Сертификаты НУЦ в смартфонах: что предлагают банки и какие есть ограничения

Ассоциация банков России (АБР) предложила Минцифры обязать устанавливать сертификаты Национального удостоверяющего центра (НУЦ) на смартфоны при скачивании или обновлении мобильных приложений. Пока это только инициатива: решений о её запуске не принимали.

По задумке банков, такая мера должна расширить использование российских сертификатов и снизить число проблем с доступом к отечественным сайтам и онлайн-сервисам.

Что такое сертификат НУЦ

TLS-сертификат — цифровой документ, который помогает браузеру проверить подлинность сайта и установить зашифрованное соединение с сервером. Проще говоря, это своего рода «цифровой паспорт» сайта.

Если браузер не доверяет сертификату, пользователь может увидеть предупреждение о небезопасном соединении или вовсе не открыть страницу. Российские сертификаты НУЦ уже используются рядом отечественных сервисов, но зарубежные браузеры и удостоверяющие центры не всегда признают их автоматически.

Что предлагают банки

В письме главе Минцифры Максуту Шадаеву АБР перечислила несколько мер:

• сделать обязательной установку сертификатов НУЦ при загрузке и обновлении российских мобильных приложений;
• разработать удобный установщик для популярных операционных систем, включая Windows и Linux;
• предустанавливать сертификаты на российские ОС;
• обязать производителей компьютеров, смартфонов и другой техники добавлять сертификаты ещё на этапе производства;
• упростить выдачу сертификатов — например, оформить её «по одной кнопке» через Госуслуги;
• создать автоматическую систему проверки и обновления уже выданных сертификатов;
• сформировать международную систему удостоверяющих центров совместно с «дружественными» странами.

Что это даст пользователю

В идеальном сценарии владельцу смартфона не придётся самостоятельно искать сертификат, скачивать установщик и разбираться с настройками доверия. Нужные компоненты будут добавляться вместе с приложением или уже находиться на устройстве.

Но автоматическая установка не означает, что сертификат начнёт работать одинаково во всех приложениях. На iPhone сторонние программы не могут самостоятельно добавить корневой сертификат в системное хранилище. На Android установка сертификата также не гарантирует, что ему будут доверять все приложения.

Почему к идее предлагают отнестись осторожно

Опрошенные РБК эксперты считают сертификаты НУЦ сопоставимыми по уровню безопасности с зарубежными. Главное отличие в другом: иностранные удостоверяющие центры и браузеры не обязаны им доверять.

Поэтому предустановка может упростить доступ к российским сервисам, но одновременно расширяет список компонентов, которым устройство автоматически доверяет. Конкретный механизм установки и контроля сертификатов пока не определён — именно от него будет зависеть, как инициатива повлияет на безопасность и совместимость смартфонов.

Письмо АБР в Минцифры подтверждено ассоциацией, ведомство сообщило, что получило обращение. Следующий шаг — решить, какие из предложений можно реализовать технически и нужно ли закреплять их на уровне требований к приложениям и производителям устройств.