Российские банки предложили сделать обязательной установку государственных сертификатов безопасности на смартфоны россиян при загрузке и обновлении приложений. Соответствующее письмо Ассоциация банков России направила главе Минцифры Максуту Шадаеву, пишет издание РБК. Банки объясняют инициативу проблемами с доступом к российским сайтам после отзыва международных сертификатов. Однако эксперты по информационной безопасности предупреждают, что массовая установка государственных корневых сертификатов создаст дополнительные риски, включая возможность перехвата зашифрованного интернет-трафика. Минцифры подтвердило получение обращения, но решение пока не принято.
Банковское сообщество предлагает автоматически устанавливать корневые сертификаты Национального удостоверяющего центра Минцифры при скачивании или обновлении мобильных приложений. Кроме того, банки хотят обязать производителей смартфонов, компьютеров и других устройств устанавливать эти сертификаты еще на заводе, а разработчиков российских операционных систем — включать их в стандартные настройки.
Для уже используемых устройств предлагается разработать универсальные установщики, в том числе для Windows и Linux, и добавить возможность установки сертификатов одним нажатием через «Госуслуги». Ассоциация также выступает за автоматическое обновление сертификатов и создание сети удостоверяющих центров в дружественных России странах. Отдельное обращение о взаимном признании сертификатов с государствами БРИКС банки собираются направить в Центробанк.
Почему государственные сертификаты вызывают опасения
TLS-сертификаты используются для проверки подлинности сайтов и защиты соединений между пользователем и интернет-сервисом. Когда человек открывает сайт банка, браузер проверяет, выпущен ли его сертификат доверенным удостоверяющим центром. Если проверка проходит успешно, устанавливается зашифрованное соединение, защищающее передаваемые данные от посторонних.
Установка корневого сертификата означает, что устройство начинает доверять сертификатам, выпущенным соответствующим удостоверяющим центром. При этом доверие распространяется не только на сайты российских банков: технически такой центр способен выпускать сертификаты и для других доменов.
Это создает дополнительные риски для пользователей. Руководитель компании «Сайбер бизнес консалтинг» Дмитрий Лившин предупредил, что владелец корневого сертификата теоретически способен выпускать сертификаты для любых сайтов, в том числе подменных, и использовать их для перехвата зашифрованного трафика. Массовая установка одного государственного сертификата, по его мнению, приведет к концентрации доверия и создаст единую точку уязвимости.
Для такого перехвата недостаточно просто установить корневой сертификат: необходимо также получить контроль над соединением между пользователем и сайтом, например над маршрутом прохождения трафика. Некоторые приложения используют дополнительные механизмы проверки сертификатов, способные защитить их от подобной подмены. Доказательств того, что Минцифры использует свои сертификаты для массового перехвата данных, нет.
На iPhone и Android автоматическая установка сертификатов ограничена
Как обнаружил The Insider, предложения банков сталкиваются и с техническими препятствиями. Из документации Apple следует, что сертификат, который пользователь самостоятельно устанавливает на iPhone, не получает автоматического доверия для защищенных соединений. Для этого необходимо отдельно разрешить его использование в настройках устройства. При этом на корпоративных устройствах с централизованным управлением действуют другие правила.
На Android ограничения устроены иначе. Согласно документации Google, приложения, разработанные для Android 7 и более поздних версий, по умолчанию доверяют системным удостоверяющим центрам, но не обязаны доверять сертификатам, установленным пользователем. Разработчики приложений самостоятельно определяют, какие дополнительные центры они готовы признавать.
Обычное обновление банковского приложения не гарантирует автоматического появления государственного сертификата в списке доверенных для всех остальных программ на смартфоне. Независимый эксперт по информационной безопасности Андрей Лукацкий также отмечает, что реализация предложения банков потребует изменений в механизмах безопасности мобильных операционных систем.
В Минцифры подтвердили получение письма. Сроки рассмотрения инициативы и возможный механизм ее реализации пока не приводятся.
Российские банки столкнулись с отзывом зарубежных сертификатов
Новая инициатива появилась после того, как международные удостоверяющие центры начали отзывать сертификаты российских организаций, находящихся под санкциями. Как писал The Insider, 13 июня 2026 года японская компания GlobalSign начала принудительно отзывать сертификаты российских сайтов. По оценке источников РБК, под угрозой оказались от 15 до 20 тысяч доменов второго уровня.
Из-за отзыва сертификатов пользователи некоторых российских банков столкнулись с предупреждениями о небезопасном соединении при использовании Chrome, Safari, Firefox и других зарубежных браузеров. В частности, Т-Банк предупреждал клиентов о возможных проблемах с доступом к сайтам и приложениям, а Россельхозбанк — о сбоях в работе старой версии своего приложения для Android.
В России с 2021 года работает Национальный удостоверяющий центр Минцифры, выпускающий собственные сертификаты безопасности. Они поддерживаются российскими браузерами, в том числе «Яндекс Браузером» и Atom, однако зарубежные разработчики по умолчанию не включают их в списки доверенных центров. Поэтому пользователи иностранных браузеров сталкиваются с необходимостью самостоятельно устанавливать дополнительные сертификаты.
Еще в 2023 году The Insider рассказывал, что введение национальных сертификатов стало частью политики российских властей по созданию подконтрольной государству интернет-инфраструктуры. Опрошенные изданием специалисты тогда предупреждали, что технологические санкции и уход иностранных компаний способствуют переходу пользователей на российские платформы и усилению государственного контроля над интернетом.
