Минцифры утвердит национальные сертификаты для подписи ПО

Документ описывает 11 профилей сертификатов, разделенных по типам криптографических алгоритмов, включая варианты для сайтов, корпоративных систем и непосредственно программного кода. Наличие такой метки позволит операционным системам идентифицировать издателя и предупреждать пользователя о запуске софта от неизвестной компании. Механизм также поможет проверить, не подвергался ли файл модификациям после выпуска. Ранее Национальный удостоверяющий центр (НУЦ) выдавал сертификаты преимущественно для веб-ресурсов, чтобы поддерживать их доступность в условиях блокировок иностранных центров.

Эксперты рынка подчеркивают, что инициатива создает доверенную среду исключительно внутри российского цифрового контура. Крупные технологические гиганты, такие как Microsoft, Apple и Google, не признают легитимность российского «корня доверия», поэтому сертификат НУЦ не обеспечит возвращение подсанкционных разработчиков в международные магазины приложений. ИТ-сообщество обсуждает создание Отраслевого технологического удостоверяющего центра, который мог бы взять на себя взаимодействие с разработчиками, однако полномочия по выпуску сертификатов остаются за государственным НУЦ.

Обязательное использование новых инструментов может начаться с поставок ПО для критической информационной инфраструктуры и государственных закупок. Специалисты предлагают внедрять требования поэтапно, начиная с 2027 года, чтобы малые ИТ-компании успели подготовить инфраструктуру для защищенного хранения ключей и автоматизации подписи сборок. В противном случае для части игроков рынка затраты на соответствие новым криптографическим стандартам станут ощутимым барьером для работы с госсектором.