В РФ началось продвижение собственного корневого TLS-сертификата

Пользователи портала государственных услуг Российской Федерации (gosuslugi.ru) получили уведомление о создании государственного удостоверяющего центра со своим корневым TLS-сертификатом, не включённым в хранилища корневых сертификатов операционных систем и основных браузеров.

Сертификаты выдаются на добровольной основе юридическим лицам и нацелены на использование в ситуации отзыва или прекращения продления TLS-сертификатов в результате санкций. Например, удостоверяющие центры, находящиеся в юрисдикции США, такие как DigiCert, прекратили предоставление сертификатов для сайтов организаций, входящих в санкционный список.

В настоящее время государственный корневой сертификат интегрирован только в продукты Яндекс.Браузер и Атом. Для обеспечения доверия к сайтам, использующим сертификаты от государственного удостоверяющего центра, в других браузерах, требуется ручное добавление корневого сертификата в системное или браузерное хранилище сертификатов.

Среди сайтов, которые уже получили государственные TLS-сертификаты, различные банки (Сбер, ВТБ, ЦБ) и аффилированные с госструктурами организации и проекты. При этом на момент написания новости на основных сайтах Сбер и ВТБ продолжают использоваться традиционные TLS-сертификаты, поддерживаемые во всех браузерах, но отдельные поддомены (например, online-alpha.vtb.ru) уже переведены на новый сертификат.

В случае начала навязывания нового удостоверяющегося центра или выявления фактов злоупотреблений, таких как совершение MITM-атак, вероятно, что производители браузеров Firefox, Chrome, Edge и Safari предпримут действия по добавлению проблемного корневого сертификата в списки отозванных сертификатов, как это уже было сделано с сертификатом, внедрённым для перехвата HTTPS-трафика в Казахстане.OpenNet

Очень хорошо. Свой сертификат необходим, чтобы запад, во-первых, не мог затруднить доступ нашим гражданам к нашим же сайтам, а во-вторых, не мог бы использовать свои сертификаты для перехвата нашего трафика, ведь, как известно, запад в своей русофобской истерии не остановится ни перед какой мерзостью и 100% будет это всё делать.

dimitriy7 писал(а):

Очень хорошо. Свой сертификат необходим, чтобы запад, во-первых, не мог затруднить доступ нашим гражданам к нашим же сайтам, а во-вторых, не мог бы использовать свои сертификаты для перехвата нашего трафика, ведь, как известно, запад в своей русофобской истерии не остановится ни перед какой мерзостью и 100% будет это всё делать.

Есть ещё такая проблема: большинство антивирусов (бесплатных тоже)
в настройках по умолчанию дешифруют весть HTTPS трафик якобы для защиты от троянов, сканируют его и зашифровывают обратно, подписывая его своим левым корневым сертификатом. Чистой воды "MITM". Это у них называется "защита от веб угроз".
Чтобы это увидеть нужно кликнуть по замочку в адресной строке браузера.

dimitriy7 писал(а):

Очень хорошо. Свой сертификат необходим, чтобы запад, во-первых, не мог затруднить доступ нашим гражданам к нашим же сайтам, а во-вторых, не мог бы использовать свои сертификаты для перехвата нашего трафика, ведь, как известно, запад в своей русофобской истерии не остановится ни перед какой мерзостью и 100% будет это всё делать.

Кроме раздачи оценок, есть какие-то более конкретные идеи?

Vashlor писал(а):

dimitriy7 писал(а):

Очень хорошо. Свой сертификат необходим, чтобы запад, во-первых, не мог затруднить доступ нашим гражданам к нашим же сайтам, а во-вторых, не мог бы использовать свои сертификаты для перехвата нашего трафика, ведь, как известно, запад в своей русофобской истерии не остановится ни перед какой мерзостью и 100% будет это всё делать.

Кроме раздачи оценок, есть какие-то более конкретные идеи?

Ну тут главное что сертификат не отзовут по чиху левой пятки, как вышло вот с банками на днях.

Цитата:

Есть ещё такая проблема: большинство антивирусов (бесплатных тоже)
в настройках по умолчанию дешифруют весть HTTPS трафик якобы для защиты от троянов, сканируют его и зашифровывают обратно, подписывая его своим левым корневым сертификатом. Чистой воды "MITM". Это у них называется "защита от веб угроз".

Забавно советую разобраться для чего нужна крипта и на каком уровне она "дешифруется"
Если у вас антивирус дешифрует трафик я вам соболезную.

Советую заглянуть у всех "не очень" лицензионных винтах в сертификаты... Вы удивитесь.
Даёшь PGP

Цитата:

Ну тут главное что сертификат не отзовут по чиху левой пятки, как вышло вот с банками на днях.

В истории отзывов сертификатов немерено. Мелкомягким отозвать сертификаты не стоит лимонового гроша. А про Verisign я вообще молчу.

Я за любой движ в РФ, лишь бы на пользу Гражданам :выпивают:

dimitriy7 писал(а):

Очень хорошо. Свой сертификат необходим, чтобы запад, во-первых, не мог затруднить доступ нашим гражданам к нашим же сайтам, а во-вторых, не мог бы использовать свои сертификаты для перехвата нашего трафика, ведь, как известно, запад в своей русофобской истерии не остановится ни перед какой мерзостью и 100% будет это всё делать.

Канешна! Куда лучше, когда на праймериз ЕдРа перед выборами в госдурку ломали аккаунты и голосовали, о чем они даже не скрывали. Или когда человек заходит в аккаунт и видит, что у него долг по кредиту, который на него оформили украв данные с медвежьих услуг. Ведь это другое!?

Теперь товарищ майор будет следить за каждым шагом и дешифровывать трафик

elitedestroyer писал(а):

Теперь товарищ майор будет следить за каждым шагом и дешифровывать трафик

А, Вам есть что скрывать? Или Вы думаете, что "товарища майора" интересует ваша интимная переписка с партнёром?

По чём нынче совесть стоит?

Тут нечего хорошего от власти не ждешь, даже если идеи хорошие.

РосКомПозор решил зайти с другой стороны? :лол:

Угроза вполне реальная.
Но есть и угроза для нас, потому что стеснять себя с перехватом трафика в нашей стране не будут.
Пора изучать и приучать себя к расширениям броузера для certificate pinning
Делать для всех сайтов, где бы вы не хотели, чтобы вас слушали