Массовая компрометация устройств — эксперты о рисках предустановки российских TLS-сертификатов на смартфоны

Ассоциация банков России (АБР) направила письмо главе Минцифры Максуту Шадаеву с предложением нескольких инициатив, одна из которых предполагает установку сертификатов при обновлении или установке российских мобильных приложений. Об этом пишет РБК.

Ранее Президент РФ Владимир Путин утвердил закон о сертификатах безопасности НУЦ для сайтов и браузеров. Документ гласит, что Национальный удостоверяющий центр будет призван выдавать сертификаты безопасности владельцам сайтов, разработчикам ПО и участникам КИС. Помимо этого, документ ввел реестр российских браузеров, обязанных предустанавливать сертификаты НУЦ, — писал SecPost.

Минцифры рекомендовали устанавливать российские SSL-сертификаты в связи с риском отзыва иностранных сертификатов GlobalSign. Риск отзыва грозил нарушением доступа к российским сайтам через Chrome, Safari и Edge. SecPost выпускал материал об этом.

По данным ассоциации, каждая вторая кредитная организация получала жалобы клиентов из-за нарушения доступа к сайтам в связи с отзывом сертификатов. Среди ключевых проблем — установка сертификатов и доступ к ресурсам сторонних банков при переводах.

Помимо предустановки сертификатов на мобильных устройствах, АБР предложила разработать удобный установщик корневых сертификатов для операционных систем (ОС), включая Windows и Linux, предустанавливать корневые сертификаты на российских ОС, а также установить требования для производителей компьютеров, телефонов и прочих устройств, обязывающие предустанавливать сертификаты еще на этапе производства.

К этому в ассоциации добавили и проведение информационно-разъяснительной кампании в целях повышения осведомленности о сертификатах безопасности. Помимо масштабных мер, также были выдвинуты предложения и по улучшению системы выдачи сертификатов.

По мнению АБР, возможность установки сертификата в автоматическом режиме «по одной кнопке» на Госуслугах, а также создание автоматической системы проверки выданных сертификатов заметно улучшили бы ситуацию. Кредитные организации, в свою очередь, предложили создать систему удостоверяющих центров на международном уровне при участии дружественных стран.

В данный момент ассоциация готовит новые предложения по минимизации рисков в связи с ограничением доступа к российским сайтам из-за рубежа, письмо с ними будет направлено в Банк России. Планируется обозначить меры, важные для реализации внешнеэкономических проектов, международного сотрудничества и туризма, — пишет РБК со ссылкой на представителя АБР.

Также в планах предложить проведение кросс-сертификации с удостоверяющими центрами партнеров из стран БРИКС и других дружественных стран и предусмотреть единый официальный канал распространения корневого сертификата с подписанными установщиками.

В АБР заявили, что отзыв глобальных сертификатов создал угрозу для цифрового суверенитета и устойчивости банковского сектора, а предупреждения браузеров о небезопасном соединении при входе на банковские сайты снижают доверие пользователей к ресурсам. Эти риски, по мнению ассоциации, можно минимизировать посредством использования отечественных решений в виде браузера от «Яндекса» и сертификатов Минцифры.

РБК со ссылкой на эксперта указал, что предустанавливать сертификаты будут только те производители, которые собирают прошивку устройств для российского рынка: Apple и Google не отдают управление корнями доверия, а на Android пользовательский сертификат не действует на все приложения.

Создает ли риски обязательная предустановка

Руководитель разработки PT MAZE Николай Анисеня подчеркнул, что обязательная предустановка TLS-сертификатов опасна тем, что компрометация любого предустановленного сертификата автоматически приводит к компрометации миллионов или миллиардов устройств. «Атака может быть связана не только со слабой криптографией, но и с банальной утечкой — человеческий фактор даже более вероятный», — объяснил эксперт.

Архитектор по информационной безопасности Getmobit Султан Салпагаров уточнил, что риски в данном случае больше технологические. Собеседник подчеркнул, что приложения, использующие такую меру, как SSL-pinning (жесткая привязка к TLS-сертификату сервера), в случае подмены просто потеряют возможность работы. Риск вмешательства же, по мнению эксперта, такой же, как и в случае мировых корневых сертификатов.

Анисеня указал, что неизвестно, были ли реальные случаи злоупотребления российскими TLS-сертификатами, однако для пользователей становится нормой сценарий с установкой стороннего сертификата. Это, по мнению эксперта, создает окно возможностей для злоумышленников.

Так, эксперт подчеркнул, что мошенники могут под видом сертификата Минцифры просить установить свой сертификат, что в конечном итоге может привести к полному контролю трафика жертвы, даже удаленно через вредоносные прокси и VPN.

Салпагаров добавил, что вектор атаки через злоупотребление российскими сертификатами возможен только в случае утечки приватных ключей корневого или промежуточного сертификата. «В этом смысле одинаково уязвимо все. Гарантией может быть только безопасность ключей, которые в случае официальных государственных структур защищены максимально, а SLA оповещения и защитных мероприятий максимально жесткий», — объяснил эксперт из Getmobit.

Влияние на безопасность мобильного банкинга

Старший партнер IT-интегратора «Энсайн» Алексей Постригайло считает, что введение предустановки сертификатов в устройства может восстановить доступ к банковским сайтам, если браузер начнет доверять этим сертификатам. Для приложения же банка, выделил эксперт, результат зависит от его настроек, а при сопровождении системы после изменений стоит проверить вход и обмен данными.

Анисеня указал, что в данный момент бизнес решает задачу доступности своих сервисов: «В качестве обходного пути разработчики всегда могут использовать технологию certificate pinning и вшивать в свои приложения все требуемые сертификаты, включая сертификат от Минцифры». Такой подход, объяснил эксперт, дополнительно защищает пользователей от атак, при которых жертва устанавливает сертификат мошенников.

Салпагаров же заявил, что предустановка сертификатов Минцифры повлияет на отечественный банкинг, поскольку такая мера защищает как минимум от санкционных действий западных регистраторов, которые могут продлить срочные сертификаты по политическим соображениям. Эксперт подчеркнул, что подобные инциденты уже известны.