С 2027 года Минцифры намерено выдавать российским разработчикам сертификаты электронной подписи программного кода. Они помогут операционной системе определить издателя приложения и выявить изменения в файле после подписания. Годом позже ведомство планирует начать выпуск корпоративных сертификатов безопасности.
Как будет работать новая система
Сведения о сертификате будут включать в установочный файл. При проверке система сможет установить, кто выпустил программу, и предупредить пользователя, если издатель неизвестен или файл изменили после выпуска. Однако сама по себе действительная подпись не доказывает, что программа безопасна: она подтверждает издателя и целостность файла, а не отсутствие вредоносных функций, поясняет Skillbox.
В конце октября Минцифры опубликовало проект постановления о передаче ведомству полномочий Национального удостоверяющего центра. Центр будет определять требования к сертификатам, выпускать и отзывать их, создавать ключи электронной подписи и вести реестр.
Правила и стоимость пока не определены
Правовую основу для работы НУЦ закрепил закон № 210-ФЗ, который должен вступить в силу 1 марта 2027 года. До этого выдачей сертификатов занимался подведомственный Минцифры НИИ «Восход».
Сейчас через «Госуслуги» бесплатно оформляют сертификаты для сайтов. Закон разрешает взимать плату и за другие виды документов, но не обязывает вводить её. Тарифы, сроки рассмотрения заявок и продолжительность действия новых сертификатов ещё предстоит установить. Госорганы, муниципалитеты и Банк России смогут получать их бесплатно, сообщает Код.ру.
В опубликованных материалах обязательное получение сертификата разработчиками не подтверждено. Поддержку новой системы в первую очередь планируют для российских операционных систем и RuStore.
За пределами России могут понадобиться другие подписи
Зарубежные платформы не обязаны признавать сертификаты российского удостоверяющего центра. Разработчикам, которые распространяют программы на международных рынках, может потребоваться несколько подписей — российская и та, которой доверяют используемые за рубежом системы. Роль отраслевого удостоверяющего центра, который тестировали IT-компании, в новой схеме пока не определена, отмечает Хабр.
Следующий этап — публикация нормативных правил и запуск НУЦ. От них будут зависеть порядок получения сертификатов, их стоимость и то, где именно операционные системы смогут проверять российскую подпись.
