36k
3 года назад · 3 фото · 5048 просмотров · 60 комментариев
России нужно пересесть на правильные браузеры (3 фото)
Суверенные сертификаты для суверенного интернета. И речь совсем не про блокировки
Иностранные центры, выдающие сертификаты для обеспечения защищенного соединения HTTPS, разорвали отношения с организациями, попавшими под санкции. Казалось бы, ничего страшного. Можно использовать российские сертификаты, например, от Национального удостоверяющего центра (НУЦ) при Минцифры РФ.
Но есть проблема, вытекающая из устройства сети. Корневые УЦ — это ограниченное число широко известных и доверенных организаций, которые подтверждают «личность» локальных УЦ по всему миру. И уже эти второстепенные центры выпускают сертификаты, подтверждающие, что сайт Х — действительно сайт Х.
Вот только корневой сертификат, выданный НУЦ, не считается доверенным иностранными УЦ. Не потому, что он чем-то отличается от «западных» сертификатов — решение сугубо политическое.
Поэтому российские сертификаты в иностранных браузерах и на иностранных ОС помечены как «ненадежные», и безопасное соединение с такими сайтами не установить.
Чтобы они адекватно воспринимались, необходимо установить корневой сертификат Минцифры на все устройства россиян или «пересадить» их на «правильные» браузеры («Яндекс Браузер» или «Атом»).
Проблема в том, что все это неудобно и непонятно для пользователей. Так как речь идет о безопасности устройства, все действия проводятся вручную. Автоматизировать процесс нельзя. Еще 20 октября «Сбер» выпустил видеоинструкции, но это не сильно помогло.
Пока речь идет прежде всего о корпоративных клиентах. Уже 30 января «Сбер» переведет свой платежный шлюз на TLS-сертификаты, выпущенные НУЦ. Интернет-магазинам и веб-сервисам необходимо до конца января добавить на свои серверы корневой сертификат Минцифры для продолжения корректной работы с API банка, а также проверить его работу.
Ближайшие месяцы будут сложными и для бизнеса, и для пользователей. Краха рунета не случится, но «попотеть» придется. Пусть переход на отечественные сертификаты и будет болезненным, зато обеспечит независимость наших сайтов от международных УЦ.
Метки: #АТОМ #Россия #Сбер #Яндекс #интересно #протоколы #сертификаты
пользуюсь оперой, вроде норм
Просто факт, какой браузер на самом деле объявлен "правильным" - на Astra Linux, облепленном сертификатами ФСТЭК по самые гланды, массово сейчас поставляемом во все госучреждения в срочнопринудительном порядке за 30тыр/место, усмановского Atom и нидерландского Яндекс-Брузера нету, а устаревший Firefox 93 есть.
Автор, ещё про RuStore напиши, и почему в него только с учётными записями Сбера и VK войти можно, или вводи номер телефона, и получай код по СМС.
Всё бы ничего, но только после каждого такого входа телефон заваливают предложениями от контор микрозаймов.
Всё ПО от Яндекса, - это первое что я удаляю с телефона или компьютера.
Не кто не мешает добавить сертификат вручную
Сижу на Тормозилле с версии 0.5.2. Привычка.
Главное, в любом браузере считаю, чтобы он умел наглухо валить всю рекламу от Яндекса.
Автор, ты предложи россиянам браузер "амиго" и поисковик "спутник". Чай отечественные.
Спутнику поддержку 31 января прикрывают.
Атом это и есть Амиго. Просто майл ру немного его перелицевал и дал новое название.
Yandex браузер вполне себе. Не без приколов, но, по крайней мере, так не тупит, как Firefox. И есть приятные плюшки. Что-то выделять, копировать, работа со скриншотами, автоматишный перевод по правой клавише все это в нем из коробки и... удобно, как ни странно.
Yandex браузер я удалил,фонит немного. в плане служба обновлений пашет по умолчанию.
Так этим почти все браузеры грешат. Хром например постоянно в фоне ресурсы тянет. Конечно это все можно вручную заблокировать, но тратить на это время... В общем я тоже его удалил. Сейчас Vivaldi использую, реально очень комфортный
по тестам он вроде бы самый слабый.
Там один прикол-Алиса чего только стоит. Кто работал на яндекс-толоке знают, куда сливается всё ею услышанное)
Проблема как раз в другом, что народ не очень доверяет российским сертификатом в силу того, что у нас любые базы данных продаются на черном рынке, а значит и корневые сертификаты могут попасть в очень нехорошие руки, а после этого будет взломана защита ЛЮБОГО сайта построенного на этих сертификатах. То есть переход на отечественные сертификаты это большой риск для безопасности, особенно когда множество айтишников не очень лояльны режиму.
Проблема в том, что ты понятия не имеешь как работают центры выпуска доверенных сертификатов, как и то, что такое корневой сертификат. Ты и наплюсовавшие тебе сейчас похожи на Боню которая про вышки 5G заливала...
Хорошая работа, Олег! Но давай всё же попытаемся объяснить товарищу с его сотоварищами от чего он отказывается не доверяя Минцифрам. Общая схема "защищенного соединения" имеет форму треугольника. Алиса(пользователь)-Боб(сайт)-и Удостоверяющий центр. Когда Алиса хочет инициировать защищенное соединение с Бобом, она обращается по каналу связи к Удостоверяющему центру за сертификатом(справкой), подтверждающим(подписывающим), что Боб этот Боб. С помощью этого подтверждающего ключа шифрует свое обращение и оправляет по каналу связи Бобу. Боб, в свою очередь, получив зашифрованное, может расшифровать это сообщение имея свой секретный фрагмент ключа, математическими формулами связанный с хранящимся в Удостоверяющем центре. Когда любопытный Ваня из Минцифр хочет отследить переписку Алисы с Бобом, он ставит на канал между Алисой и центром, и на канал между Алисой и Бобом своё оборудование, которое по запросу Алисы сначала выдаст поддельный открытый ключ Боба, а потом расшифрует, прочитает и обратно зашифрует своим ключом для дальнейшей передачи Бобу. Таким образом, прежде все коммуникации сливались сразу в АНБ, а теперь идут через посредника в Минцыфры: "Родина слышит" всегда, - поэтому не уважаемые кибердрочилы пользуются стеганографией, позволяющей в открытое фото или видео-сообщение типа бессмысленного youtu . be/92nkyHjKv5M благополучно вплетать осмысленное.
PS: зачем это объяснять? Затем, чтобы люди понимали, на какую именно чухню очередной раз тратятся бюджетные лярды.
Алексей, а расскажите пожалуйста, как попавшие не в те руки корневые сертификаты позволяют обоже-боже взломать защиту ЛЮБОГО сайта?
Можете начать с обьяснения, как вы взломаете защиту, ну не знаю там, Пентагона. Мне кажется это нобелевка сразу, если б ее давали за криптографию, ну уж точно все награды года в области кибербезопасности.
TLS решает 2 задачи, разные, аутентификация (сайта, но может быть и двусторонняя) + шифрование трафика. Причем вторая задача требует доступа к трафику, что без физического доступа к линии абонента может провайдер (и СОРМ), а не каждый левый джо. Потом нужно поймать конктретно момент обмена эфемерными ключами, потому что трафик шифруется нифига не криптографией из сертификатов. И только тогда можно получить данные логина и содержимое траффика. Но и тогда можно налететь на 2FA (нужен контроль над опсосом или поддельная БС) и шифрование уровня приложения. А с первой задачей можно влететь на пин сертификата.
И вообще это не самая плохая идея иметь разные браузеры для банков и официальных сайтов и для всего остального.
Но расскажите, пожалуйста, как вы будете ломать сайт, ну пускай, МВФ, любой сайт же, защита.
Вам же Минцифра объяснила принцип выше. Неужели не доходчиво? Ок, рассмотрим конкретный кейс, на примере Спёр-банка, того самого, который оказывал финансовую поддержку спецоперации по развалу СССР, а ныне здравствует. Банк с завидной регулярностью обновляет своё приложение, блокируя старые версии. Где рядовому пользователю скачать его обновление? Только с "официального" сайта банка. А если у тебя на правах Центра сертификации есть возможность указывать пользователям какие сайты заслуживают официального доверия, а какие нет, то ты сможешь перенаправить трафик с адреса банка на свой домен, даже с тем же именем (так как клиенты все-равно брали сертификат не в банке, а в твоём карманном Центре сертификации). На сертицифированном таким способом сайте располагается приложение-прокладка, которое в дальнейшем ко всем операциям пользователя, естественно авторизовавшегося по 2fa со всеми внешними атрибутами надёжности, зеленой галочкой в гос-браузере, добавляет небольшую комиссию за посредничество. Невероятно? Но схема рабочая! На практике давно можно наблюдать как трафик с китайского aliexpress.com уводит Mail.ru Group и уже сумели законно оформить эту сделку без ведома самих китайцев hi-tech .mail. ru/review/vse-o-sdelke-goda-Aliexpress/
PS: по поводу 5G, а сколько одиноких стариков нашли и довели до самоубийства Ростелекомовские дельцы с применением RF-зрения по Wi-Fi, позволяющего видеть движения сквозь стены и буквально выжигать мозги людям - не счесть, плачут бедные со стонами "Он нам и нах й не нужон ваш Интернет!"(С)
С тех пор, как интернет был по карточкам и до сего дня, сижу на Опере.
Я тоже,но от той оперы осталось только название.А жаль.Был один из лучших браузеров.
Сравнительно недавно от него отказался. Жаль что он упал в качестве, был топовым раньше
В пользу чего отказался, если не секрет?
не чего не понял, но одобряю.
По работе пришлось ставить корневые сертификаты НУЦ в системное хранилище и в хром...
Сбербанк для пользователей переходит на альтернативные домены, с международными сертификатами, поэтому пользователям пока что не обязательно переходить на отечественные браузеры, но...
ГуглХром, Яндекс, Сафари. Глючит давно только Сафари, причем именно по сертификатам безопасности. Остальные работают нормально. Поставил российские сертификаты. Правда хожу мало куда. Только пять сайтов новостей, Фишки, спорт, автогонки. Ну и сайты с девушками разной степени одетости.
Только Нетшкаф :)
Только Нетшкаф Голд 3.0. Навигатор сакс.
ставим атом. фсб одобряет.
Я пользуюсь браузером Puffin.
В нём все сайты открываются без всяких проблем. Даже те, что заблокированы на территории РФ.
Firefox и точка. Остальное шлак.
И Tor
Yndex в общем неплох. Тот же движок, что и у хрома, плюс плюшки всякие
И реклама/продвижение ни разу не агрессивные...
Если профиль давно не чистился/не пересоздавался - то дело может быть в этом
спасибо , действительно надо бы почистить кэш.
Необходимо установить корневой сертификат Минцифры на все устройства россиян или «пересадить» их на «правильные» браузеры. Автоматизировать процесс нельзя.
Ну, как бы в организациях корневые сертификаты можно распространить через Active Directory. Вполне себе автоматизировано. И сидите себе на любых браузерах, кому какой удобнее.
да речь то какбэ в основном про андроиды и айосы, а не десктопы
и да а что в доменах организаций сидят в любых браузерах? очень сомнительно...
наверняка там вообще не сидят в браузерах, а если и сидят то в тех что поддерживают групповые политики, читай тот же яндекс браузер для организаций
У пригоженских всегда так. Там одни блатные. Мне вот в Ольгино выдали талон на 100 Гб и фсьо тут.
Правда говорят, что мне норму интернета сократили из-за систематической пьянки, невыполнение нормы и проё@б казенных валенков...
Эт у него годовая подписка...
А норму по срачу надо выполнять! Нам так товарыш литинант говорил!
Откуда столько ежей достал????
А то что Яндекс.Браузер сам на движке chromium работает это ничего?
это вообще не пришей 3.14зде рукав в данном случае
Что уже chromium национализировали?
chromium денационализировал сам гугл сделав опенсурсным, что опять же не имеет никакой связи с темой поста
Яндекс добавил в свой браузер сертификаты НУЦ. Что тут не понятного? ) Гугл и многие другие не стали этого делать по понятным причинам.
Да в общем от хрома почти не отличается (что неудивительно). Плюс плюшки всякие. Я правда перешел обратно на Хром ) Нравится мне его минимализм.
Всё самое сочное полезное на скриншоте собрано в правом нижнем углу, за Алисой наши уши!
Точно! А ещё нас слушают в и снимают в секретных подвалах КГБ. Я уже отправил жалобу в Спортлото!
Держитесь! Заграница нам поможет!