> ## Content Index > Fetch the complete content index at: https://admin.kod.ru/llms.txt > Use this file to discover other available public pages before exploring further. # Сертификаты Минцифры для браузеров и ОС: так ли они страшны? Ещё одно мнение - URL: https://admin.kod.ru/strashen-li-sertifikat-ot-mintsifry-i-chto-delat/ - Published: 2022-09-27T18:47:02.000Z - Updated: 2022-09-27T18:56:32.000Z - Description: Потенциальная угроза атаки есть, но не заметить её сложно. - Author: Кирилл Сергеев - Tags: Полезное В конце сентября сайт Сбера [перешёл на отечественный сертификат](https://kod.ru/sber-certificates-officiali-site?ref=admin.kod.ru) от Минцифры. Вскоре его примеру могут последовать и другие организации, попавшие под санкции, так как с большой долей вероятности они не смогут продлить текущие в западных удостоверяющих центрах. При этом продлевать их необходимо раз в год. Руководитель Ассоциации участников рынка данных Иван Бегтин отнёсся к такому развитию событий с большим скепсисом, предположив, что использование государственного сертификата позволит [«перехватывать трафик к HTTPS-сайтам»](https://kod.ru/sber-certificates-officiali-site?ref=admin.kod.ru): [Сбер перевёл свой сайт на российский сертификат от МинцифрыУже сейчас в браузерах без российских сертификатов всплывает предупреждение о небезопасности сайта.![](https://kod.ru/icons/logo-maskable-512x512.png)Код ДуроваВлад Войтенко![](https://img.kod.ru/img/1200x/https://admin.kod.ru/content/images/2022/09/-----2.png)](https://kod.ru/sber-certificates-officiali-site?ref=admin.kod.ru) После этой публикации с редакцией «Кода Дурова» связался читатель Юрий, работающий разработчиком и, по его словам, «съевший не одну собаку с этими сертификатами». Он изложил своё понимание ситуации, объяснил, почему паниковать не стоит, и рассказал, какие шаги стоит предпринять пользователям, чтобы себя обезопасить. Передаём слово Юрию. --- ### Russian Trusted Root CA — стоп, паника! Сами по себе корневые сертификаты Минцифры (Russian Trusted Root CA) не опасны. При обращении на *https://site* браузер и сервер производят ряд запросов, который называется [handshake](https://tls.dxdt.ru/tls.html?ref=admin.kod.ru#handshake). Там они договариваются о криптографическом контексте — об используемых шифрах и методах аутентификации, а также согласовывают ключи и другие параметры сеанса связи. ![](https://admin.kod.ru/content/images/2022/09/Screen_Pxmtr2-6.jpg) Именно там сервер показывает свой корневой и промежуточные сертификаты, а браузер смотрит, доверен ли сертификат от сервера. И если такой информации не находит, то говорит, что «подключение не защищено». Это же вы видите, когда используете самоподписанные сертификаты (логика одна). ![](https://admin.kod.ru/content/images/2022/09/Screen_Pxmtr22222222222.jpg) В ОС и браузеры встроено ограниченное количество корневых сертификатов, но их можно добавлять самостоятельно, и тогда сайты, подписанные этим удостоверяющим центром, будут считаться безопасными. Если вы установите Russian Trusted Root CA от Минцифры, а сайт подписан, например, GlobalSign Root CA, то российский сертификат не запросится и не будет участвовать в шифровании трафика, а значит и ваш трафик не сможет расшифровать какое-либо третье лицо. Проще говоря, сертификат Russian Trusted Root CA, установленный на вашем ПК или смартфоне, не «взламывает другие сайты», как и любой другой сертификат. Ведь они вызываются браузером по мере необходимости — в те моменты, когда сервер показывает свой сертификат, подписанный тем или иным удостоверяющим центром. ![](https://admin.kod.ru/content/images/2022/09/Screen_Pxmtr2kmlkl.jpg) ### Но что может пойти не так? Приведу пример, как может быть. При этом я не утверждаю и не прогнозирую, что так будет, а просто описываю потенциальный риск, который может возникнуть. В какой-то момент сайты Google, Apple, Facebook, Twitter и другие западные ресурсы могут оказаться подписанными тем самым Russian Trusted Root CA Минцифры. И вряд ли по собственной инициативе, правда? Скорее всего это будет означать, что началась атака[ Man-in-the-middle (MITM)](https://www.securitylab.ru/blog/company/PandaSecurityRus/351898.php?ref=admin.kod.ru) или «человек посередине», при которой трафик расшифровывается на сервере-посреднике. ![](https://admin.kod.ru/content/images/2022/09/32423423.jpg) При этом браузер будет думать, что общается с сервером сайта, а сайт будет думать, что общается с браузером пользователя, однако на самом деле взаимодействие будет идти через сервер посредник, который будет распаковывать TLS-трафик и упаковывать его снова, подписывая уже своим сертификатом, а затем отдавать его клиенту. Предположим, что будет реализован MITM на глобальном уровне и использоваться сертификат «Trusted Me Please Root CA». И вот вы его установили себе на ПК. Теперь, зайдя на Google.com вы не заметите подмену сертификатов, пока не нажмёте на замочек и не посмотрите, кем он выдан. В то же время ваш трафик может перехватить и расшифровать тот, кто организовал MITM. При такой атаке MITM, если вы не установите «Trusted Me Please Root CA», то вы не сможете зайти на Google.com — вместо сайта вы увидите сообщение «подключение не защищено». И это должно будет вас насторожить. ### Итог и советы На самом деле вы вряд ли не заметите MITM, так как в Сети будут трубить об этом сильно и громко — как минимум потому, что у значительной части пользователей просто «отвалятся» популярные иностранные ресурсы. Однако с точки зрения безопасности и душевного спокойствия я рекомендую следующее. Установите «Яндекс Браузер», «Атом» и какой-либо другой отечественный браузер с вшитым Russian Trusted Root CA, чтобы заходить на сайты Сбера, Госуслуги, mos.ru и другие российские сайты, которые уже перешли или перейдут на сертификат Минцифры. Другие браузеры не будут на него «смотреть», так как в этом случае он установлен не на уровне ОС, а на уровне конкретного браузера. Свой же любимый Chrome, Safari, Edge, Firefox или другой браузер используйте для других ресурсов. Это поможет вам не стать жертвой потенциальной MITM-атаки (а значит и не раскрыть свой трафик), так как в этом случае вы обнаружите подмену в числе первых — когда иностранные ресурсы вмиг станут «небезопасными».