Государственные структуры продолжают готовиться к сложным ситуациям, которые могут возникнуть по разным причинам в российском интернет-пространстве. Кроме организации мониторинга сетей и инфраструктуры в рунете, о чём недавно мы узнали, государство планирует навести порядок и в сфере использования SSL-сертификатов.
Безопасность обмена данными в интернет-среде обеспечивается за счёт применения шифрования информации — организации https-соединения. Сервисы (интернет-магазины, платежные системы, сервисы, предоставляемые государственными органами) запрашивают персональные данные и/или данные пластиковой карты. Чтобы избежать попадания этой информации в "чужие руки" используют SSL-сертификаты.
В сфере использования SSL-сертификатов в российском сегменте Интернета сложилась странная и потенциально-опасная ситуация. "На государственном портале gosuslugi.ru используется SSL-сертификат, выданный УЦ американской компании Comodo, а на портале ФНС nalog.ru - SSL-сертификат от компании Thawte, принадлежащей Symantec. Если они по какой-то причине отзовут эти сертификаты, это может поставить под угрозу защищенную передачу данных в рунете", — пишет "Коммерсант".
"Число используемых SSL-сертификатов только в доменной зоне .ru по итогам 2015 года составило 124,5 тысяч", — "Коммерсанть".
Для исправления ситуации планируется создание государственного удостоверяющего центра, который будет выдавать SSL-сертификаты. В настоящее время подготовительно-организационной работой с привлечением необходимых специалистов занимается администрация президента.
Решением главы администрации президента РФ Сергея Иванова от 3 февраля 2016 года создана рабочая группа "по использованию информационно-телекоммуникационной сети Интернет в отечественной экономике при формировании её новой технологической основы и в социальной сфере". Руководителем рабочей группы назначен помощник президента РФ Игорь Щёголев.
На первом заседании рабочей группы созданы восемь подгрупп по направлениям деятельности и утверждены их руководители. В подгруппы войдут как представители ведомств (на уровне заместителей министров), так и представители отраслей. Площадкой для регулярной работы подгрупп станет Институт развития Интернета.
Одной из подгрупп (направление — "Интернет плюс суверенитет") будет руководить глава Фонда информационной демократии Илья Массух (до этого — заместитель министра связи и массовых коммуникаций РФ (2010-2012 гг.). Он сказал, что "предложения по созданию УЦ будут рассматриваться с учётом мнения экспертов и компаний-разработчиков браузеров — "Яндекс.Браузер" и "Спутник"". С зарубежными производителями операционных систем и браузеров проведут переговоры, если договориться не получится, то начнётся "добровольно-принудительный" этап: их могут обязать внести изменения в свои программные продукты, в соответствии с российским законодательством.
В России есть несколько удостоверяющих центров, объём отечественного рынка SSL-сертификатов более 6 млрд. рублей.
Есть предложение сделать всё по максимуму: компания "Крипто-Про" поддерживает не только идею создания российского удостоверяющего центра... "Для обеспечения безопасности и защиты от сбора информации необходимо не только создать российский УЦ и добавить его в "доверенные" во все ОС и браузеры, но и использовать во всех ОС, установленных на компьютерах российских пользователей, протокол SSL с российскими алгоритмами шифрования", — сказал коммерческий директор "Крипто-Про" Юрий Маслов.
Материал:
Государственные структуры продолжают готовится к сложным ситуациям, которые могут возникнуть по разным причинам в российском интернет-пространстве. Кроме организации мониторинга сетей и инфраструктуры в рунете, о чём недавно мы узнали, государство планирует навести порядок и в сфере использования SSL-сертификатов.
Полный текст
"но и использовать во всех ОС, установленных на компьютерах российских пользователей, протокол SSL с российскими алгоритмами шифрования", — сказал коммерческий директор "Крипто-Про" Юрий Маслов."
В глазах и голове одно бабло.
Ну и да - наличие такого центра пугает - теперь можно будет выпускать свой сертификат имени google.com и слушать всё что ищут пользователи.
Именно!
Конкретно с гуглом - не выйдет. Как минимум хром проверяет, чьим именно сертификатом домены гугла прописаны.
А если этой затеей получится ГОСТ шифрование в популярные библиотеки и браузеры протолкнуть - то пользы будет больше, чем вреда.
+1. Всегда можно добавить новый CA в чёрный список.
HPKP же есть.
А поддержку кто будет осуществлять? В OpenSSL оно десять лет было, недавно выпилили.
В TLS оно уже полгода есть.
Сам ГОСТ енжин от авторов коммита тут.
Я слабо верю что на госденьги сделают хотя бы что-то подобное ...
Вот если кому-то действительно захочется(а не сделать вид) УЦ сделать и ГОСТ шифрование для гос.сайтов - то придется найти тех, кто будет поддерживать. Потому и говорю, что польза будет.
Да в том то и дело, что они первым делом хотят бабла на УЦ получить, а потом типа делать ...