В июне появились сообщения о том, что один из крупнейших в мире центров сертификации — японский GlobalSign — начал отзывать сертификаты безопасности российских сайтов. Минцифры оперативно сообщило, что владельцы сайтов могут получить российский сертификат — для этого нужно лишь заполнить заявление на Госуслугах.
Как объясняет эксперт «Вопроса права» по кибербезопасности, корневой сертификат — это один из базовых элементов проверки защищенных соединений от нашего устройства до сервера с нужной информацией. Если у сайта нет действующего сертификата от удостоверяющего центра, браузер отказывается его открывать или же предупреждает о небезопасном соединении. Пользователь может нажать кнопку «все равно открыть», но это создает для него риски.
«Когда мы открываем сайт, браузер проверяет цепочку доверия: кем выдан сертификат сайта и входит ли этот центр в список доверенных.
Если корневой сертификат добавлен в систему нашего устройства, то доверие может распространяться не только на один сайт, а на прочие сертификаты, выпущенные этим центром.
Сам по себе сертификат не открывает доступ к содержимому переписки и не позволяет автоматически расшифровывать трафик. Но он меняет круг участников, которым устройство доверяет подтверждение подлинности соединения. Главный риск, который создает эта ситуация — это подмена маршрутов и кража доступов к сервисам», — продолжает эксперт.
Стоит ли установить отдельный браузер и открывать сайты с российскими сертификатами только в нем?
Это поможет только в том случае, если вы полностью контролируете этот браузер и он не использует дополнительные функции, чтобы следить за вашей активностью в других приложениях и интернет-соединениях.
Например, можно установить на устройство изолированную версию браузера FireFox, а затем импортировать сертификат безопасности от Национального удостоверяющего центра (НУЦ) только для этого FireFox. Другие браузеры этот сертификат не увидят.
А как насчет «Яндекс.Браузера», в котором по умолчанию вшиты национальные сертификаты?
Этот браузер на вашем устройстве сам по себе создает отдельные риски слежки за активностью ваших сетевых соединений, так как «Яндекс» вынужден соблюдать требования Минцифры по сбору информации об устройствах пользователей.
Имеет ли смысл завести отдельное устройство для российских сайтов?
Это разумно в том случае, если доступ к российским сайтам вам нужен постоянно, а на вашем основном устройстве есть чувствительные приложения (например, зависимые от VPN) и информация. Отдельное устройство может понадобиться для коммерческой переписки, журналистской работы, юридической деятельности или работы в исследовательских проектах.
Выводы:
📌 Установка корневого сертификата — это не обычная настройка браузера, а изменение системы доверия устройства.
📌 Удостоверяющий центр, не имеющий всемирного признания, либо прямо подчиненный властям той же страны, где вы находитесь — небезопасен по умолчанию.
📌 Установка любого сертификата в отдельный браузер безопаснее предоставления удостоверяющему центру полного системного доверия.
📌 Если надежного приложения нет — придется установить сертификат на отдельное устройство.
Скачайте наше приложение для iOS и Android и расскажите о нем близким. В нем вы найдете ответы и на другие вопросы по кибербезопасности