Банки предложили сделать установку сертификатов Минцифры на смартфоны обязательной: что в письме Шадаеву и почему эксперты сомневаются

Ассоциация банков России (АБР) предложила министру цифрового развития Максуту Шадаеву сделать обязательной установку корневых сертификатов на телефоны. Речь о сертификатах Национального удостоверяющего центра (НУЦ) Минцифры, которые ставили бы при скачивании или обновлении приложений. О письме 26 октября сообщил РБК, в ассоциации подтвердили его подлинность. В Минцифры письмо получили и напомнили, что сертификаты НУЦ нужны, чтобы веб-версии банков открывались в Chrome, Safari и Edge, пишет «Код.ру». Решения по предложениям ведомство не объявляло.

Что предлагают банки

Пересказы письма расходятся в деталях. По версии «Коммерсанта», сертификаты предлагают ставить при загрузке или обновлении любого российского приложения, по версии «Код.ру» — банковских приложений. Также АБР предлагает выпустить удобный установщик для Windows, Linux и других популярных систем и предустанавливать сертификаты в российских ОС. Производителей смартфонов и компьютеров предлагают обязать ставить их на заводе, а на «Госуслугах» сделать установку «в одну кнопку». Еще одна идея АБР, по данным CNews, — удостоверяющие центры в дружественных странах и перекрестная сертификация с центрами стран БРИКС, то есть взаимное признание сертификатов.

Откуда проблема

Летом сайты некоторых банков в Chrome, Safari и Edge стали открываться с предупреждением о небезопасном соединении или не открывались вовсе. Причина — зарубежные удостоверяющие центры отзывают сертификаты российских организаций. По данным CNews, массовый отзыв летом начал японский центр GlobalSign. «Код.ру» связывает волну с тем, что в мае CA/Browser Forum — объединение удостоверяющих центров и разработчиков браузеров — ужесточил проверку российских организаций. Доля иностранных сертификатов на российском рынке превышает 90%, пишет «Код.ру». С жалобами клиентов, по данным АБР, столкнулась каждая вторая кредитная организация. Популярные операционные системы сертификаты НУЦ по умолчанию не признают, отмечает CNews. В «Яндекс Браузер» российский сертификат уже встроен, объясняло Минцифры в августе.

Почему эксперты сомневаются

Обязать ставить сертификаты через обновления банковских приложений или RuStore практически нереально без изменений в защите мобильных систем, считает эксперт по информационной безопасности Андрей Лукацкий. CNews указывает, что iOS не дает добавить корневой сертификат в системное хранилище, а на Android ему доверяют не все приложения. Глава компании «Сайбер бизнес консалтинг» Дмитрий Лившин предупреждает о другом риске. По его словам, тот, кто управляет корневым сертификатом, может выпускать сертификаты для любого домена и перехватывать зашифрованный трафик. Если государственный корневой сертификат будет стоять на всех устройствах, у всей системы появится одна точка уязвимости, считает он.

Что это значит для бизнеса

Пока ничего не меняется: это предложение банков, а не решение Минцифры. Проверьте, какой центр выпустил сертификат вашего сайта или лендинга и когда истекает срок. Если центр зарубежный, заранее решите, на что переходить при отзыве. Если у сайта будет только сертификат НУЦ, посетитель без корневого сертификата увидит в Chrome или Safari предупреждение — а это потеря трафика и заявок. Перед переездом посмотрите в аналитике, из каких браузеров приходят ваши посетители, и оцените, какую долю трафика может затронуть такое предупреждение.