En junio de 2026, GlobalSign, una autoridad de certificación japonesa, revocó miles de certificados TLS emitidos para dominios rusos como parte de la implementación de sanciones de EE. UU. y la UE. Este movimiento dejó a varios bancos y entidades estatales rusas dependiendo de una raíz de confianza estatal que no es verificada por los navegadores mainstream, obligando a los usuarios a instalar certificados manualmente para mantener la conectividad.

La consecuencia es clara: siete grandes bancos rusos ahora sirven certificados desde una raíz estatal que no es reconocida de forma general, lo que genera un dolor de cabeza de seguridad y usabilidad para los usuarios. Según el Servicio de Inteligencia Exterior de Ucrania, estas pérdidas convierten a la banca, el correo y los sistemas internos rusos en blancos más fáciles para ataques, aumentando la exposición a intrusiones y exfiltración de datos.

El análisis de Ucrania señala que muchos servicios estatales, incluido el Servicio Federal de Impuestos, enfrentan problemas para cargarse en navegadores como Chrome, Firefox y Safari. Se estima que aproximadamente el 90% del mercado ruso aún depende de certificados emitidos por proveedores extranjeros, lo que implica una mayor fragilidad ante las sanciones internacionales y una posible dificultad para que los ciudadanos accedan a servicios esenciales.

¿Se está “santificando” la confianza web con certificados sancionados?

El desencadenante se produjo el 13 de junio de 2026, cuando GlobalSign revocó forzosamente certificados TLS para empresas rusas. Aunque la filial local afirmó que no podía influir en la decisión de la empresa matriz, las nuevas reglas del CA/Browser Forum, que entraron en vigor el 4 de mayo, obligaron a las autoridades certificadoras a verificar solicitantes contra listas de sanciones de EE. UU., BIS y la UE. En efecto, las certificadoras quedaron vinculadas a cumplir con estas listas, limitando su capacidad de actuar.

La retirada se llevó a cabo en dos oleadas: la primera afectó a unas 15.000–20.000 dominios y la segunda a 310 dominios de 44 empresas, entre ellas Rosneft, Gazprombank, Alrosa y Positive Technologies. Según Kiev, las redes internas rusas, mensajería y APIs bancarias han quedado expuestas a ataques, requiriéndose costos significativos de reconfiguración (estudios estiman entre 10 y 50 millones de rublos) y un plazo de hasta seis meses, con procesos que pueden ser propensos a errores.

Frente a este escenario, modelos de negocio y seguridad en la región se han desplazado. Muchos propietarios de dominios rusos han migrado primero a autoridades certificadoras académicas griegas como HARICA y luego a TrustAsia, que atiende a entidades estatales rusas. Paralelamente, el gobierno ha promovido una solución más controvertida: raíces de confianza estatales que los usuarios deben instalar manualmente en sus dispositivos. Aunque el Ministerio de Desarrollo Digital sostiene que la instalación manual de su raíz es segura y no afecta el funcionamiento del dispositivo, expertos en seguridad han advertido, en 2022 y de nuevo en 2026, sobre los riesgos de abusos para interceptación de tráfico HTTPS y ataques de tipo “man-in-the-middle”.

Otra recomendación del Kremlin ha sido promover el uso de Yandex Browser, que incorpora su raíz estatal. Sin embargo, Ucrania describe esta alternativa como susceptible a fallos de almacenamiento en caché y fallos de freezing, sin ofrecer protección de datos significativa, una evaluación que atribuye a analistas dentro de Rusia.

Más allá de las implicaciones técnicas, la trayectoria apunta a un incremento de la desconexión de Rusia respecto al ecosistema global, con servicios rusos que podrían volverse prácticamente inaccesibles para usuarios que operan con software no estatal o con raíces de confianza instaladas manualmente. Aunque es probable que el resultado a corto plazo varíe según el mercado y la industria, lo cierto es que estas sanciones están reduciendo la interoperabilidad y elevando el riesgo operativo para infraestructuras críticas.

En última instancia, la revocación coordinada de certificados y la adopción de raíces estatales podrían acelerar una dinámica en la que la confianza en la web se redefine en función de marcos regulatorios y control estatal, con posibles efectos duraderos sobre la seguridad, la competencia y la libertad de circulación de información.

from Latest from TechRadar https://ift.tt/hcdu2Yr
via IFTTT IA