Банки предложили оснащать российские ОС корневыми сертификатами по умолчанию

Инициатива Ассоциации банков России

Ассоциация банков России (АБР) предложила упростить установку отечественных корневых сертификатов безопасности. По замыслу, это должно обеспечить бесперебойный доступ граждан к финансовым сервисам, в том числе к онлайн-банкингу и государственным порталам. Инициатива обсуждается на фоне импортозамещения в сфере ИТ и перехода на национальную инфраструктуру открытых ключей.

Суть предложения

Речь идет о том, чтобы российские операционные системы и браузеры по умолчанию содержали корневые сертификаты удостоверяющих центров, аккредитованных в России. Сейчас пользователям нередко приходится устанавливать такие сертификаты вручную, что создает сложности для менее технически подкованных граждан. АБР предлагает сделать этот процесс автоматическим или предустановленным.

Зачем это нужно

С развитием отечественных платежных систем и переходом на российские криптографические алгоритмы возникает необходимость в доверии к национальным удостоверяющим центрам. Без корректно установленных корневых сертификатов браузеры могут блокировать доступ к сайтам банков и госуслуг, что вызывает недовольство пользователей. Упрощение установки призвано снизить количество обращений в техподдержку и повысить удобство.

Риски и предостережения экспертов

Однако эксперты указывают на потенциальные угрозы. Автоматическая установка корневых сертификатов расширяет доверие ко всем сайтам, подписанным этими сертификатами. В случае компрометации ключей удостоверяющего центра злоумышленники теоретически могут организовывать атаки типа «человек посередине» и перехватывать трафик. Кроме того, возникает вопрос контроля: кто и на каких основаниях сможет выпускать сертификаты, которым будут доверять по умолчанию.

Международный контекст

Подобные механизмы существуют и в других странах: национальные удостоверяющие центры могут включаться в доверенные хранилища ОС и браузеров. Однако этот процесс обычно сопровождается строгим аудитом и публичным контролем. В России же обсуждение идет на фоне ограниченного доступа к международным корневым сертификатам и стремления выстроить независимую инфраструктуру.

Что дальше

Пока инициатива находится на стадии предложения. Для ее реализации потребуется внесение изменений в нормативные акты и взаимодействие с разработчиками операционных систем и браузеров. Важно найти баланс между удобством для пользователей и безопасностью: возможно, стоит предусмотреть прозрачные механизмы управления сертификатами и возможность отзыва. Дальнейшее развитие событий покажет, насколько предложение АБР будет учтено регуляторами.