Отзыв сертификата не означает, что деньги на счетах находятся под угрозой, поделился партнер Kept, руководитель группы по оказанию услуг в области кибербезопасности Илья Шаленков. По его словам, это техническая проблема, которая решается достаточно быстро: клиенту следует воспользоваться официальной инструкцией от банка для устранения проблем с доступом.
Неправильно и игнорировать предупреждения браузера о том, что сертификат отозван или невалиден.
"Такие ошибки могут возникать не только из-за проблем с сертификатами, но и при реальной хакерской атаке. Не следует заходить в онлайн-банк через публичные Wi-Fi-сети, использовать неизвестные VPN-сервисы, устанавливать сертификаты и приложения из неофициальных источников", - добавил эксперт.
Сбои в работе некоторых сайтов и pwa-приложений произошли на фоне очередной волны отзывов зарубежных сертификатов безопасности, которые начались два месяца назад. Сертификат безопасности (TLS-сертификат) - это электронный документ, который подтверждает защищенность сетевых подключений, подлинность веб-сайтов и владельца. Выдают такие документы специальные организации - удостоверяющие центры (УЦ).
Летом один за одним иностранные УЦ начали отзывать TLS - сертификаты российских подсанкционных организаций, в том числе финансовых. В июне сертификаты безопасности у ряда российских банков отзывали бельгийская компания GlobalSign, американская Let"s Encrypt и итальянская Actalis. Затем, с июля, - греческая HARICA. В августе - китайский УЦ TrustAsia. В результате перестали открываться сайты Сбербанка, Альфы, РСХБ, ПСБ, ВТБ в зарубежных браузерах.
Например, более двухсот сертификатов российских банков были отозваны 3 августа в одну минуту, что точно являлось автоматизированным действием. Причина, которую уже по традиции указывают УЦ, - Privilege Withdrawn. "Она означает, что сертификат отозван УЦ из-за выявленных нарушений политик выдачи, в нашем случае - включение организаций в санкционные списки", - объяснил "РГ" эксперт в сфере электронной подписи, автор Telegram-канала "Об ЭП и УЦ" Евгений Лахаткин.
Отзыв сертификатов, по словам эксперта, связан с новыми требованиями международного консорциума CA/Browser Forum (регулирующего органа, устанавливающего единые правила выпуска цифровых сертификатов для всех удостоверяющих центров в мире. - Прим. "РГ"), который обязал удостоверяющие центры учитывать санкционные ограничения.
По словам представителя зарубежного УЦ, инцидент является исключительно вопросом международной комплаенс-политики, и он не связан с наличием уязвимостей в безопасности систем.
Как подтвердили в Альфа-Банке и ВТБ, сейчас не все онлайн-сервисы работают с иностранными сертификатами безопасности. Из-за этого могут не открываться в иностранных браузерах сайты, в том числе и многих банков.
В свою очередь банки рекомендуют клиентам переходить на отечественные сертификаты безопасности от НУЦ (Национального удостоверяющего центра), чтобы продолжать пользоваться сервисами без ограничений: нужно либо установить российские сертификаты безопасности по инструкции, либо пользоваться Яндекс Браузером. Подробная информация размещена в том числе на Госуслугах.
При этом многие банки уже перешли на сертификаты безопасности НУЦ. По словам участников рынка, это уже сделали Сбер, ВТБ, Альфа-Банк, ПСБ, РСХБ и другие. Это техническое обновление касается онлайн-сервисов. Средства и операции по счетам остаются в полной безопасности, говорят в банке "Россия".
"Банк "Россия", как и ряд других российских организаций, перешел на отечественные сертификаты, разработанные Минцифры России. Это современное и надежное решение, созданное в рамках российской инфраструктуры доверия, которое обеспечивает защищенное соединение и стабильную работу цифровых сервисов", - рассказали в пресс-службе банка.
На фоне отзывов сертификатов и миграции на сертификаты НУЦ количество действующих сертификатов НУЦ, по словам Евгения Лахаткина, впервые превысило 12 тысяч.
РСХБ наблюдает изменения в структуре пользовательского трафика: фиксируется снижение количества посещений через зарубежные браузеры, а трафик через Яндекс Браузер растет, сообщили "РГ" в пресс-службе банка.
При этом РСХБ рассказал об увеличении числа обращений клиентов в службу поддержки с вопросами восстановления доступа к сайту и системе дистанционного банковского обслуживания (ДБО). "Основной запрос действительно касается помощи в установке российских сертификатов НУЦ Минцифры или рекомендаций по переходу на Яндекс Браузер", - уточнили в банке.