Банки предложили предустанавливать сертификаты Минцифры на смартфоны

Эксперты считают инициативу нереализуемой без изменения требований безопасности мобильных операционных систем

Ассоциация банков России (АБР) призвала в обязательном порядке устанавливать сертификаты Национального удостоверяющего центра (НУЦ) Минцифры на смартфоны при загрузке и обновлении приложений. Об этом говорится в письме АБР, направленном в Минцифры на имя его главы Максута Шадаева. РБК ознакомился с документом, его подлинность подтвердил представитель ассоциации. В Минцифры получение письма АБР тоже подтвердили.

Банковское сообщество также просит:

• разработать единый установщик корневых сертификатов для популярных операционных систем (ОС) (например, Windows);
• предустанавливать корневые сертификаты на российских ОС;
• предустанавливать корневые сертификаты при производстве мобильных телефонов, компьютеров и других устройств;
• провести информационно-разъяснительную кампанию среди населения для повышения осведомленности о сертификатах безопасности.

К тому же банки предлагают сделать механизм установки сертификатов максимально простым — устанавливать их нажатием «одной кнопки» на «Госуслугах», а также построить систему международных удостоверяющих центров на уровне «дружественных» юрисдикций.

Представитель АБР добавил, что ассоциация готовит еще одно письмо — в Банк России: «Среди прочего предлагается провести кросс-сертификацию с удостоверяющими центрами партнеров из стран БРИКС и других «дружественных» юрисдикций, предусмотреть единый официальный канал распространения корневого сертификата с подписанными установщиками и пошаговыми инструкциями на нескольких языках, проработать упрощенный способ установки сертификатов на устройства иностранных пользователей и проводить активное информирование иностранцев при въезде».

Единая точка риска в руках Минцифры

Большинство инициатив, предложенных банковским сообществом, можно реализовать на практике, но есть и ограничения: пользователи iOS не смогут добавить корневой сертификат в системное хранилище, а пользователям Android установка сертификата не гарантирует, что ему будут доверять все приложения. «Идея обязательной установки сертификатов через обновления банковских приложений или RuStore практически нереализуема без изменения механизмов безопасности мобильных операционных систем», — резюмирует независимый эксперт в сфере информационной безопасности Андрей Лукацкий.

Глава «Сайбер бизнес консалтинг» Дмитрий Лившин и вовсе полагает, что с обязательной предустановкой сертификатов нужно быть осторожными: «Тот, кто его [корневой сертификат — FM] контролирует, теоретически способен выпустить сертификаты на любой домен и перехватывать зашифрованный трафик. Тотальная обязательная установка одного государственного корневого сертификата на все устройства — это концентрация доверия и единая точка риска».

• Летом 2026 года японский удостоверяющий центр GlobalSign начал массово отзывать сертификаты, выпущенные для российских компаний, находящихся под санкциями. После этого пользователи при попытке перейти на сайты крупнейших российских компаний стали видеть уведомления о небезопасном соединении. Компании пробовали решить проблему, переходя на сертификаты американских и европейских, а затем и «дружественных» удостоверяющих центров.
• Несмотря на это, уже тогда представители банков обращали внимание Frank Media на то, что переход в «дружественную» юрисдикцию не решит проблему: использование любой инфраструктуры вне национального контура несет риск одностороннего отзыва сертификатов. С другой стороны, отечественным сертификатам, выпущенным НУЦ Минцифры, не доверяют популярные операционные системы, что негативно влияет на пользовательский опыт.
• «Основная потеря для нас заключается в том, что современные ОС не поддерживают сертификаты НУЦ по умолчанию, что ведет к снижению активности пользователей. Кто-то сталкивается с трудностями при установке, кто-то привык пользоваться привычными браузерами, причин может быть множество», — объяснял руководитель департамента цифровых сервисов и каналов в банке «Уралсиб» Дмитрий Наранович.

Источник: Frank Media