Пост Лукацкого

Иллюзия независимости и недостроенный цифровой суверенитет Сейчас ни один сайт в интернете не может жить без сертификатов. Именно они - основной столп безопасности защищающий наши данные, ведь на них работает HTTPS. Для небольших компаний и личных проектов с 2014 года было очень легко получить сертификат, его автоматизировано и бесплатно выдавала Некоммерческая Организация Internet Security Research Group (ISRG), своим сервисом Lets Encrypt! У тебя есть сайт? Подтверди им владение и получи сертификат безопасности бесплатно. ISRG - это НКО, организованная Фондом электронных рубежей (Electronic Frontier Foundation, EFF), Mozilla Foundation, Akamai и Cisco Systems. Уважаемые объединения и компании, некоммерческий статус и не менее уважаемые партнеры. А когда в России начался тренд на цифровой суверенитет, особенно создание собственных центров сертификации, многие видели в этом попытку зарегулирования, контроля, но не защиту. Ведь есть независимые сервис и центр, зачем это нужно? И вот на днях, случился прецедент. Lets Encrypt отозвал и более не выдает новые сертификаты для доменов opzero.ru и поддомена www.opzero.ru. Они просто отказались и поставили блок, такого не было ранее никогда. Даже в 2022 году сервис не лез в политику и выполнял свое главное обещание, о предоставлении сертификатов всем желающим во благо безопасности Интернета. OPERATION ZERO - это единственная в России платформа по приобретению 0day-эксплоитов у исследователей. Заказчиками компании являются исключительно организации Российской Федерации и дружественных стран. Конечно же платформа под санкциями США по политическим мотивам, это буквально торговля кибероружием. Но такие платформы есть во множестве стран, в самом США есть Zerodium, и у них проблем с санкциями и сертификатами конечно же нет. У автора этого поста два предположения: 1. Представители США, где и расположена штаб квартира ISRG, попросили заблокировать доступ к сертификатам для OpZero. Они подчинились. Выглядит это далеко не независимо. 2. Представители США, запросили возможность контролировать выпуск сертификатов для доменов OpZero, контроль над сертификатами позволял бы им вскрывать шифрование и перехватывать данные всех посетителей сайта. ISRG, оценив репутационные риски, выбрали меньшее зло и заблокировали сертификаты и их выпуск. Что дальше? Доверие к сервису подорвано, любая компания может оказаться в немилости и потеряет свой сертификат. Одномоментно можно остановить работу большинства небольших сайтов РФ. Есть ли бесплатные альтернативы не в юрисдикции США? Нет, и главное в России такого внутреннего сервиса тоже нет! А такой сервис однозначно нужен, к тому же нужно сделать так, чтоб он не был завязан на сертификат Минцифры РФ. Ведь это закроет доступ для всех зарубежных пользователей. Должен быть сертификат, который признают по всему миру. С учетом политического контекста запускать этот сервис нужно было еще вчера, а в идеале до 2022 года. Это действительно был бы сильный шаг к суверенному Рунету. А что теперь у OpZero? Они выпустили платный сертификат от Global Sign, как долго он продержится? Делайте ваши ставки в опросе!