Минцифры будет продвигать российские SSL-сертификаты

Минцифры будет продвигать российские SSL-сертификаты

Минцифры будет продвигать российские SSL-сертификаты

Уже текущей осенью Минцифры может обязать предустанавливать российские SSL-сертификаты на поставляемое оборудование. Такое требование содержится в предложениях рабочей группы для разработки регулирования в данной сфере.

Пока же российские сертификаты не пользуются значительным спросом.

«Мы в апреле 2024 г. вместе с Техническим центром Интернет дали клиентам возможность покупать российские сертификаты. Но они никому не нужны, потому что корневой сертификат отсутствует на всех устройствах и браузерах», —  отметил глава группы «Рунити» (объединяет компании RU-CENTER, «Рег.ру» и SpaceWeb).

По его оценке, объемы продаж российских сертификатов не превышают 10% от общего объема рынка.

Глава Рунити связал данную ситуацию с тем, что в российском законодательстве до сих пор нет требования по обязательному использованию SSL-сертификатов.

По мнению экспертов, опрошенных ComNews, ситуацию усугубляет политика разработчиков основных браузеров, которые не поддерживают российские сертификаты и рассматривают сайты, которые их используют, как незащищенные. Согласно статистике Statcounter по России для всех платформ, доля Chrome в России по состоянию на конец августа составляла 51,2%, Safari — 11,3%, Opera — 6,2%.

«Министерство цифрового развития, связи и массовых коммуникаций РФ поняло, что надо вмешаться в эту историю. Мы находимся в активной стадии обсуждения законодательного регулирования вокруг российских сертификатов и национальной криптографии. Осенью мы ожидаем появления регулирования в этом деле. И мы как ведущий российский провайдер, конечно, будем прикладывать максимум усилий, чтобы страна, в случае чего, была хотя бы с сертификатом», — считает Андрей Кузьмичев. Однако, по его мнению, также опасна монополия Национального удостоверяющего центра, подведомственного Минцифры, и необходимо сохранить коммерческий рынок сертификатов.

Подпишитесь на новости

В Drupal закрыли критическую брешь с возможностью атаки без аутентификации

Команда Drupal выпустила патч для критической уязвимости в модуле Field UI, которая при определённых сочетаниях компонентов позволяет удалённо выполнять код. Хотя для атаки недостаточно одного ядра CMS, как минимум один известный сценарий не требует аутентификации. Пароль администратора в таком случае злоумышленнику вообще не понадобится.

Условия эксплуатации и заплатки описаны в официальном бюллетене Drupal. Уязвимость получила идентификатор CVE-2026-108097.

Опасные пути атаки появляются в сочетании со сторонними модулями. Собственный код сайта также может сделать уязвимую функциональность доступной.

Исправления входят в Drupal 11.4.10, 11.3.19 и 10.6.19. Временной мерой разработчики называют удаление модуля Field UI на период обновления. Защита Drupal Steward перекрывает часть известных вариантов атаки, но не все возможные.

Отдельно закрыта RCE-уязвимость CVE-2026-108099 в дополнительном модуле Entity List. Для него требуется версия 3.0.10; здесь также известен сценарий без аутентификации при сочетании с другими модулями.

Ещё до публикации патчей команда предупреждала, что эксплойты могут появиться за часы или дни. При этом сообщения об уже идущих атаках в бюллетенях нет.

RSS: Новости на портале Anti-Malware.ru