С 1 марта 2027 года Минцифры станет Национальным удостоверяющим центром и начнёт выдавать сертификаты подписи программного кода — с проверкой издателя и целостности файлов.
Российское ПО обзаведётся цифровыми паспортами. Минцифры с 2027 года планирует ввести обязательную сертификацию программного кода отечественных разработчиков, а в 2028-м — запустить выдачу корпоративных сертификатов безопасности. Об этом сообщили «Ведомости» со ссылкой на представителя министерства. Проще говоря, у каждой программы появится электронная метка, по которой система поймёт, кто её выпустил и не трогал ли файлы кто-то посторонний.
Механика выглядит логично. Сертификат вшивается в установочный файл и содержит сведения о разработчике. Операционная система проверяет подпись, определяет издателя и выдаёт предупреждение, если приложение выпущено неизвестной компанией или его содержимое изменили после подписания. Для обычного пользователя это значит меньше шансов случайно установить что-то сомнительное под видом знакомой программы.
Кто и как будет выдавать сертификаты
Полномочия Национального удостоверяющего центра (НУЦ) Минцифры получит с 1 марта 2027 года. Правовую основу для этого закрепил федеральный закон № 210-ФЗ, который как раз вступит в силу в эту дату. Ведомство будет устанавливать требования к сертификатам, выпускать и отзывать их, создавать ключи электронной подписи и вести единый реестр.
Сейчас через «Госуслуги» бесплатно можно получить сертификаты только для сайтов. Новый порядок расширяет систему на программный код, информационные системы и корпоративное взаимодействие. И тут начинается интересное: законодательство допускает введение платы за отдельные виды сертификатов. Тарифы и сроки действия пока не определены, но бесплатно их смогут получать государственные и муниципальные органы, Банк России и организации из специального правительственного перечня.
Где тут подвох
Эксперты уже указывают на возможный конфликт интересов: Минцифры будет одновременно устанавливать правила сертификации и предоставлять соответствующие услуги. Руководитель Центра сертификации ТЦИ Никита Новиков отметил, что особенность Минцифры как раз в сочетании нормативных полномочий и оказания услуги, поэтому нужны прозрачные тарифы, сроки и порядок обжалования. По оценкам коммерческих удостоверяющих центров, цена одного сертификата обычно варьируется от 2 до 5 тысяч рублей в зависимости от типа, срочности и объёма.
Вторая проблема — международная. Российские сертификаты пока не признаются зарубежными платформами. Зарубежные операционные системы и платформы не обязаны доверять отечественному удостоверяющему центру. Компаниям, работающим на международных рынках, придётся использовать несколько вариантов электронной подписи. Сертификаты должны попасть в доверенные хранилища российских операционных систем, браузеров и магазинов приложений — иначе вся эта история просто не заработает.
Любопытный момент: IT-компании с прошлого года тестировали собственный Отраслевой технологический удостоверяющий центр (ОТУЦ), который тоже должен был выдавать сертификаты подписи кода. Но закон закрепил выпуск сертификатов за государственным НУЦем — некоммерческая организация сможет только принимать заявления разработчиков. Какую роль ОТУЦ сыграет в новой системе, пока неясно.
Что в итоге? Идея с цифровыми паспортами выглядит разумной: защита от подмены файлов и поддельных приложений — это то, чего не хватает. Вопрос в деталях: тарифах, прозрачности и том, насколько гладко это всё встроится в существующую экосистему. Будем следить за развитием событий и обязательно расскажем, когда появятся конкретные тарифы и регламенты.