Сертификаты Минцифры на корпоративных смартфонах: как подготовить парк устройств к новым требованиям

27.10.2026 · 5 мин чтения

Ассоциация банков России выступила с инициативой об обязательной предустановке сертификатов безопасности Национального удостоверяющего центра (НУЦ) Минцифры на смартфоны. По данным [Computerra](https://www.computerra.ru/370390/v-rossii-predlozhili-predustanavlivat-sertifikaty-mintsifry-na-smartfony/), это предложение направлено на обеспечение стабильного доступа к отечественным финансовым и государственным онлайн-сервисам, а сами сертификаты планируется добавлять не только на новые устройства, но и при установке или обновлении российских мобильных приложений.

Что произошло

Инициатива Ассоциации банков России, оформленная в виде обращения к главе Минцифры, предлагает два основных сценария внедрения сертификатов НУЦ. Первый — OEM-производители смартфонов, поставляющих устройства на российский рынок, должны будут предустанавливать корневые сертификаты Минцифры в системное хранилище устройства на этапе сборки. Это затронет как устройства на базе Android, так и другие платформы. Второй сценарий — динамическая доставка сертификатов через российские приложения. При первом запуске или обновлении, например, банковского клиента или портала Госуслуг, приложение будет проверять наличие нужного сертификата и, при его отсутствии, инициировать его установку в пользовательское хранилище с соответствующим диалогом подтверждения. Ключевая цель — устранить риски блокировки доступа к ресурсам, использующим TLS-сертификаты, выданные НУЦ, из-за отсутствия доверия к ним со стороны глобальных корневых центров сертификации, которые по умолчанию предустановлены в операционные системы.

Почему это важно

Для российского ритейла, e-commerce и FMCG-компаний с обширным парком мобильных устройств (кассиры, мерчандайзеры, курьеры, сотрудники торгового зала) эта инициатива имеет прямое и масштабное влияние. Сегодня значительная часть корпоративных Android-устройств управляется через MDM-системы, и любое изменение в системном ПО требует скоординированных действий.

Бизнес-риски и операционные сбои:

• Отказ критичных приложений: Если сертификаты не будут установлены вовремя, мобильные приложения банков (для инкассации, выплат), логистических сервисов и внутренних корпоративных систем, перешедших на инфраструктуру НУЦ, перестанут устанавливать защищенное соединение. Это приведет к полной остановке бизнес-процессов на местах. Ошибка будет выглядеть как SSLHandshakeException или NET::ERR_CERT_AUTHORITY_INVALID в WebView.
• Проблемы с 152-ФЗ и реестром Минцифры: Компании, использующие сертифицированные средства защиты или отечественное ПО из реестра, которое полагается на инфраструктуру НУЦ, окажутся в ситуации неработоспособности своих легитимных инструментов. Это создает прямой риск нарушения требований по защите персональных данных, так как каналы передачи становятся незащищенными или блокируются.
• Фрагментация парка устройств: Устройства без GMS (Google Mobile Services), на которых работают AurOS, РЕД ОС М и другие отечественные ОС, могут потребовать иного подхода к доставке сертификатов. Если для Android с GMS можно будет использовать стандартные API, то для импортонезависимых платформ потребуются специализированные механизмы, которые еще предстоит разработать и протестировать.

Аналогичные кейсы: Ситуация напоминает глобальные инциденты, когда истекали или отзывались корневые сертификаты (например, AddTrust или Let's Encrypt DST Root CA X3), что приводило к массовым сбоям в работе IoT-устройств и старых смартфонов. Разница в том, что текущий процесс инициирован регулятором и имеет четкую национальную привязку, что делает его предсказуемым, но не менее требовательным к подготовке.

Что делать

ИТ-руководителям в ритейле необходимо начать подготовку парка устройств уже сейчас, не дожидаясь нормативного закрепления инициативы. Действия должны быть разделены на аудит, проектирование и внедрение.

1. Инвентаризация и аудит политик. Проведите полную инвентаризацию устройств через ваш MDM. Необходимо выявить:

• Версии Android. Устройства ниже Android 7.0 (Nougat) имеют устаревшие хранилища сертификатов и криптографические библиотеки, что может потребовать их вывода из эксплуатации.
• Наличие GMS. Устройства Huawei без сервисов Google или кастомные сборки требуют особого подхода.
• Текущие источники доверия. С помощью кастомных скриптов или инвентаризационных агентов MDM проверьте содержимое /system/etc/security/cacerts/ (системное хранилище) и пользовательского хранилища.

2. Проектирование MDM-политик доставки. Не используйте пользовательское (user) хранилище сертификатов, так как оно очищается при сбросе устройства и может быть удалено пользователем. Целевой сценарий — установка в системное хранилище.

• Для Android Enterprise (Fully Managed/COBO): Используйте функцию Certificate Management в вашем MDM. Политика должна доставлять файл сертификата (формат .crt или .pem) с пометкой Trusted Credentials -> Install to system store. В Knox Service Plugin для устройств Samsung это настраивается через Certificate Profiles. В Aurora Store Enterprise или аналогичных отечественных MDM ищите аналогичный профиль «Установка корневого сертификата в системное хранилище».
• Пакет и путь: Сертификат должен быть скопирован в /system/etc/security/cacerts/. Для этого на устройствах с разблокированным на запись /system (редко в корпоративном сценарии) потребуется команда adb push cert.crt /system/etc/security/cacerts/ с последующим chmod 644. В стандартном Android Enterprise MDM делает это через закрытые API, вам нужно лишь загрузить файл в консоль управления.
• Скрытие уведомлений: Чтобы не вызывать панику у линейного персонала, настройте MDM-политику на скрытие уведомлений о безопасности (Notification Policy), подавляя сообщения вида «Приложение [MDM Agent] установило сертификат».

3. Пилотное внедрение и проверка. Сформируйте тестовую группу из 10–20 устройств разных моделей (Samsung, Xiaomi, отечественные бренды).

• Шаг 1: Примените политику установки сертификата НУЦ через MDM.
• Шаг 2: Проверьте наличие сертификата в настройках Безопасность -> Доверенные учетные данные -> Системные.
• Шаг 3: Выполните практические тесты: авторизация в корпоративном Wi-Fi с EAP-TLS, использующим цепочку НУЦ; открытие внутреннего веб-ресурса в WebView; успешная работа API-вызовов мобильного приложения к бэкенду, перешедшему на сертификаты Минцифры. Используйте утилиты вроде openssl s_client -connect your.host:443 -CAfile mincifra_root.crt для проверки цепочки.

4. Сценарий для устройств без GMS и на Авроре. Для парка на AurOS или РЕД ОС М свяжитесь с вендором платформы. Уточните, существует ли OEM API для модификации системного хранилища сертификатов. Если прямого API нет, потребуется согласование с вендором на выпуск OTA-обновления с включенными сертификатами. В качестве временного решения (если бизнес-процесс критичен) можно рассмотреть использование WebView с жестко заданным Certificate Pinning для нужных доменов, но это трудоемко в поддержке. Для таких устройств особенно актуален мониторинг совместимости с требованиями /docs/aurora.

5. Синхронизация с жизненным циклом приложений. Реализуйте проверку на уровне вашего флагманского мобильного приложения (например, приложения для кассиров). При запуске приложение должно выполнять KeyStore.getInstance("AndroidCAStore") и проверять наличие Subject Key Identifier (SKI) сертификата НУЦ. Если сертификат отсутствует, приложение должно выводить неигнорируемое сообщение: «Для работы с сервисом требуется обновление безопасности. Пожалуйста, подключитесь к корпоративной сети для получения обновления» и блокировать основной функционал, инициируя при этом команду на MDM-сервер для принудительной доставки политики.

Источник: https://www.computerra.ru/370390/v-rossii-predlozhili-predustanavlivat-sertifikaty-mintsifry-na-smartfony/