Банки предлагают автоматическую установку государственных корневых сертификатов на устройствах

Банковский сектор предлагает сделать обязательной установку корневых сертификатов Национального удостоверяющего центра Минцифры при загрузке и обновлении мобильных приложений.

Инициатива объясняется проблемами с доступом к сайтам после отзыва международных удостоверяющих центров.

Банки предлагают заставлять производителей устройств устанавливать эти сертификаты на заводе, а разработчики российских ОС включать их в настройки по умолчанию.

Для уже существующих устройств предлагаются универсальные установщики, в том числе для Windows и Linux, и возможность установки сертификатов через госуслуги одним нажатием.

Ассоциация банков России также настаивает на автоматическом обновлении сертификатов и создании сети удостоверяющих центров в дружественных России странах.

Почему государственные сертификаты вызывают опасения

TLS‑сертификаты используются для проверки подлинности сайтов и защиты соединений между пользователем и интернет‑сервисами.

Установка корневого сертификата означает доверие к удостоверяющему центру, который может выпускать сертификаты для любых доменов.

Это создает риски для пользователей, включая возможность перехвата зашифрованного трафика.

Чтобы перехватить трафик, недостаточно просто установить корневой сертификат: нужно контролировать маршрут передачи данных.

Некоторые приложения применяют дополнительные проверки сертификатов и могут защищать их от подобной подмены.

На данный момент подтверждений массового использования государственных сертификатов для перехвата нет.

На iPhone и Android автоматическая установка сертификатов ограничена

По данным отраслевых источников, предложения банков сталкиваются с техническими ограничениями: на iPhone сертификаты, установленные пользователем, не получают автоматического доверия ко всем сайтам без явного разрешения.

На корпоративных устройствах действуют другие правила.

В Android ограничения описаны в документации: приложения могут доверять системным центрам, а решение о доверии сертификатам, установленным пользователем, принимает разработчик.

Обновление банковского приложения не гарантирует, что государственный сертификат станет доверенным во всех программах.

Минцифры подтвердили получение обращения, сроки рассмотрения инициативы не приводятся.

Российские банки столкнулись с отзывом зарубежных сертификатов

Инициатива появилась после того, как международные удостоверяющие центры начали отзывать сертификаты российских сайтов.

По данным отраслевых источников, под угрозой оказались тысячи доменов второго уровня.

Из‑за отзыва браузеры начали предупреждать пользователей о небезопасном соединении.

В России действует Национальный удостоверяющий центр Минцифры, выпускающий собственные сертификаты; они поддерживаются локальными браузерами, тогда как зарубежные по умолчанию их не признают.

Еще ранее специалисты предупреждали, что усиление госконтроля над интернет‑инфраструктурой связано с переходом пользователей на российские платформы.