Вчера написали, что сайты банков перестали открываться. Полез проверять.
Сбер - ошибка. tinkoff.ru - ошибка. А tbank.ru открывается как ни в чём не бывало.
Разница вот в чём. Сбер и tinkoff.ru перешли на сертификат Минцифры, а tbank.ru остался на иностранном
Почему переехали? международные сертификаты у них отозвали.
А интернет хором советует: поставьте Яндекс Браузер, там всё работает.
И вот тут у меня дёргается глаз. Потому что я помню Амиго.
Кто не застал: Mail.ru запустила его в 2011-м. Приезжал в комплекте с чем угодно, сам вставал по умолчанию и удалялся с боем. Закрыли в 2018-м, а слово «Амиго» осталось ругательным. С тех пор на любое «просто поставьте наш браузер» у меня рефлекс.
Ближе к сути, сертификат выпускает не Яндекс, а Минцифры
Яндекс Браузер просто заранее носит этот корень в себе, поэтому банк в нём открывается молча
Вопрос не в том, доверяю ли я браузеру, а в том, кто держит ключ.
Второй совет куда серьёзнее: поставить корневой сертификат прямо в систему.
Браузер верит сайту не потому что https, а потому что у него есть список тех, чьей подписи он доверяет
Список нотариусов, чьей печати банк верит без вопросов
Корневой сертификат пускает не на один сайт
Он вписывает в список ещё одного нотариуса, и заверить тот может что угодно: почту, облако, что угодно
Сам по себе корень ничего не перехватывает
Нужен кто-то на пути между вами и сайтом, кто подсунет свой сертификат вместо настоящего
И вот доказательств, что сертификат Минцифры для этого используют, публично нет: ни у EFF, ни у Human Rights Watch, ни в академических работах.
Смущает другое: такое не увидишь
Подделки обычно ловят по открытому реестру, куда попадают сертификаты всех обычных центров
Но в документации Chromium прямо сказано: на корни, установленные вручную, это не распространяется, и такие сертификаты реестр не принимает. Заметить можно, но только если пойти и специально проверить.
В Казахстане такое однажды провернули
Censored Planet в июле 2019 нашли 37 доменов, где подменяли сертификат: соцсети и почта
Google и Mozilla заблокировали тот корень, а Mozilla советовала пострадавшим сменить пароли и посмотреть в сторону VPN или Tor
Другая страна и другой случай, про Россию он ничего не доказывает
Но вывод исследователей звучит так: не ставьте корневые сертификаты, это открывает переписку для перехвата и подмены без вашего ведома.
Что делать
Посмотрите, что у вас уже стоит
Не по принципу «сайт открылся - значит всё нормально», это ничего не доказывает
Откройте хранилище доверенных корневых центров: на Windows certmgr.msc, на Mac «Связка ключей», ищите Russian Trusted Root CA.
Отдельно гляньте бухгалтерскую машину. В мастере установки КриптоПро CSP по умолчанию включена галочка «Установить корневые сертификаты», в набор входят корни Минцифры - это в их же документации. Снять её можно. Только кто её снимал.
Сказать «просто пользуйтесь приложением банка» не могу: везёт оно свои сертификаты или ходит в системное хранилище, решает разработчик.
А если корень всё же нужен, держите его на отдельном устройстве или в виртуалке. Отдельный браузер помогает только когда сертификат лежит в его собственном хранилище: из системного его увидят все сразу.
Разница в удобстве - минут пять в месяц. Разница в последствиях, если однажды прилетит, несопоставимая
Сбер - ошибка. tinkoff.ru - ошибка. А tbank.ru открывается как ни в чём не бывало.
Разница вот в чём. Сбер и tinkoff.ru перешли на сертификат Минцифры, а tbank.ru остался на иностранном
Почему переехали? международные сертификаты у них отозвали.
А интернет хором советует: поставьте Яндекс Браузер, там всё работает.
И вот тут у меня дёргается глаз. Потому что я помню Амиго.
Кто не застал: Mail.ru запустила его в 2011-м. Приезжал в комплекте с чем угодно, сам вставал по умолчанию и удалялся с боем. Закрыли в 2018-м, а слово «Амиго» осталось ругательным. С тех пор на любое «просто поставьте наш браузер» у меня рефлекс.
Ближе к сути, сертификат выпускает не Яндекс, а Минцифры
Яндекс Браузер просто заранее носит этот корень в себе, поэтому банк в нём открывается молча
Вопрос не в том, доверяю ли я браузеру, а в том, кто держит ключ.
Второй совет куда серьёзнее: поставить корневой сертификат прямо в систему.
Браузер верит сайту не потому что https, а потому что у него есть список тех, чьей подписи он доверяет
Список нотариусов, чьей печати банк верит без вопросов
Корневой сертификат пускает не на один сайт
Он вписывает в список ещё одного нотариуса, и заверить тот может что угодно: почту, облако, что угодно
Сам по себе корень ничего не перехватывает
Нужен кто-то на пути между вами и сайтом, кто подсунет свой сертификат вместо настоящего
И вот доказательств, что сертификат Минцифры для этого используют, публично нет: ни у EFF, ни у Human Rights Watch, ни в академических работах.
Смущает другое: такое не увидишь
Подделки обычно ловят по открытому реестру, куда попадают сертификаты всех обычных центров
Но в документации Chromium прямо сказано: на корни, установленные вручную, это не распространяется, и такие сертификаты реестр не принимает. Заметить можно, но только если пойти и специально проверить.
В Казахстане такое однажды провернули
Censored Planet в июле 2019 нашли 37 доменов, где подменяли сертификат: соцсети и почта
Google и Mozilla заблокировали тот корень, а Mozilla советовала пострадавшим сменить пароли и посмотреть в сторону VPN или Tor
Другая страна и другой случай, про Россию он ничего не доказывает
Но вывод исследователей звучит так: не ставьте корневые сертификаты, это открывает переписку для перехвата и подмены без вашего ведома.
Что делать
Посмотрите, что у вас уже стоит
Не по принципу «сайт открылся - значит всё нормально», это ничего не доказывает
Откройте хранилище доверенных корневых центров: на Windows certmgr.msc, на Mac «Связка ключей», ищите Russian Trusted Root CA.
Отдельно гляньте бухгалтерскую машину. В мастере установки КриптоПро CSP по умолчанию включена галочка «Установить корневые сертификаты», в набор входят корни Минцифры - это в их же документации. Снять её можно. Только кто её снимал.
Сказать «просто пользуйтесь приложением банка» не могу: везёт оно свои сертификаты или ходит в системное хранилище, решает разработчик.
А если корень всё же нужен, держите его на отдельном устройстве или в виртуалке. Отдельный браузер помогает только когда сертификат лежит в его собственном хранилище: из системного его увидят все сразу.
Разница в удобстве - минут пять в месяц. Разница в последствиях, если однажды прилетит, несопоставимая