Минцифры легализует отечественные сертификаты подписи программного кода

Министерство цифрового развития РФ предложило официально закрепить процедуру выдачи российских сертификатов для подписи программного кода. Соответствующий проект постановления правительства, с которым ознакомились «Ведомости», предполагает, что информация о сертификате будет встроена в установочный файл приложения. Благодаря этой электронной метке операционная система сможет идентифицировать издателя и предупредить пользователя, если программа выпущена незнакомой компанией.

До настоящего времени Национальный удостоверяющий центр (НУЦ), подведомственный Минцифры, выдавал сертификаты безопасности только для сайтов и веб-сервисов. Это было необходимо, чтобы российские ресурсы, потерявшие доступ к иностранным сертификатам, продолжали открываться у пользователей.

За последний год иностранные удостоверяющие центры неоднократно отзывали сертификаты у российских сайтов. В частности, 3 августа японский центр GlobalSign отозвал сертификаты, из-за чего сайты «Сбера», Альфа-банка, Россельхозбанка, «Уралсиба», Промсвязьбанка и банка «Санкт-Петербург» перестали открываться из зарубежных браузеров Chrome, Safari, Edge и Opera. Ранее, в июне, произошли две волны отзывов: сначала были затронуты около 20 000 доменов, затем — около 310 доменных имён 44 компаний, включая Газпромбанк, «Алросу» и ВЭБ.РФ.

Что изменится для разработчиков

По словам представителя Минцифры, порядок выпуска сертификатов уже применялся на практике, но не имел публичного регламента. Ведомство не уточнило, выдавались ли ранее сертификаты именно для подписи кода и какие платформы будут их признавать. Согласно проекту, сертификат для кода позволит установить разработчика программы и проверить, не изменилась ли она после выпуска.

Принятый в июне закон № 210-ФЗ впервые закрепил статус НУЦ и его полномочия. Проект приказа описывает 11 профилей сертификатов: для сайтов, программного кода и корпоративных систем. Новое правило должно вступить в силу 1 марта 2027 года.

Мнения экспертов

Опрошенные «Ведомостями» при содействии ассоциации «Руссофт» эксперты полагают, что новые сертификаты смогут заменить западные аналоги главным образом внутри России. Microsoft, Apple и Google по умолчанию не признают легитимность НУЦ. «Сложно представить, что к нашим отечественным сертификатам появилось бы доверие у иностранных магазинов приложений», — заявил эксперт удостоверяющего центра «СКБ Контур» Иван Быков. Он добавил, что сертификат НУЦ не вернёт подсанкционного разработчика в App Store или Google Play, но позволит подтверждать его программы внутри российского контура.

Генеральный директор Axiom JDK Роман Карпов вместе с другими опрошенными специалистами считает, что обязательное использование таких сертификатов наиболее обоснованно вводить при госзакупках и поставках ПО для критической информационной инфраструктуры. Сам закон № 210 пока не обязывает разработчиков подписывать программы сертификатами НУЦ, однако правительство может установить такое требование в отдельных случаях.

Таким образом, российские разработчики получат инструмент для подтверждения подлинности своих программ, но его признание за пределами страны остаётся под вопросом.