Отзыв сертификатов GlobalSign: что делать? PKI, СКЗИ, секреты

В июне 2026 GlobalSign начал отзывать TLS-сертификаты у части российских компаний. Ключи никто не крал, админы ничего не забывали, а доверие пропало. Больше полутора часов разбираем, как жить в такой реальности: PKI, сертификаты, СКЗИ, mTLS, пароли и API-ключи. Денис Батранков (технический спикер, преподаватель и независимый консультант по кибербезопасности) играет скептичного CISO и задаёт экспертам Clearway Integration неудобные вопросы. В разговоре: — Константин Леонтьев, управляющий партнёр — Алексей Болдырев, технический пресейл — Максим Артюхин, владелец продукта ЕСАУС — Артём Баранов, владелец продукта ЕХС ⏱ Таймкоды: 00:04 — Введение: встреча Дениса Батранкова с командой Clearway Integration. Контекст проблемы с отзывом сертификатов GlobalSign и иностранными УЦ. 01:07 — Представление участников: Константин Леонтьев, Алексей Болдарев, Максим Артюхин, Артём Баранов. 02:21 — «Черные лебеди» июля: массовый отзыв сертификатов GlobalSign и блокировка выпуска для подсанкционных компаний. 03:27 — Экстренная замена сертификатов: риски простоев бизнеса и кейс сбоя карибской криптовалюты из-за истекшего сертификата. 05:55 — Презентация решений Clearway: система автоматического управления жизненным циклом сертификатов (ИСУ / CLM) и Единое хранилище секретов (ЕХС). 07:07 — Фундаментальная разница между открытым сертификатом и защитой закрытых ключей. 08:04 — Взрывной рост количества машинных и технологических сертификатов: почему их число доходит до сотен миллионов (Zero Trust, mTLS, микросервисы). 14:48 — Импортозамещение Enterprise PKI: доминирование Microsoft CA, риски самописных скриптов на OpenSSL и «лоскутной» автоматизации. 19:31 — Анонс бесплатного центра сертификации Clearway CA Free: функциональность, лимит в 2 000 сертификатов и графический инсталлятор. 24:27 — Стратегия управления доверием: три контура (внешний, внутренний и зарубежный для работы в нескольких юрисдикциях). 30:50 — Задачи внутреннего корпоративного PKI и сложность доставки корневых сертификатов в гетерогенных средах. 33:44 — Регулируемая криптография и СКЗИ (63-ФЗ): учет токенов, ключевых носителей, аппаратных HSM и контроль знаний пользователей. 37:32 — «Теневой PKI» в Kubernetes: риски бесконтрольной генерации ключей внутри Istio и централизация выпуска. 43:26 — Необходимость сквозной автоматизации для короткоживущих сертификатов (десятки часов жизни). 44:46 — Вызовы постквантовой криптографии: уязвимость асимметричных ключей и сроки перехода. 48:37 — Протоколы автоматизации (ACME, SCEP, NDES) и применение специализированных агентов. 50:04 — Размытие сетевого периметра и шифрование трафика внутри инфраструктуры как базовое требование. 53:03 — Проблема хранения секретов: открытые пароли, API-ключи в Git-репозиториях, CI/CD-пайплайнах и корпоративных мессенджерах. 55:59 — Архитектура ЕХС: ролевая модель, принцип наименьших привилегий и мультиарендность (тенантность) по системам. 01:04:27 — Механизмы безопасной доставки секретов в Kubernetes (ЕХС-оператор) и предотвращение «вечных» ключей. 01:12:46 — EXS Wallet: локальный агент-кошелек для пользователей и поддержка оффлайн-режима с ограниченным по времени кэшированием. 01:15:10 — Статус сертификации продуктов (ФСТЭК уровень доверия 4, требования ФСБ). 01:17:15 — Практический чек-лист для компаний: разделение зон ответственности за криптографию между ИТ и ИБ. 01:21:13 — Челлендж для зрителей: поиск самого старого «забытого» секрета в инфраструктуре. 01:22:33 — Личный кабинет потребителя секретов и сертификатов (ЛКПС): сквозной дашборд, интеграция с кадровыми системами и учет «безответственных» ключей. 01:26:07 — Управление сессионными токенами (OAuth) и проблема уволенных сотрудников с активными SSH-ключами. 01:31:00 — Концепция «Знай своего потребителя сертификата»: валидация реального инициатора запроса. 01:33:26 — Рекомендации по последовательности внедрения: с чего стартовать компании (Clearway CA Free, ИСУ или ЛКПС). 01:36:04 — Заключение, анонс продолжения серии выпусков и сбор вопросов от зрителей. 🔗 Ссылки: Clearway CA Free (бесплатная редакция для пилота): https://clearway.ru/clearwayca СУУ СКЗИ 2.0: https://clearway.ru/skzi ЕСАУС: https://clearway.ru/esaus ЕХС: https://clearway.ru/ess ЛКПС: https://clearway.ru/lkps 📋 Чек-лист «Инфраструктура доверия: что проверить завтра утром». Мы в Clearway Integration собрали его по итогам разговора: 7 вопросов про сертификаты, ключи, СКЗИ и секреты, чтобы быстро понять, где у вас дыры. Скачать: [https://docs.google.com/document/d/1h90-jL4BTJ0sW08CS-WspwtjexpsgY3r/edit?usp=sharing&ouid=105244031874220936999&rtpof=true&sd=true] #PKI #сертификаты #GlobalSign #СКЗИ #mTLS #кибербезопасность #ИБ #удостоверяющийцентр #секреты #DevSecOps