«Аладдин» представил Aladdin Enterprise CA 3.0, новую версию корпоративного центра сертификации. Пилотные проекты начнутся 2 ноября, отгрузки запланированы на декабрь 2026 года. Сертификация во ФСТЭК России ещё идёт. По заявлению разработчика, массовый выпуск файловых сертификатов стал быстрее до четырёх раз по сравнению с предыдущей версией.

Что нового в Aladdin Enterprise CA 3.0

«Аладдин» выпустил Aladdin Enterprise CA 3.0. Сроки и цифры в анонсе исходят от разработчика, независимого замера скорости нет.

Пилоты стартуют 2 ноября, поставки планируют на декабрь 2026 года: от старта до отгрузок проходит от месяца до двух. Серийную поставку в декабрьскую закупку закладывать рано, стенд для пилота уже уместен.

Массовый выпуск файловых сертификатов, по заявлению разработчика, стал быстрее до четырёх раз относительно предыдущей версии. Методики замера в анонсе нет, цифра остаётся обещанием.

Заменит ли Aladdin Enterprise CA 3.0 Microsoft CA без простоя

Продукт подают как замену Microsoft CA с миграцией без остановки сервисов. Это заявление разработчика: условия простоя на конкретном домене анонс не описывает.

В доменах Windows Microsoft CA работает как Active Directory Certificate Services. Справочно: PetitPotam (CVE-2021-36942) показал путь NTLM-релея к запросу сертификата, и это не дефект самого центра. SpecterOps в отчёте Certified Pre-Owned разобрал слабые шаблоны ESC1-ESC8.

Уже выпущенные исправления не закрывают слабые шаблоны и слишком широкие права на запрос сертификатов в AD CS. До смены центра логично пройти пентест Active Directory и увидеть, кто может запросить сертификат с произвольным именем. Если обычная учётка выпускает сертификат за привилегированного пользователя или с чужим SAN, копирование шаблонов «как было» перенесёт ту же ошибку в новый центр.

Aladdin Enterprise CA 3.0: ACME и Kubernetes в корпоративном УЦ

ACME, Kubernetes и Deckhouse в Aladdin Enterprise CA 3.0 переносят выпуск SSL-сертификатов из консоли администратора в процессы кластера.

Протокол ACME (RFC 8555, 2019) заявлен для автоматического выпуска и развёртывания SSL-сертификатов. Поддержку Kubernetes и Deckhouse добавили ради автоматизации кластеров и отказоустойчивости. Справочно: Deckhouse от Flant числится в реестре российского ПО. В том же обновлении названы СУБД РЕД База Данных, английский интерфейс и дополнительные функции администрирования.

Служебная учётная запись ACME выпускает сертификаты тем, кто ею пользуется. Широкий доступ из CI позволяет выпускать их массово, без отдельного подтверждения на каждый запрос.

До пилота стоит пройти тестирование безопасности API: выпускает ли интерфейс сертификат без проверки клиента, можно ли запросить имя вне разрешённой зоны, пишутся ли запросы и есть ли лимит частоты.

Что спросить у «Аладдина» до пилота?

До пилота служба ИБ проверяет три вещи: статус сертификации ФСТЭК, исправления для ветки 2.x и состав событий для SIEM.

Версия 3.0 ещё проходит сертификацию во ФСТЭК России, даты окончания в новости нет. Для многих госсистем и объектов КИИ сертификат ФСТЭК остаётся условием допуска. Пилот на стенде и развёртывание в регулируемом контуре это разные шаги: знакомиться с продуктом можно и без сертификата, ставить 3.0 в регулируемый контур до его получения нельзя.

Ветке Enterprise CA 2.x обещаны поддержка, исправление ошибок и устранение уязвимостей. Ради одних исправлений на 3.0 переходить не нужно.

В новой версии есть централизованный журнал безопасности и интеграция с SIEM. Спросите, какие события уходят в SIEM, в каком формате и какие правила корреляции уже есть для всплеска выпуска, ночного запроса и неожиданного субъекта. Ответ показывает, увидит ли информационная безопасность сам выпуск.

Где хранится ключ УЦ, анонс не говорит. До пилота спросите: ключ в HSM, в отдельном модуле или в файле, и кто к нему допущен. Если ключ лежит файлом на сервере в домене, компрометация этой машины ставит под сомнение весь центр и тянет отзыв с массовым перевыпуском.

Частые вопросы

Когда можно попробовать Aladdin Enterprise CA 3.0, а когда ждать поставку?

Пилотные проекты начнутся 2 ноября, начало отгрузок разработчик планирует на декабрь 2026 года. До декабря это стенд, а не серийная поставка: от пилота до отгрузок проходит от месяца до двух.

Правда ли, что выпуск файловых сертификатов стал в четыре раза быстрее?

Так заявил разработчик: массовый выпуск файловых сертификатов стал быстрее до четырёх раз по сравнению с предыдущей версией. Независимого замера и методики в анонсе нет.

Нужно ли клиентам Enterprise CA 2.x переходить на 3.0 ради исправлений?

Нет. Ветке 2.x обещаны поддержка, исправление ошибок и устранение уязвимостей. Переход на 3.0 только ради исправлений не требуется.

Прошёл ли Aladdin Enterprise CA 3.0 сертификацию ФСТЭК?

Нет, на момент анонса версия 3.0 ещё проходит сертификацию во ФСТЭК России. Даты окончания в новости нет, поэтому регулируемый контур и стенд пилота лучше не смешивать.

Если замена Microsoft CA уже в плане, HirexTech проверит шаблоны, права запроса сертификатов и автоматизацию ACME до пилота: тестирование на проникновение.