор по направлению информационной безопасности IT-экосистемы «Лукоморье», входящей в «Ростелеком», Станислав Воскресенский провел аналогию с созданием национальной платежной системы. По его словам, после ухода зарубежных платежных систем России пришлось создать собственную инфраструктуру. По такому же принципу, если иностранные сертификаты подписи кода перестанут использоваться, российской IT-отрасли потребуется собственная система удостоверяющих центров.
Начальник отдела разработки программного обеспечения «Базальт СПО» Антон Мидюков сообщил, что компания уже использует отечественные сертификаты, поэтому отзыв зарубежных сертификатов не повлияет на работу ее операционных систем. По его словам, национальный центр сертификации позволит разработчикам подписывать программы российскими сертификатами, а пользователям – быть уверенными, что приложение действительно выпущено разработчиком и не было изменено.
Что показал отзыв SSL-сертификатов GlobalSign
Отзыв SSL-сертификатов GlobalSign показал зависимость российских компаний от зарубежной инфраструктуры сертификации. По данным W3Techs на июнь 2026 года, GlobalSign занимала второе место в мире по количеству действующих сертификатов с долей 20,4%, уступая только некоммерческой Let’s Encrypt с долей 68,2%. Среди коммерческих центров сертификации GlobalSign была крупнейшей.
После ухода большинства зарубежных удостоверяющих центров GlobalSign оставалась одним из немногих крупных международных поставщиков сертификатов для российских компаний. Поэтому начавшийся отзыв сертификатов стал значимым событием для рынка.
Замгендиректора Astra Cloud Константин Анисимов оценивал долю GlobalSign в коммерческом сегменте западных сертификатов в России примерно в 90%. При этом среди бесплатных сертификатов лидирует Let’s Encrypt, а госсектор использует сертификаты Минцифры. Представитель Минцифры, в свою очередь, указывал, что по открытым источникам доля GlobalSign в Рунете не превышает 5%.
В министерстве напомнили, что с 2021 года в России работает Национальный удостоверяющий центр Минцифры. После того как в марте 2022 года иностранные компании начали отзывать сертификаты безопасности, российским юрлицам стали бесплатно выдавать отечественные TLS-сертификаты через «Госуслуги».
Какие риски прогнозируют эксперты
Гендиректор Timeweb Андрей Баширов пояснял, что при отзыве SSL-сертификата браузеры и системы считают его недействительным. Пользователь может увидеть красное предупреждение «Соединение не защищено» или его аналог. В Chrome, Firefox, Safari и Edge значительная часть пользователей столкнется с блокировкой или предупреждением о небезопасности, а корпоративные сервисы могут полностью закрыть доступ.
Независимый эксперт рынка информационной безопасности Алексей Лукацкий считает, что нынешний отзыв сертификатов не станет последним. По его словам, дальнейшее развитие ситуации зависит от того, какие компании попадут под новое регулирование и будущие пакеты европейских санкций. Он также отмечал, что часть компаний заранее готовилась к рискам: Россельхозбанк, Т-банк и другие предупреждали клиентов о возможных перебоях.
13 июня в 10:00 Т-банк разослал части клиентов СМС о том, что из-за санкций у некоторых российских сайтов или приложений могут возникнуть проблемы со входом. РСХБ предупреждал, что старая версия приложения на Android может работать с ошибками.
Гендиректор и основатель хостинг-провайдера RUVDS Никита Цаплин назвал происходящее серьезным инфраструктурным риском, но ожидаемым для рынка. По его оценке, это финальный этап ухода международных удостоверяющих центров из России. Для компаний, которые сохраняли зарубежные сертификаты ради глобальной совместимости, ситуация может обернуться экстренной миграцией и операционными сбоями.
По словам экспертов, больше всего рискуют мобильные приложения, которые используют дополнительные механизмы проверки сертификатов. Если зарубежные сертификаты будут массово отозваны, такие приложения могут перестать подключаться к своим серверам и работать с ошибками. Быстро выпустить обновление для пользователей через зарубежные магазины приложений в такой ситуации может быть сложно.
В качестве временной меры специалисты рассматривают возможность отключения проверки статуса сертификатов. Это позволит приложениям продолжить работу, однако проблему не решит. Такой подход может лишь дать разработчикам дополнительное время для перехода на более надежное решение.
Если зарубежные удостоверяющие центры начнут массово отзывать сертификаты подписи кода, именно отечественная инфраструктура должна обеспечить возможность безопасного выпуска и распространения российского программного обеспечения.
Добавить комментарий