Почему не стоит устанавливать сертификаты Минцифры?
Сегодня утром портал Госуслуг начал рассылать уведомление: “Доступ к российским сайтам, маркетплейсам и банковским сервисам через иностранные браузеры может быть затруднен из-за отзыва зарубежных сертификатов безопасности. Чтобы избежать проблем, пользуйтесь российскими браузерами или установите сертификаты Минцифры”.
Почему этого делать не нужно, мы писали в своем блоге еще месяц назад, когда сертификаты только начали отзывать.
Что такое сертификат безопасности?
TLS-сертификат — это цифровое подтверждение подлинности сайта. Чтобы браузер начал доверять ему и установил зашифрованное соединение, сайт должен предоставить сертификат, выданный авторизованным удостоверяющим центром: Let's Encrypt, DigiCert, Sectigo или GlobalSign.
Если сертификат отозван, истек или больше не считается доверенным, браузер показывает предупреждение “Подключение не защищено” или “Возможна кража данных”.
Стоит ли ставить российский сертификат?
Сайты, у которых отозваны международные TLS-сертификаты, переходят на сертификат Национального удостоверяющего центра РФ. Его нет в списке доверенных у Chrome, Firefox, Edge, Opera и Safari, поэтому Минцифры предлагает установить его в доверенное хранилище сертификатов на устройстве.
Это создает техническую возможность для атаки “Человек посередине”: государство сможет просматривать трафик практически любых сайтов, в том числе зарубежных, с помощью TLS-прокси и других механизмов перехвата соединений, получая доступ к содержимому веб-страниц, комментариям, поисковым запросам и другим данным.
Браузер вас об этом предупреждать не будет, потому что доверяет сертификату.
Что делать пользователям?
▪️ Установите один из российских браузеров — Яндекс.Браузер или Атом. Используйте их только для доступа к сайтам, которые недоступны в привычных браузерах. Для всех остальных безопасней использовать Chrome, Edge, Firefox, Safari, Opera и другие.
▪️ Вручную проверяйте сертификаты сайтов. Нажмите на иконку замочка в меню в адресной строке и посмотрите, кем выдан сертификат. Если сайт иностранный, а сертификат выдан Национальным удостоверяющим центром — за вами следят.
▪️ Используйте VPN. Он не гарантирует полной безопасности, но защитит от базового варианта атаки “Человек посередине”.
Подробнее о том, как именно работает атака “Человек посередине” и чем еще она опасна — в полной статье в нашем блоге.
Подключить BlancVPN | Подписаться
Сегодня утром портал Госуслуг начал рассылать уведомление: “Доступ к российским сайтам, маркетплейсам и банковским сервисам через иностранные браузеры может быть затруднен из-за отзыва зарубежных сертификатов безопасности. Чтобы избежать проблем, пользуйтесь российскими браузерами или установите сертификаты Минцифры”.
Почему этого делать не нужно, мы писали в своем блоге еще месяц назад, когда сертификаты только начали отзывать.
Что такое сертификат безопасности?
TLS-сертификат — это цифровое подтверждение подлинности сайта. Чтобы браузер начал доверять ему и установил зашифрованное соединение, сайт должен предоставить сертификат, выданный авторизованным удостоверяющим центром: Let's Encrypt, DigiCert, Sectigo или GlobalSign.
Если сертификат отозван, истек или больше не считается доверенным, браузер показывает предупреждение “Подключение не защищено” или “Возможна кража данных”.
Стоит ли ставить российский сертификат?
Сайты, у которых отозваны международные TLS-сертификаты, переходят на сертификат Национального удостоверяющего центра РФ. Его нет в списке доверенных у Chrome, Firefox, Edge, Opera и Safari, поэтому Минцифры предлагает установить его в доверенное хранилище сертификатов на устройстве.
Это создает техническую возможность для атаки “Человек посередине”: государство сможет просматривать трафик практически любых сайтов, в том числе зарубежных, с помощью TLS-прокси и других механизмов перехвата соединений, получая доступ к содержимому веб-страниц, комментариям, поисковым запросам и другим данным.
Браузер вас об этом предупреждать не будет, потому что доверяет сертификату.
Что делать пользователям?
▪️ Установите один из российских браузеров — Яндекс.Браузер или Атом. Используйте их только для доступа к сайтам, которые недоступны в привычных браузерах. Для всех остальных безопасней использовать Chrome, Edge, Firefox, Safari, Opera и другие.
▪️ Вручную проверяйте сертификаты сайтов. Нажмите на иконку замочка в меню в адресной строке и посмотрите, кем выдан сертификат. Если сайт иностранный, а сертификат выдан Национальным удостоверяющим центром — за вами следят.
▪️ Используйте VPN. Он не гарантирует полной безопасности, но защитит от базового варианта атаки “Человек посередине”.
Подробнее о том, как именно работает атака “Человек посередине” и чем еще она опасна — в полной статье в нашем блоге.
Подключить BlancVPN | Подписаться