Чиновники администрации президента обсуждают возможность создания государственного удостоверяющего центра (УЦ), который будет выдавать российским интернет-сайтам SSL-сертификаты, позволяющие шифровать передачу данных. Как объяснил «Коммерсанту» источник, близкий к Кремлю, централизация и государственный контроль за SSL-сертификатами необходимы, чтобы гарантировать защищенную передачу данных в рунете, особенно, если это касается ресурсов государственных структур, которые пользуются протоколами, выданными иностранными партнерами.
Криптографический протокол SSL (Secure Socket Layer) является наиболее распространенным методом обеспечения защиты обмена данными через интернет. Защищенный обмен обеспечивается за счет шифрования (преобразование информации в нечитаемый вид для всех, кроме конкретного получателя) и аутентификации цифрового сертификата, привязанного к определенному домену сети. Проще говоря, соединение открыто только целевым пользователям, что обеспечивает конфиденциальность доступа к информации.
Для осуществления SSL-соединения сайту необходимо получить цифровой сертификат – файл, который уникальным образом идентифицирует пользователей и серверы. Обычно цифровой сертификат подписывается и заверяется специализированными центрами, которые в этом соглашении представляют третью сторону, гарантирующую независимость сертификата.
Если сайт имеет SSL-сертификат, в строке состояния браузера отображается значок в виде замочка. Кроме того, о наличии защищенного соединения говорит изменение префикса адреса с http на https.
SSL сертификат необходим в случае проведения через web-сайт финансовых транзакций, обработки персональной информации о клиентах и других операций, конфиденциальность которых должна быть безусловно гарантирована. SSL используют интернет-магазины, платежные системы, государственные системы, которые требуют от пользователя предоставления персональных данных.
«На государственном портале gosuslugi.ru используется SSL-сертификат, выданный УЦ американской компании Comodo, а на портале ФНС nalog.ru – SSL-сертификат от компании Thawte, принадлежащей Symantec. Если они по какой-то причине отзовут эти сертификаты, это может поставить под угрозу защищенную передачу данных в рунете», - объясняет «Коммерсанту» собеседник, близкий к администрации президента.
Создание удостоверяющего центра будет обсуждаться рабочей группой по использованию информационно-телекоммуникационной сети интернет в отечественной экономике, которая была создана в начале февраля решением главы администрации президента Сергея Иванова. Предложения по созданию УЦ будут вырабатываться в подгруппе «Интернет плюс суверенитет», которую возглавил глава Фонда информационной демократии Илья Массух.
SSL-сертификаты, предоставляемые российскими УЦ, не интегрированы в операционные системы и браузеры, поэтому сайт с таким сертификатом выдает пользователю сообщение о небезопасном соединении. Самыми популярными мировыми УЦ являются Comodo, Symantec, GoDaddy, Geotrust, GlobalSign. Их коренные SSL-сертификаты установлены во всех популярных ОС и браузерах. В России сертификаты этих УЦ можно купить через частные компании.
Два профильных чиновника заявили изданию, что идею создания отечественного УЦ, чьи корневые сертификаты были бы предустановлены во всех ОС и браузерах, лоббирует компания «Крипто-Про», которая считается «тесно связанной с ФСБ». В качестве площадки для создания УЦ, по словам чиновников, рассматривается Технический центр интернет (ТЦИ), совладельцами которого являются Координационный центр национального домена сети интернет и Фонд развития сети интернет.
Гендиректор ТЦИ Алексей Платонов сообщил изданию, что официальных переговоров он на эту тему не проводил. Коммерческий директор «Крипто-Про» Юрий Маслов уточнил, что чиновники консультировались со специалистами компании по этому вопросу. Связи «Крипто-Про» с ФСБ Маслов отрицает, но признает, что около трети штата сотрудников являются бывшими агентами ФСБ.
По оценкам Платонова, стоимость развертывания УЦ вместе с его интеграцией в основные браузеры и ОС составит 200-300 миллионов рублей и займет четыре-пять лет. Собеседник, близкий к АП уточнил, что предустановку российского сертификата решат на переговорах с компаниями-разработчиками ОС и браузеров, и если они не пойдут на встречу, то к сотрудничеству их склонят «мерами законодательного регулирования».
