Российские IT-компании ускорили создание системы защиты отечественного софта на случай массового отзыва западными удостоверяющими центрами сертификатов подписи программного кода. Поводом стал начавшийся в июне отзыв SSL-сертификатов российских сайтов со стороны японской GlobalSign. В отрасли опасаются, что следующим шагом может стать аннулирование сертификатов Code Signing, от которых зависит доверие операционных систем к программам и обновлениям.

Что создают российские разработчики

На базе Национального технологического центра цифровой криптографии во взаимодействии с ФСБ, Минцифры и ФСТЭК действует рабочая группа «Единое пространство доверия». Из презентации рабочей группы следует, что крупнейшие российские разработчики создают систему защиты отечественного софта, которая должна работать в условиях массового отзыва сертификатов подписи программного кода западными удостоверяющими центрами.

В состав рабочей группы вошли ключевые участники российского IT-рынка и сферы информационной безопасности:

• «РусБИТех-Астра» – часть ГК «Астра»;
• «Сбертех» – дочерняя структура «Сбера»;
• «Базальт СПО»;
• «Открытая мобильная платформа» – дочерняя структура «Ростелекома» и разработчик ОС «Аврора»;
• «КриптоПро», «ИнфоТеКС», «Лаборатория Касперского» и другие участники рынка.

Группа разрабатывает Отраслевой технологический удостоверяющий центр – ОТУЦ. Он должен выдавать российским разработчикам сертификаты подписи кода вместо ушедших западных структур.

По словам одного из руководителей рабочей группы, гендиректора «КриптоПро» Станислава Смышляева, ОТУЦ уже функционирует в тестовом режиме. С ноября 2025 года построенную вокруг него систему протестировали «КриптоПро», «ИнфоТеКС», «Код безопасности», «Лаборатория Касперского», «Сбертех», а также разработчики операционных систем Astra Linux, «Альт», РЕД ОС, ROSA и «Аврора». Участники получили сертификаты в центре, подписали свои программные продукты и обменялись ими для взаимной проверки.

Справка! Цифровая подпись программного кода – это электронная метка, подтверждающая, что программа выпущена конкретным разработчиком и ее код не был изменен, например хакерами. Российские компании в основном получали такие метки с использованием сертификатов западных удостоверяющих центров.

Почему тема стала срочной после действий GlobalSign

Ранее в июне японская GlobalSign начала массово отзывать SSL-сертификаты у российских компаний. По словам одного из собеседников РБК, именно это заставило отрасль ускорить работу над отечественной системой подписи программного кода, которую начали разрабатывать еще в конце 2025 года.

Отзыв сертификатов стартовал 13 июня после вступления в силу новых требований CA/Browser Forum. Они обязывают удостоверяющие центры проверять компании по международным санкционным спискам, поэтому GlobalSign начала отзывать ранее выданные сертификаты у российских организаций. На этом фоне участники рынка опасаются, что аналогичные ограничения могут в будущем распространиться и на сертификаты подписи программного кода.

Чем SSL-сертификаты отличаются от сертификатов подписи кода

Оба типа сертификатов связаны с доверием цифровой инфраструктуры, но решают разные задачи. SSL-сертификаты подтверждают подлинность сайта и защищают соединение, а сертификаты подписи кода подтверждают происхождение программы и неизменность ее кода.

Масштаб зависимости от западных сертификатов и иностранных ОС

Проблема подписи кода особенно чувствительна из-за высокой доли иностранных операционных систем в России. По данным ирландской аналитической компании Statcounter, к маю 2026 года доля Windows среди настольных компьютеров в России составляла 83,2%, еще 7,4% занимала macOS от Apple. На российские ОС на базе Linux – Astra Linux, ALT Linux, РЕД ОС и другие – приходится около 3%.

Директор по консалтингу и аналитике компании «Квадрант Технологий» Петр Городецкий сообщил, что по итогам 2025 года 80% российских компаний использовали Windows на десктопах, а у 70% компаний Windows применялась как серверная операционная система. Доля Windows в деньгах в прошлом году составила около 20%.

Крупнейшими зарубежными провайдерами сертификатов подписи кода являются американские Sectigo и DigiCert, а также японская GlobalSign. Sectigo и DigiCert прекратили взаимодействие с российскими компаниями еще в 2022 году: они перестали выдавать новые сертификаты подписи кода и продлевать действующие.

GlobalSign до последнего времени оставался важным международным участником российского рынка сертификатов. После того как в марте 2022 года международные центры сертификации Sectigo, ранее Comodo, DigiCert, Thawte, GeoTrust и RapidSSL прекратили выпуск сертификатов для российских доменов .RU, .РФ, .SU, а также белорусского .BY, GlobalSign оставался единственным крупным коммерческим центром сертификации в мире, продолжавшим полноценную работу с российскими клиентами.

По данным W3Techs на июнь 2026 года, в мире GlobalSign занимает второе место по количеству действующих сертификатов с долей 20,4%, уступая только некоммерческому Let’s Encrypt с долей 68,2%. Среди коммерческих центров сертификации GlobalSign является крупнейшим. При этом представитель Минцифры сообщил, что, по данным открытых источников, доля GlobalSign в Рунете не превышает 5%.

Главная техническая сложность: российские «корни доверия»

По словам Станислава Смышляева, основная трудность заключается в том, что в зарубежных операционных системах нет единых российских «корней доверия». Это главные сертификаты, которым операционная система доверяет по умолчанию и от которых выстраивается цепочка проверки всех остальных сертификатов.

Наиболее прямой способ обеспечить доверие к российским сертификатам – чтобы их добавил разработчик операционной системы. Российские разработчики могут пойти на такой шаг, но Microsoft, владеющая Windows, или Apple, развивающая iOS и macOS, вряд ли сделают это для российских сертификатов. Поэтому для зарубежных ОС потребуется разрабатывать иные механизмы обеспечения доверия к программному обеспечению.

Представитель Минцифры заявил, что в случае отзыва иностранных сертификатов подписи кода есть техническая возможность выпуска отечественных. Он напомнил, что 13 июня Совфед одобрил второй пакет мер по борьбе с кибермошенничеством. Среди прочего он наделяет Национальный удостоверяющий центр Минцифры статусом государственной информационной системы и расширяет число типов выпускаемых сертификатов. Теперь НУЦ сможет выдавать в том числе сертификаты подписи программного кода.

Параллельно при министерстве идет пилотирование сертификатов подписи кода на российском криптографическом стандарте ГОСТ в отечественных десктопных операционных системах семейства Linux. Также, по словам представителя Минцифры, есть успешные результаты встраивания стандарта ГОСТ для подписания установочных файлов в операционной системе Android с сохранением текущей экосистемы.

В Минцифры подчеркнули, что министерство находится в тесном взаимодействии с отраслью и на данный момент не располагает информацией о проработке планов по отзыву иностранных сертификатов подписи кода или по запрету добавления новых сертификатов в качестве доверенных в ОС Windows.

Важно! При переходе на отечественные сертификаты пользователи условно открытых систем, таких как Windows и Android, смогут самостоятельно добавить российский коренной сертификат в список доверенных. В iOS и macOS установка приложения с неизвестным системе сертификатом возможна через режим разработчика: предупреждение появляется один раз при установке, после чего приложение работает стандартно.

Какие риски возникнут при отзыве сертификатов подписи кода

Если сертификат подписи кода отозван, операционная система перестает доверять подписи. В результате операционная система может либо полностью заблокировать запуск программы, либо показать предупреждение о небезопасном издателе. У разработчика в таком случае остаются два варианта: убрать подпись кода, чтобы системе было нечего проверять, или использовать сертификаты небольших иностранных компаний, которые пока не соблюдают санкции.

Отказ от подписи кода снижает уровень безопасности. В случае отсутствия подписи программу зачастую можно запустить, но гарантий ее подлинности уже не будет: злоумышленники могут внедрить в нее вредоносный код, и это останется незамеченным.

Директор по направлению информационной безопасности IT-экосистемы «Лукоморье», входящей в «Ростелеком», Станислав Воскресенский считает, что последствия для разработчиков софта могут быть критическими. По его словам, фактически может быть остановлен конвейер поставки программ пользователям, а сами пользователи потеряют возможность получать как новые бизнес-функции, так и обновления безопасности.

Основные риски для разработчиков и пользователей можно свести к нескольким направлениям:

• блокировка запуска российского софта в Windows и других иностранных операционных системах;
• невозможность размещать решения в официальных магазинах приложений, включая App Store;
• сложности с тестированием программ на реальных устройствах;
• распространение подделок, фишингового и вредоносного программного обеспечения;
• нарушение целостности кода и потеря доверия к обновлениям безопасности.

Представитель ГК «Астра» подтвердил, что при отзыве сертификатов Microsoft или другими западными компаниями может возникнуть проблема запуска российского софта в экосистеме Windows и других иностранных операционных систем. Поэтому задача подписи программ отечественными сертификатами и создания единого пространства доверия является крайне актуальной. В компании отметили, что используют сертификаты «КриптоПро».

Станислав Воскресенский сравнил ситуацию с национальной платежной системой: зарубежные платежные системы перестали предоставлять услуги в России, и в случае массового отзыва иностранных сертификатов для подписи программного кода также необходимо иметь собственные национальные удостоверяющие центры.

Что уже происходило с сертификатами и какие последствия видит рынок

По словам одного из источников, в 2023 году Apple уже точечно отзывала сертификаты подписи программного кода у некоторых подсанкционных компаний. В результате им пришлось убрать цифровую подпись, что повысило риск подмены программ. Разрабатываемая на базе ОТУЦ система должна решить эту проблему и обеспечить защиту кода при использовании отечественных сертификатов.

В «Базальт СПО» сообщили, что не используют зарубежные сертификаты, поэтому для отечественных операционных систем их отзыв последствий не несет. По словам представителей компании, национальный центр будет работать по тому же принципу, что и центры сертификации сайтов: использовать отечественную криптографию, цепочку доверия и проверку подписи при установке программ.

Независимый эксперт по информационной безопасности Алексей Лукацкий отметил, что GlobalSign также выдает сертификаты подписи кода, необходимые для установки приложений в Windows, macOS и iOS. Если зарубежные удостоверяющие центры начнут их отзывать, российские разработчики могут столкнуться с проблемами при распространении своего программного обеспечения.

Последствия отзыва SSL-сертификатов GlobalSign для сайтов

Отзыв SSL-сертификатов уже стал отдельным риском для российских сайтов и онлайн-сервисов. SSL-сертификат подтверждает подлинность сайта и шифрует соединение между браузером и сервером. Если сертификат отозван, браузер может предупредить пользователя о небезопасном соединении или полностью заблокировать доступ к сайту.

По данным источников РБК, под отзыв могут попасть 15–20 тыс. доменов второго уровня. С учетом поддоменов речь может идти о сотнях тысяч или даже миллионах SSL-сертификатов. По оценке Astra Cloud, GlobalSign занимает около 90% российского рынка коммерческих SSL-сертификатов, поэтому последствия могут затронуть большое число сайтов.

В Минцифры заявили, что в худшем случае сайты могут быть временно недоступны, пока владельцы заменяют иностранные сертификаты. Для этого с 2022 года российские юридические лица могут бесплатно получать отечественные TLS-сертификаты через Национальный удостоверяющий центр Минцифры.

Почему универсального решения для бизнеса пока нет

Гендиректор и основатель хостинг-провайдера RUVDS Никита Цаплин назвал происходящее серьезным инфраструктурным риском, но ожидаемым для рынка. По его словам, это финальный этап ухода международных удостоверяющих центров из России. Для компаний средней руки, которые до последнего держались за зарубежные сертификаты ради глобальной совместимости, ситуация может обернуться экстренной миграцией и операционными сбоями.

Наиболее уязвимыми Цаплин назвал мобильные приложения с технологией Certificate Pinning (жесткой привязкой к конкретному сертификату) и встроенным браузерным компонентом WebView. Без срочного выпуска обновлений они могут полностью потерять связь с серверами, а оперативно провести апдейт через зарубежные маркетплейсы сейчас крайне затруднительно.

По оценке Цаплина, единого решения, которое закрыло бы все задачи бизнеса, сегодня нет. Доступные варианты имеют разные ограничения:

• сертификаты Минцифры устойчивы к санкциям, но не признаются зарубежными браузерами;
• переход на центры сертификации из Китая или СНГ кратно дороже и не защищает от аналогичных отзывов;
• использование Let’s Encrypt через зарубежные прокси-серверы несет высокие регуляторные риски;
• бизнесу может потребоваться разделение инфраструктуры на внутренний и внешний контуры либо принятие блокировок для части аудитории.

Собеседник РБК на рынке информационной безопасности среди возможных экстренных мер назвал блокировку доступа к OCSP-серверам, через которые браузер проверяет статус сертификата. В таком случае при проверке браузером сертификата возникнет ошибка о невозможности проверить отзыв. Как временная мера это может дать отсрочку для поиска решения проблемы.

Что означает создание ОТУЦ для российского софта

Создание ОТУЦ должно обеспечить российским разработчикам возможность безопасно выпускать и обновлять программное обеспечение даже при возможном отзыве западных сертификатов.

Одновременно отрасль и регулятор тестируют несколько технических решений: работу ОТУЦ, сертификаты подписи кода на ГОСТ в российских Linux-системах, встраивание ГОСТ для подписания установочных файлов в Android и возможность самостоятельного добавления российских корневых сертификатов пользователями Windows и Android.

На фоне отзыва SSL-сертификатов GlobalSign создание национальной системы подписи кода становится одним из ключевых условий устойчивой работы российского программного обеспечения при возможном отзыве западных сертификатов Code Signing.