Как решить проблемы с сертификатами сайтов?

Question

[Vitaliy Ivanov]

Вот на днях появилась проблема, браузеры не заходят на сайты банков

Скриншоты на ПК

Скриншоты на Андроид

Зацепило даже сторонний загрузчик IDM, иногда русский сайт не резолвит

spoiler

На ПК через Firefox ещё можно зайти на сайты банков, но мобильный браузер такой функции не имеет

Не совсем понятно, из-за чего проблема?
Смущает формулировка на мобильном браузере, что сайт использует политику безопасности под названием Форсированное безопасное соединение HTTP (HSTS) на скриншоте №4 (хотя верить комментариям внутри браузера, конечно, ненадёжное дело)

Не совсем понятно, это наши так подталкивают к установке наших браузеров?
Либо просто сертификаты отозвали в рамках недавних санкций, и браузер решил не пускать пользователей на сайт (кнопки "игнорировать" в этот раз нет) ?
Нужно устанавливать на устройства сертификаты?

Comments

[Adamos]

На ПК через Firefox ещё можно зайти на сайты банков

Уже нет:

online.vtb.ru имеет политику безопасности называемую Форсированное защищённое соединение HTTP (HSTS), что означает, что Firefox может подключиться к нему только через защищённое соединение. Вы не можете добавить исключение, чтобы посетить этот сайт.

Но все еще существует разница между "установить сертификат в систему" и "установить сертификат в браузер". Должно быть достаточно второго, и разумеется, это должен быть не рабочий, а отдельный браузер.

[Vitaliy Ivanov]

Adamos, отлично, спасибо, действительно
Некоторые отстают от прогресса, пока заходят

spoiler

Answer 1

[Rsa97]

Российские банки перешли на российские сертификаты. Да, надо добавлять корневой и промежуточный сертификаты Минцифры в браузер или систему.
А HSTS - это всего лишь инструкция браузеру, что данный сайт работает только по HTTPs, чтобы браузер не пытался подключаться по HTTP.

Comments

[Valentin Barbolin]

Да, надо добавлять корневой и промежуточный сертификаты Минцифры в браузер или систему.

После этого некие спец службы получат возможность прослушивать зашифрованный трафик между вашим устройством и сервером. Вот это жизнь начинается - СВОБОДА!!.

[Daemon23RUS]

После этого некие спец службы получат возможность прослушивать зашифрованный трафик между вашим устройством и сервером. Вот это жизнь начинается - СВОБОДА!!.

Valentin Barbolin, Расскажите мне, неграмотному, как это работает, если сможете с примерами.

[Vitaliy Ivanov]

Да, спасибо, придётся что-то установить
С телефоном сложнее из-за ограниченного объёма ПЗУ
Valentin Barbolin, несколько смущает, учитывая навязчивость (при оплате сверху часто выводится уведомление о сертификатах)

[Valentin Barbolin]

Daemon23RUS, Ты поставит RU Root сертификат на свое устройство, теперь устройство доверяет всем сертификатам которые были подписаным этим RU Root.

Немного вводных как устройство проверяет легитимность сервер, например facebook.
1. Существую центры сертификации которые при выдаче сертификата проверяют владельна домена. Что как бы гарантирует, что левые люди не получат сертификат для твоего домена.
2. На каждом устройстве есть Root сертификаты публичных центров сертификации, обычно они обновляются вместе с системой или патчами безопасности.
3. При подключении к серверу устройство просит у сервера сертификат, проверяет в сертификате домен (должен быть facebook), проверяет срок годности, и проверяет кто подписал (какой Root из установленных в системе) этот сертификат.

Так строится цепочка доверия.

Ситуация: Все помним что у каждого провайдера теперь стоит коробочка которая мониторит трафик?

Ты хочеш зайти на facebook, эта коробочка запускает на себе прозразный прокси, перехватывает все запросы твоего устройства и что бы устройство не переживало коробочка на лету выпускает сертификаты под каждый домен куда ты обращаешся подписывает их этим RU Root, а т.к. у тебя установлено RU Root то устройство доверяет всем этим сертификатам.

Таким образом они могу получит куки и зайти в твой facebook или точно увидеть какой файл ты загрузил на google drive.

Точно так же работает например FortiGate firewall в корпоративной сети, но это корпоративная сеть, в ней компания себа защает от утечек информации, вирусов и других проблем.

[Daemon23RUS]

Valentin Barbolin, Вы описали классический MITM
Все описанное имеет сценарий практического применения для любого корневого сертификата.
Теперь посмотрим на это с практической стороны. Вы же понимаете, что достаточно одной единственной такой подмены, сохранить такой сертификат и это будет неопровержимым доказательством (ведь тот же FB, google и проч, будут подписаны Российским root) которое уже не сотрешь и не отменишь. Это будет скандал вселенского масштаба, с железобетонными пруфами.
Чего мы пока не наблюдаем. И достаточно одного единственного случая чтобы подорвать эту всю цепочку доверия.
У доброй половины (плюс минус) стоит Касперский, который и сам делает то, что Вы описали, но уже в рамках "защиты пользователя"
У "неких спец служб" может быть даже один единственный приватный ключ от любого из root CА чтобы проделать все вышеописанное, не подставляя минцифры.
И кстати про FortiGate firewall, как раз у него есть SSL/TLS-инспекця и при верной настройке именно он не допустит такой подмены. Кстати подобное в нынешних реалиях ооочень полезные вещи.
Вы так уверенно заявили, я уж подумал у Вас есть пример db/insta/google/wa сертификата подписанного минцифры. Думаю что дальше теории заговора это не ушло на данный момент.

[Valentin Barbolin]

Daemon23RUS,

Это будет скандал вселенского масштаба, с железобетонными пруфами.

И че? Будет бунт? Все перестанут пользоваться банками и госуслугами? Будут митинги? Будет как всегда - ничего!

Просто покупаем попкорн и ждем. Недолго осталось.

[Drno]

Vitaliy Ivanov, тебе плохой совет дали. ненадо ничего устанавливать(серты)

поставь в отдельную виртуалку или изолированное пространство яндекс браузер. и используй только его дял гос сайтов и всё

[Drno]

Daemon23RUS, это произойдёт и скоро.... чекай

[Daemon23RUS]

Drno,

тебе плохой совет дали. ненадо ничего устанавливать(серты) поставь в отдельную виртуалку или изолированное пространство яндекс браузер. и используй только его дял гос сайтов и всё

Нет волшебной пилюли: один правильно настроенный сегмент с контролем сессий и проверкой сертификатов стоит десяти виртуальных машин, которые просто "есть в схеме" и при этом игнорируют MITM‑риски. А ведь все страхи именно изза MITM.

это произойдёт и скоро.... чекай

Тут весь парадокс в том, что я это не исключаю и подсознательно ожидаю, но шанс, что будет именно так ничтожно мал по сравнению с другими векторами атаки. Я то и поднял этот вопрос, что с каждого утюга вещают что серт минцифры = вас взломают/прослушают. А реальность такова, что это самый маловероятный сценарий. А вот то, что реально угрожает - остается в тени. Но это тема для отдельного обсуждения в узком кругу тех, кто разбирается в деталях.

[Vitaliy Ivanov]

Drno, да, спасибо, хорошо подметили, в общем случае-то небезопасно,
НО, тут просто самому надо выбирать баланс трудозатратности / безопасности. Установить сертификаты во второй браузер ещё не слишком трудоёмко, но уже более-менее безопасно, именно во второй браузер, который никуда особо не ходит, в банк, в аптеку да на рынок. Виртуалку ну, прямо говоря, лень будет запускать каждый раз)

[Drno]

Vitaliy Ivanov, во втором браузере их ненадо ставить. они там есть. если речь про яндекс или хромГост
просто он любит фоновую активность из себя делать и еще всякое такое

Answer 2

[Telcontar]

Сайты банков перешли на сертификат Минцифры. Вариантов тут несколько:
1. Установить сертификат в систему или браузер (например Firefox) и довериться государству, так как оно получит информацию о том, какие сайты вы посещаете.
2. Установить сертификат в отдельный браузер (или сразу поставить Я.Браузер) и использовать его только для российских сайтов.

Comments

[Vitaliy Ivanov]

Вот, спасибо, пропустил новость

банки начали переходить на российские SSL‑сертификаты

Если причина в этом, то первый вариант, конечно, недопустим

[Adamos]

А установщик Я.Тоже.Браузера точно ставит сертификаты только для себя, а не в систему?
Вариант первый и сейчас единственный - поставить сертификат в отдельный браузер (или его профиль) самому, не полагаясь ни на какие помогаторы, и ни для чего, кроме ЧебурЛиги, этот браузер не использовать.

[Vitaliy Ivanov]

Adamos, да, действительно, лучше сделать так, к счастью, это делается в два клика на ПК версии Хрома даже не глядя в инструкцию и без установки лишнего. Спасибо прямую ссылку там в ответ приложили