Russland: Zertifikate für Code-Signierung ab 2027 geplant

Das russische Digitalministerium (Minzifry) will 2027 damit beginnen, Entwicklern russischer Software Zertifikate zur Signierung von Programmcode auszustellen. 2028 sollen Sicherheitszertifikate für Unternehmen folgen, teilte ein Sprecher des Ministeriums mit.

Ein Code-Zertifikat macht den Entwickler eines Programms identifizierbar und erlaubt zu prüfen, ob die Software nach der Veröffentlichung verändert wurde. Die Angaben stehen in der Installationsdatei. So kann ein Betriebssystem den Herausgeber erkennen und Nutzer warnen, wenn ein unbekanntes Unternehmen die Software veröffentlicht hat.

Ministerium übernimmt die Rolle der Zertifizierungsstelle

Ein Regierungsentwurf sieht vor, dass das Ministerium die Befugnisse der Nationalen Zertifizierungsstelle (NUC) übernimmt. Es legt Anforderungen fest, stellt Zertifikate aus und widerruft sie, bestimmt Laufzeiten, erzeugt Schlüssel und führt ein Register. Die NUC wurde durch das Gesetz Nr. 210-FZ geschaffen, das am 1. März 2027 in Kraft tritt. Bisher übernahm faktisch das Forschungsinstitut Woschod ihre Aufgaben; ob es technischer Betreiber bleibt, lässt der Entwurf offen.

Kostenlos sind Zertifikate derzeit nur für Websites über das Portal Gosuslugi. Betreiber von Informationssystemen können dort bereits Anträge stellen. Das Gesetz erlaubt Gebühren für alle Zertifikatsarten, verpflichtet die NUC aber nicht dazu. Laut einem Verordnungsentwurf sollen Behörden, Kommunen, die Zentralbank und Organisationen einer Regierungsliste kostenlos Zertifikate erhalten. Tarife, Gebührenentscheidung, Ausstellungs- und Gültigkeitsfristen stehen noch nicht fest.

Kommerzielle Zertifizierungsstellen verlangen etwa 2.000 bis 5.000 Rubel pro Zertifikat; ein Branchenexperte erwartet ähnliche Preise beim Ministerium. Nikita Nowikow vom Zertifizierungszentrum TCI weist darauf hin, dass das Ministerium Regulierung und Dienstleistung vereint, weshalb transparente Tarife, Fristen und Beschwerdewege nötig seien. Er stellt zudem eine Pflicht zu einem kostenpflichtigen Dienst infrage.

Offene Fragen

Fachleute fordern, dass die Zertifikate in die vertrauenswürdigen Speicher russischer Betriebssysteme, Browser und App-Stores aufgenommen werden; zudem brauche es technische Profile und einen Zeitstempeldienst. In geschlossenen Netzen müssen Sperrlisten offline verfügbar sein.

Auf ausländischen Plattformen bleibt das Problem bestehen: Sie entscheiden selbst über die Anerkennung, Exporteure müssen mehrere Signaturen unterstützen. Unklar ist auch die Rolle der Branchenstelle OTUC, die IT-Firmen seit dem Vorjahr testen und die laut Gesetz nur noch Anträge entgegennehmen darf.