de.wedoany.com-Bericht: Mehrere führende russische IT-Unternehmen haben gemeinsam die Initiative „Einheitlicher Vertrauensraum“ gestartet, mit dem Ziel, ein Zertifizierungssystem für die Signatur einheimischer Softwarecodes aufzubauen. Dieses System soll russischen Softwareentwicklern Codesignaturzertifikate ausstellen und die Abhängigkeit der einheimischen Software von westlichen Zertifizierungsstellen verringern.
Die Codesignatur von Software ist ein zentraler Sicherheitsmechanismus bei der Verteilung und Installation von Software. Sie fungiert als eine Art digitale Identitätsmarkierung für das Programm, die belegt, dass die Software tatsächlich vom entsprechenden Entwickler stammt und dass der Code nach der Veröffentlichung nicht manipuliert wurde. Wenn ein Codesignaturzertifikat ungültig wird oder widerrufen wird, können Benutzer bei der Installation oder Ausführung der Software Sicherheitswarnungen erhalten, und in einigen Systemumgebungen kann dies die Verteilung, Aktualisierung und den normalen Start des Programms beeinträchtigen.
Diese Initiative wird von der Arbeitsgruppe „Einheitlicher Vertrauensraum“ vorangetrieben, deren Mitglieder Bereiche wie russische Betriebssysteme, Informationssicherheit, Kryptotechnologie und Unternehmenssoftware abdecken. Unternehmen wie RusBITech-Astra, SberTech, BaseALT, Open Mobile Platform, CryptoPro, InfoTeKS und Kaspersky sind beteiligt, was zeigt, dass Russland das Problem der Codesignatur von einer Notfalllösung einzelner Unternehmen auf die Ebene eines branchenweiten Infrastrukturaufbaus hebt.
Der Kern dieses Systems ist der Aufbau eines branchenweiten technischen Zertifizierungszentrums, das russischen Entwicklern einheimische Codesignaturzertifikate bereitstellt. Die entsprechenden Tests laufen seit November 2025 in mehreren Unternehmen und Betriebssystemteams. CryptoPro, InfoTeKS, Security Code, Kaspersky, SberTech sowie Entwicklungsteams von Betriebssystemen wie Astra Linux, Alt, RED OS, ROSA und Aurora haben bereits an den Prozessen der Zertifikatsausstellung, Softwaresignatur und Kreuzvalidierung teilgenommen.
Der reale Hintergrund dieses Projekts ist, dass das russische Software-Ökosystem lange Zeit Codesignaturzertifikate verwendet hat, die von westlichen Zertifizierungsstellen ausgestellt wurden. Organisationen wie Sectigo und DigiCert haben bereits damit aufgehört, russischen Unternehmen entsprechende Zertifikate auszustellen oder zu verlängern. GlobalSign hat im Juni dieses Jahres damit begonnen, einige Sicherheitszertifikate für russische Websites zu widerrufen. Obwohl Website-Zertifikate und Codesignaturzertifikate zu unterschiedlichen Szenarien gehören, haben solche Vorfälle die Besorgnis der russischen IT-Branche über eine Unterbrechung des externen Vertrauenssystems weiter verstärkt.
Für russische Softwareunternehmen geht es bei der einheitlichen Code-Zertifizierung nicht nur darum, „die Quelle des Zertifikats zu wechseln“. Wenn es der einheimischen Software an einem Signaturmechanismus mangelt, der von Betriebssystemen und Kunden anerkannt wird, können die Aktualisierungsverteilung, die Unternehmensbereitstellung, die Endgeräteinstallation und die Sicherheitsüberprüfung beeinträchtigt werden. Insbesondere in den Bereichen Regierung, Finanzen, Energie, Verkehr und Industrie, wo die Anforderungen an die Sicherheit der Software-Lieferkette hoch sind, sind die Überprüfbarkeit der Codequelle, die Rückverfolgbarkeit von Aktualisierungspaketen und die Überprüfbarkeit des Zertifikatsstatus grundlegende Bedingungen für die Softwareauslieferung.
Was der „Einheitliche Vertrauensraum“ lösen soll, ist das Problem des Root-Vertrauens im russischen Software-Ökosystem. Nur wenn Betriebssysteme, Entwickler, Unternehmenskunden und Sicherheitsprodukte gemeinsam dieselbe Zertifikatskette anerkennen, kann die Codesignatur tatsächlich wirksam sein. Andernfalls, selbst wenn das Zertifizierungszentrum Zertifikate ausstellen kann, könnten dennoch Kompatibilitätsprobleme bei Endgerätesystemen, App-Stores, Unternehmenssicherheitsrichtlinien und benutzerseitigen Installationsprozessen auftreten.
Diese Initiative spiegelt auch wider, dass die Sicherheit der Software-Lieferkette zunehmend Teil der nationalen digitalen Infrastruktur wird. In der Vergangenheit wurde die Codesignatur eher als technischer Schritt im Softwareveröffentlichungsprozess betrachtet; nachdem externe Zertifizierungsdienste eingeschränkt wurden, begann sie die stabile Auslieferung, die kontinuierliche Aktualisierung und das Vertrauen der Benutzergeräte in die Software zu beeinflussen. Russland treibt mit der Förderung eines einheimischen Codesignatur-Zertifizierungssystems tatsächlich den Aufbau einer Vertrauenskette für die Softwareindustrie voran, die nicht von externen Zertifizierungsstellen abhängig ist.
Vom Testbetrieb bis zur breiten Einführung müssen noch Probleme wie die Einbettung des Root-Zertifikats, die Betriebssystemanpassung, der Zertifikatswiderrufsmechanismus, der Entwickler-Onboarding-Prozess, die Akzeptanz durch Unternehmenskunden und die plattformübergreifende Kompatibilität gelöst werden. Für die russische IT-Branche liegt die eigentliche Herausforderung nicht darin, die ersten Zertifikate auszustellen, sondern darin, dieses Vertrauenssystem von mehr Software, mehr Endgeräten und mehr Unternehmensbereitstellungsumgebungen stabil akzeptieren zu lassen. Erst wenn dieser Schritt abgeschlossen ist, wird sich der „Einheitliche Vertrauensraum“ von einer Brancheninitiative zur Infrastruktur des Software-Ökosystems entwickeln.
Dieser Artikel wurde von Wedoany übersetzt und bearbeitet. Bei jeglicher Zitierung oder Nutzung durch künstliche Intelligenz (KI) ist die Quellenangabe „Wedoany“ zwingend vorgeschrieben. Sollten Urheberrechtsverletzungen oder andere Probleme vorliegen, bitten wir Sie, uns unverzüglich zu benachrichtigen. Wir werden den entsprechenden Inhalt umgehend anpassen oder löschen.
E-Mail: news@wedoany.com
