Ассоциация банков России (АБР) направила главе Минцифры Максуту Шадаеву письмо с предложением сделать обязательной установку корневых TLS-сертификатов Национального удостоверяющего центра (НУЦ) Минцифры на смартфоны и другие устройства россиян. В Минцифры подтвердили получение обращения, однако решения по нему пока нет: инициатива остаётся предложением банковского сообщества, обязательная предустановка не введена.
Почему банки подняли этот вопрос
Проблема возникла летом 2026 года, когда международные удостоверяющие центры начали массово отзывать SSL-сертификаты у российских организаций, находящихся под санкциями. В частности, японская GlobalSign запустила принудительный отзыв в июне, а в августе сайты ВТБ, Сбербанка, Альфа-банка и Россельхозбанка перестали открываться в Chrome, Safari и других зарубежных браузерах — пользователи видели предупреждение о небезопасном соединении или не могли зайти на ресурс вовсе. Банки перешли на сертификаты НУЦ, но они не входят в стандартные хранилища доверия иностранных браузеров и операционных систем, поэтому без ручной установки доступ к банковским сайтам остаётся затруднённым.
По данным АБР, каждый второй банк сталкивался с жалобами клиентов на проблемы с доступом из-за отзыва иностранных сертификатов.
Что именно предлагают банки
Инициатива не сводится к одному требованию. АБР предлагает комплекс мер:
автоматически устанавливать корневой сертификат НУЦ в момент загрузки или обновления российских приложений;
обязать производителей смартфонов, компьютеров и других устройств добавлять сертификат ещё на заводе;
включить его в стандартные настройки отечественных операционных систем;
разработать упрощённый установщик для Windows, Linux и других популярных ОС;
для уже используемых устройств — дать возможность установки «в один клик» через «Госуслуги»;
предусмотреть автоматическое обновление сертификатов;
создать систему взаимного признания сертификатов с дружественными странами, а отдельное обращение по линии БРИКС направить в Центробанк.
Технические ограничения: почему это сложнее, чем кажется
Реализация сталкивается с ограничениями самих мобильных платформ. На iPhone сертификат, установленный пользователем вручную, не получает автоматического доверия для защищённых соединений — его нужно отдельно разрешить в настройках, а на корпоративных устройствах с централизованным управлением действуют иные правила. На Android приложения, созданные для версии 7 и выше, по умолчанию доверяют системным центрам, но не обязаны доверять сертификатам, установленным пользователем: разработчики сами определяют, какие дополнительные центры они готовы признавать. Как отмечает независимый эксперт по информационной безопасности Андрей Лукацкий, идея обязательной установки через обновления банковских приложений или RuStore практически нереализуема без изменения механизмов безопасности самих мобильных ОС.
Риски, о которых предупреждают эксперты
Главное опасение связано с концентрацией доверия. Установка корневого сертификата означает, что устройство начинает доверять всем сайтам, которые подписал соответствующий удостоверяющий центр. Технически такой центр способен выпускать сертификаты и для других доменов, что создаёт риск атак «человек посередине»: третья сторона может встроиться между пользователем и сайтом и расшифровывать трафик. Руководитель «Сайбер бизнес консалтинг» Дмитрий Лившин предупреждает, что владелец корневого сертификата теоретически может выпускать сертификаты для любых сайтов, включая подменные, и использовать их для перехвата зашифрованных данных. Массовая установка одного государственного сертификата, по его мнению, создаёт единую точку уязвимости.
При этом эксперты отмечают: для реального перехвата недостаточно просто установить корневой сертификат — необходимо также получить контроль над соединением между пользователем и сайтом, например над маршрутом прохождения трафика. Некоторые приложения используют дополнительные механизмы проверки сертификатов, способные защитить от подобной подмены. Доказательств того, что Минцифры использует свои сертификаты для массового перехвата данных, нет.
Национальный удостоверяющий центр Минцифры работает с 2021 года и выпускает собственные сертификаты безопасности. Они поддерживаются российскими браузерами, включая «Яндекс Браузер» и Atom, однако зарубежные разработчики по умолчанию не включают их в списки доверенных центров. Инициатива АБР — это попытка решить прикладную проблему доступа к банковским сайтам, но одновременно она затрагивает более широкий вопрос: насколько допустима централизация доверия к цифровой инфраструктуре и где проходит граница между удобством и безопасностью. Пока решение не принято, пользователям приходится самостоятельно устанавливать сертификаты, а банкам — искать обходные пути, чтобы клиенты могли войти в личный кабинет.
