В России подготовят 10 видов сертификатов безопасности

Минцифры вынесло на публичное обсуждение проект приказа о новой архитектуре сертификатов Национального удостоверяющего центра. С 1 марта 2027 года система вырастет до десяти категорий с разным назначением и криптографией. Одновременно вступит в силу закон №210-ФЗ, который регулирует применение этих сертификатов.

НУЦ появился на базе НИИ «Восход» в 2022 году, когда зарубежные удостоверяющие центры начали закрывать доступ компаниям под санкциями. Летом 2026 года иностранные площадки массово отозвали SSL/TLS-сертификаты у российских организаций, и для владельцев сайтов из России вопрос собственного доверенного центра перестал быть чем-то абстрактным.

Новый документ распределяет сертификаты НУЦ по десяти категориям. Сейчас через «Госуслуги» бесплатно доступны только два формата, DV и OV для сайтов, а проект добавляет к ним варианты для других задач.

Итоговый набор сертификатов НУЦ:

• сертификаты DV и OV для веб-ресурсов;
• подпись программного обеспечения корпоративного назначения;
• защита внутренних информационных систем;
• корневые сертификаты верхнего уровня;
• промежуточные сертификаты с уточнённым набором данных.

Для каждого класса заранее прописан перечень сведений внутри сертификата. Получается техническая анкета, где каждая графа закреплена под конкретный параметр, а случайных полей в документе не осталось.

Интересно, что дата запуска новой схемы выбрана не случайно. Она совпадает с началом действия закона №210-ФЗ, который до сих пор оставался без детальной технической базы под сертификаты НУЦ.

По данным сервиса проверки Precert.ru, НУЦ обслуживает около 14,1 тыс. действующих сертификатов. Для сравнения с мировым рынком цифровых сертификатов эта цифра выглядит скромно, но у Рунета есть время нарастить объём до 2027 года.

Российская система живёт в двух криптографических мирах одновременно. Первый построен на RSA, привычном стандарте за пределами России, второй использует отечественный ГОСТ, рассчитанный на локальную инфраструктуру.

Отличия между форматами проявляются в мелочах:

• сведения о RSA-сертификатах публикуются в глобальных журналах Certificate Transparency;
• ГОСТ-сертификаты в такие каталоги не попадают и работают внутри российского контура;
• ГОСТ впервые получает жёсткую привязку к конкретным классам СКЗИ;
• RSA остаётся связующим звеном между Рунетом и остальным интернетом.

Поддержку ГОСТ уже получили два браузерных решения в России, «Яндекс.Браузер» и открытый Chromium ГОСТ, отметил эксперт Иван Быков. Отдельные государственные платформы работают с отечественной криптографией давно, и для их пользователей такая схема авторизации, по словам Быкова, стала рутинной частью рабочего дня.

Перенос этой модели с государственных и корпоративных площадок на массового пользователя добавляет техническим командам новые задачи. Российским компаниям и рядовым пользователям придётся разбираться с настройкой техники под непривычную криптографию, а переход не обойдётся без трудностей на стороне обычных устройств.

Среди типичных сложностей уже называют:

• ручную установку корневых сертификатов на устройства сотрудников;
• донастройку браузеров и операционных систем под ГОСТ;
• обучение персонала работе с новым форматом подписи;
• проверку совместимости внутреннего ПО с обновлённой схемой доверия.

Сертификаты НУЦ позволят российским разработчикам продолжать подписывать и распространять продукты внутри страны, даже если западные удостоверяющие центры уже прекратили действие старых сертификатов, заявил руководитель Центра компетенций DevOps и DevSecOps компании Bell Integrator Сергей Головашов. По его словам, для локального рынка такая возможность закрывает практический пробел, который образовался после ухода части зарубежной инфраструктуры.

За пределами российского цифрового периметра ситуация складывается иначе. Зарубежные операционные системы не обязаны признавать российские корневые сертификаты доверенными по умолчанию, и если нужного корня нет в системном списке доверия, устройство воспринимает подпись как неизвестную.

Для пользователя за границей это может обернуться следующим:

• предупреждением о неизвестном издателе при установке российского ПО;
• блокировкой автоматического обновления подписанных программ;
• необходимостью вручную добавлять корневой сертификат НУЦ в систему;
• повышенным вниманием антивирусов к непривычной цифровой подписи.

Отмечается, что проблема не в качестве самой криптографии, а в доверии зарубежных платформ. Сертификат можно выпустить, сервер настроить и подпись поставить, но без согласия Windows, macOS, Android или iOS вся конструкция работает только внутри России.

К марту 2027 года Рунет получит куда более подробную систему сертификатов с десятью классами и жёсткой криптографической логикой. Внутри страны это выглядит как закрытие пробела, оставшегося после ухода западных удостоверяющих центров, а вот за рубежом решение по-прежнему упирается в готовность чужих платформ признать российский корень доверенным.

Ранее сообщалось, что Минцифры планирует расширить список ситуаций, при которых российский сертификат безопасности сайта потеряет силу. Обновленные нормы касаются документов, выпускаемых Национальным удостоверяющим центром, и должны заработать с 1 марта 2027 года.

Эксперты CISOCLUB считают, что новая архитектура НУЦ выглядит логичным продолжением курса на цифровой суверенитет и снимает часть рисков для российского бизнеса, оставшегося без западных сертификатов. По их мнению, десять категорий добавляют системе гибкости и позволяют закрывать задачи от простых сайтов до подписи корпоративного софта.

При этом собеседники издания не исключают, что переход рядовых пользователей на ГОСТ растянется на годы, поскольку зарубежные устройства и браузеры менять политику доверия не спешат.

Специалисты также отметили, что публикация RSA-сертификатов в журналах Certificate Transparency остаётся разумным способом сохранить связь с мировым интернетом. Второй риск, по их словам, кроется в скорости адаптации бизнеса, который работает на экспорт и вынужден одновременно поддерживать оба криптографических контура. Итог реформы, по их прогнозу, будет зависеть не столько от самого НУЦ, сколько от готовности зарубежных платформ впустить российский корень в список доверенных.