Russie : des certificats de signature de code dès 2027

Le ministère russe du Développement numérique (Minstsifry) compte délivrer en 2027 des certificats de signature de code aux développeurs de logiciels russes, puis des certificats de sécurité d'entreprise en 2028, a indiqué un porte-parole du ministère.

Un certificat de code permet d'identifier l'auteur d'un programme et de vérifier qu'il n'a pas été modifié après sa publication. Les informations figurent dans le fichier d'installation : le système d'exploitation peut ainsi reconnaître l'éditeur et avertir l'utilisateur si le logiciel provient d'une société inconnue.

Le ministère reprend l'autorité de certification nationale

Un projet de décret gouvernemental confierait au ministère les pouvoirs de l'Autorité nationale de certification (NUC). Il fixerait les exigences, délivrerait et révoquerait les certificats, définirait leur durée de validité, générerait les clés et tiendrait un registre. La NUC a été créée par la loi n° 210-FZ, qui entre en vigueur le 1er mars 2027. Jusqu'ici, c'est en pratique l'institut de recherche Voskhod qui assurait ses fonctions ; le projet ne dit pas s'il restera l'opérateur technique.

Aujourd'hui, seuls les certificats pour sites web sont gratuits, via le portail Gosuslugi, où les propriétaires de systèmes d'information peuvent déjà déposer une demande. La loi autorise des frais pour tous les types de certificats, sans y obliger la NUC. Selon un projet d'arrêté, les administrations, les collectivités, la Banque centrale et les organisations d'une liste gouvernementale seraient exemptées. Ni tarif, ni décision sur la gratuité, ni délais d'émission ou de validité ne sont encore fixés.

Les autorités commerciales facturent environ 2 000 à 5 000 roubles par certificat, et un expert s'attend à des prix comparables. Nikita Novikov, du centre de certification TCI, souligne que le ministère cumule pouvoir normatif et prestation de service : tarifs transparents, délais et voies de recours sont donc indispensables. Il s'interroge aussi sur un service payant rendu obligatoire.

Les questions en suspens

Selon les spécialistes, les certificats devront entrer dans les magasins de confiance des systèmes d'exploitation, navigateurs et boutiques d'applications russes, avec des profils techniques et un service d'horodatage. Les réseaux fermés devront accéder hors ligne aux listes de révocation.

Sur les plateformes étrangères, le problème demeure : leurs propriétaires décident seuls de reconnaître ces certificats, et les exportateurs devront gérer plusieurs signatures. Le rôle de l'OTUC, testé par les entreprises informatiques depuis l'an dernier, reste flou, la loi ne lui laissant que la réception des demandes.