Минцифры введет обязательную сертификацию кода для российских разработчиков ПО
Минцифры планирует с 2027 года ввести для российских разработчиков обязательную сертификацию исходного (программного) кода, а с 2028 года намерено начать взимать плату и за корпоративные сертификаты безопасности.
Заявленная задача сертификации — повысить надёжность и безопасность отечественного ПО. Сведения о наличии сертификата будут встраиваться в установочный файл каждой программы, что позволит подтверждать авторство продукта и удостоверяться, что после выпуска в нём не вносились изменения, сообщают «Ведомости».
Новый порядок будет утверждён постановлением правительства, передающим Минцифры функции Национального удостоверяющего центра. С 1 марта 2027 года ведомство получит полномочия устанавливать правила сертификации, выдавать и отзывать сертификаты, а также вести их реестр.
В настоящий момент через «Госуслуги» бесплатно оформляются сертификаты только для веб‑сайтов. Предлагаемые изменения дают возможность вводить плату и за другие виды сертификатов — для информационных систем, программного кода и корпоративного программного обеспечения.
Что такое сертификация кода и зачем она нужна:
Сертификация исходного кода обычно включает проверку авторства, целостности и соответствия коду утверждённым требованиям безопасности. Встраивание сведений о сертификате в установочный файл позволяет проверять подпись пакета, подтверждать, что бинарник соответствует подписанному исходнику, и обнаруживать пострелизные изменения.
Как это может работать на практике:
- Выдача и привязка сертификата к юридическому лицу или зарегистрированному разработчику.
- Криптографическая подпись сборок и инсталляторов с использованием закрытых ключей (рекомендуется хранить ключи в защищённых хранилищах — HSM или эквиваленте).
- Публикация записи о сертификате в реестре Минцифры/Нац. удостоверяющего центра для возможности проверки третьими лицами.
- Требования к процедурам контроля качества: аудит кода, тестирования, проверка зависимостей и SBOM (списка компонентов).