为对抗制裁，俄罗斯决定自建TLS根证书

2022/03/14

随着俄罗斯乌克兰战争的进行，来自美国和西方国家的制裁也越来越频繁，其中就包括暂停网站证书的更新，导致俄罗斯境内的浏览器访问证书过期的网站。

基于对俄罗斯实施制裁的国家/地区的签署机构不能再接受为其服务支付的费用，这使得许多网站没有切实可行的手段来更新即将到期的证书。

证书过期后，Google Chrome、Safari、Microsoft Edge 和 Mozilla Firefox 等 Web 浏览器将显示页面不安全的整页警告，这可能会使许多用户离开该站点。

因此，俄罗斯决定自己创建受信任的TLS 证书颁发机构 (CA)，防止出现因证书在暂停续订而无法访问相关网站的局面。

TLS证书的主要功能是服务器认证和数据加密传输，广泛应用于网站、微信小程序、移动端等，其工作原理如下图所示：

为对抗制裁，俄罗斯决定自建TLS根证书(图1)

俄罗斯设立证书颁发机构

目前，俄罗斯政府已经决定自己创建一个证书颁发机构，提供独立颁发和更新 TLS 证书的解决方案。俄罗斯公共服务门户网站 Gosuslugi 表示，如果国外安全证书被撤销或过期，那么俄罗斯的证书会取代它，该服务预计在五个工作日内上线，且全部免费。

但这里有一个严重的问题，新的证书颁发机构 (CA) 要想被 Web 浏览器信任，首先需要经过各个公司的审查，这可能需要很长时间。目前唯一信任俄罗斯CA的浏览器是俄罗斯的Yandex和Atom 浏览器，因此俄罗斯政府倡导用户使用本国浏览器，而不是Chrome、Firefox、Edge 等主流浏览器。

据俄罗斯媒体报道，已经有198个单位收到了使用TSL证书的通知，但并不强制要求使用，俄罗斯中央银行、Sberbank、VTB已经率先开始使用CA颁发的TSL证书。

Chrome 或 Firefox 等其他浏览器的用户可以手动添加新的俄罗斯根证书，以继续使用具有国家颁发证书的俄罗斯网站。

为对抗制裁，俄罗斯决定自建TLS根证书(图2)

俄罗斯可信根 CA 证书

然而，这也给安全埋下了隐患，俄罗斯可能滥用其 CA 根证书来执行HTTPS 流量拦截和中间人攻击，并最终导致根证书被添加到证书撤销列表 (CRL) 中。这将使这些证书无效，Chrome、Edge 和 Firefox 将阻止访问任何使用它们的网站。

众所周知，证书颁发机构应该是普遍受信任的。但是，由于俄罗斯目前没有多少可信度，全球主要浏览器供应商不太可能将它添加到根证书存储中。