Отзыв SSL-сертификатов GlobalSign: как защитить сайты и приложения от блокировок

Что именно происходит и какой масштаб

По данным одного из отраслевых изданий, эксперты оценивают число затронутых основных доменов в рунете до 20 тысяч. С учётом региональных и технических поддоменов реальное количество площадок с недействительными криптографическими подписами может составить сотни тысяч. Российский бизнес активно использовал решения GlobalSign — в частности, благодаря совместимости со старыми мобильными устройствами и гибким условиям корпоративного лицензирования.

Минцифры, со своей стороны, оценивает долю сертификатов GlobalSign в российском сегменте не выше 5% от общего объёма рынка. Ведомство предлагает владельцам пострадавших площадок переходить на бесплатные отечественные TLS-сертификаты, которые выдаёт Национальный удостоверяющий центр через портал «Госуслуг». Процесс получения автоматизирован, срок действия — один год. Однако, по оценкам независимых аналитиков, на которые ссылается источник, реальное влияние американского центра сертификации на корпоративный сектор значительно выше официальных цифр.

Главный риск — мобильные приложения и код

Наибольшую опасность текущая ситуация представляет для мобильных сервисов, использующих технологию Certificate Pinning. Этот механизм жёстко привязывает конкретный SSL-сертификат к исходному коду приложения. Если сертификат отзывают, приложение полностью теряет доверенную связь с сервером и прекращает обмен данными — восстановить работоспособность простой заменой сертификата на сервере не получится.

Разработчикам придётся выпускать экстренный патч для самого клиентского приложения и загружать его в Google Play, App Store или RuStore. Пока обновление не дойдёт до конечных пользователей, сервисы будут стабильно выдавать ошибку подключения. Модерация срочных обновлений в зарубежных магазинах, как отмечает источник, может занимать до нескольких суток — для финансовых и логистических платформ это означает длительные простои.

Отдельный пласт проблем затрагивает сферу Code Signing — цифровой подписи программного обеспечения. Если GlobalSign отзовёт и эти сертификаты, операционные системы Windows и macOS начнут блокировать установку и запуск российских десктопных программ, помечая их как продукты от неизвестного издателя.

Что увидят обычные пользователи

Без действующего сертификата браузеры Google Chrome, Apple Safari и Mozilla Firefox начнут блокировать доступ к затронутым ресурсам или показывать полноэкранное предупреждение о возможном перехвате данных. В подавляющем большинстве случаев, как следует из опубликованного материала, пользователи при виде такого экрана немедленно покидают сайт — это ведёт к падению трафика и прямым финансовым потерям для бизнеса.

Для рядового пользователя сигнал прост: если при открытии привычного сайта или запуске приложения появляется предупреждение браузера о небезопасном соединении, стоит дождаться официальных комментарий сервиса, а не вводить в таких формах личные данные и платёжную информацию.

Что отслеживать

Пока из опубликованной информации неясно, какие конкретно компании и сервисы первой очереди попали под отзыв сертификатов, а также точные сроки завершения процесса. Стоит следить за сообщениями крупных российских сервисов и банков о планах миграции на отечественные центры сертификации. Тем, кто использует мобильные приложения для финансов, логистики или работы, имеет смысл заранее убедиться, что автоматическое обновление приложений включено — это ускорит получение патчей от разработчиков.