Хабр Курсы для всех
РЕКЛАМА
Большая витрина: от крупнейших школ до частных авторов. Сравнивайте по цене, длительности, формату и выбирайте самый подходящий курс!
Поток Информационная безопасность доступен 24/7 благодаря поддержке друзей Хабра
Комментарии 63
Только вчера заходил, именно через Яндекс Браузер (без Кузнечиков и Крипто Про) - даже вкладку не закрыл ещё, решил перепроверить - а там ещё интереснее:
Чей-чей сертификат, говорите...?
Это поидее зависит от того, включено ли в настройках Яндекс Браузера использование российских алгоритмов шифрования (если есть - браузер в ClientHello шлёт набор этих шифров вместе с обычными, сервер видит и отдаёт устаревший сертификат). Но разворачивать сейчас виртуалку и проверять лень, тыкал этот функционал несколько лет назад из любопытства, могло поменяться за это время.
Выглядит очень похоже на то, да.
Но вижу тут некую иронию в том, что хотя недавно провозглашали очередной переход всех на сертификаты Минцифры, самый очевидный из сервисов по умолчанию спокойно продолжает работу на буржуйских.
Есть мнение, что этот переход никому нафиг не сдался. Такое ощущение даже, что в нем больше заинтересованы "западные партнеры". Описанному багу, скорее всего, больше года, и никто не почесался.
А ничего, что "западные партнёры" отзывают сертификаты из за санкций? Переход никому не сдался? На http сидеть?
Получается, что никому не сдался.
У них 4.5 года было как минимум. Вместо переходов Минцифры занималось блокировкой нам Ютуба и Вацапа, а госбанки маскировали свои приложения под веселую ферму и бегали от одного западного УЦ к другому.
Минцифры как раз таки этим и занимался. То есть сейчас вся инфраструктура для национальных сертификатов готова.
кроме доверия
Ну давайте честно. Доверия нет в основном у небольшой кучки людей, которые это недоверие мотивируют в основном тем что это сделали наше правительство, которое не очень то любят.
Доверия нет в основном у небольшой кучки людей.
Если в целом если поискать доказательства их мотивированности к такому недоверию вне предвзятости, возможно объективные причины этого недоверия таки найдутся?
Владелец корневого сертификата всегда может расшифровать трафик.А российские серты теперь из за санкций не вносят в списки CT( Certificate Transparency ) то есть любой выпускающий такие сертификаты получает способ расшифровывать трафик пользователей
Владелец корневого сертификата всегда может расшифровать трафик
Не может, он может только подписать другой сертификат, который в свою очередь может использоваться для MITM, если трафик вместо легитимного сервера каким-либо образом будет завернут через прослойку развернутую атакующим
Не может
Зачем же так категорично.
Владелец корневого сертификата может расшифровывать зашифрованный им трафик, на любом промежуточном узле( например прокси принадлежащие ему физически, шлюз компании, чёрные ящики DPI стоящие у всех провайдеров )
Не может
Не может
Да откуда вы такие берётесь ©
В большинстве браузеров (включая Chrome и Яндекс Браузер) механизм Static Pinning автоматически отключается, если подменяющий корневой сертификат был установлен пользователем вручную или через групповые политики Active Directory. Разработчики оставили этот зазор намеренно, чтобы корпоративные администраторы могли сканировать трафик внутри своих сетей на вирусы.
Потому что нельзя ничего расшифровать не подменив сертификат и не поставив свой митм. А это оставляет следы.
А это оставляет следы.
если человек сам установил корневой серт на свою машину отключив тем самым оповещения браузера о недоверенном сертификате. Ему придётся каждый раз руками тыкать в "замочек" на каждом сайте и следить чтобы сертификат был от оригинального издателя(для зарубежных сайтов и сертов)
не поставив свой митм
Так давно стоят, на всех провайдерах коробки DPI, которые неизвестно что ещё делают внутри себя.
Потому что нельзя ничего расшифровать не подменив сертификат
Тут логично но браузер уже не будет кричать о "левом сайте"
и откроет страничку подписанную условной минцифры (хотя у какой нибудь соц сети должен быть другой сертификат, но юзер увидит зелёный замочек)
Это не эквивалентно. Само по себе обладание закрытым ключом корневого сертификата не позволяет расшифровать трафик произвольной TLS-сессии установленной с ресурсом, сертификат которого подписан этим корневым сертификатом.
Более того, если CA нормальный - закрытый ключ сформирован внутри аппаратного хранилища и является неизвлекаемым, а взаимодействие с ним ограничено. При подписи сертификата CA не имеет доступа к закрытому ключу этого самого сертификата который подписывает.
Злонамеренный CA может выпустить другой сертификат на тот же домен (подписать ключ для subCA, чтобы не заниматься этим нехорошим действием напрямую, а делать через «прослойку»), это правда. Проигнорировать политики из DNS-записи типа CAA, может не отражать выпуск сертификата в CT-логах. Но он не может перенаправить трафик «жертвы» вместо назначения - на MITM-прослойку сам по себе. С другой стороны в РФ сеть достаточно зарегулирована, а также установлены активные черные ящики - ТСПУ, которые могут вмешиваться в трафик, а Роскомнадзор может потребовать перенаправить трафик в рамках «централизованного управления сетью». Но все это не есть «пассивная расшифровка трафика ключом CA», это будет прямая MITM-атака со стороны государства с подменой этого самого сертификата для жертвы
это будет прямая MITM-атака со стороны государства с подменой этого самого сертификата для жертвы .
А в какой момент потребуется подмена если корневой сертификат уже скомпрометирован и создан с заведомо такой целью(пока не возможно доказать обратное)?
Ну то есть условно некая структура заинтересовалось одним человеком и делает целенаправленную расшифровку на своём тспу (уже достоверно зная что он поставил серт минцифры себе на комп).
Забирает пароли куки и фингерпинт за долю секунды подменив оригинальный сайт своим.Браузер даже не пикнет при установленном стороннем сертификате
. Но все это не есть «пассивная расшифровка трафика ключом CA»
Так я такого и не утверждал )
Это вы митм описываете который палится везде. Например через ct логи.
Не пугайте сами себя. Все работает как обычно. Было у вас 100500 доверенных сертификатов, стало 100501.
Это вы митм описываете который палится везде. Например через ct логи.
Кем палится? Мы про простых юзеров вроде говорим.
Как человек должен понять(поставив сторонний сертификат) что сайт не тот (кроме того что увидит в "замочке" в браузере другую подпись, что я уже высказывал ранее)? Ну кроме способа открыть ту же страничку через VPN...
Так это и сейчас делают. Почитайте историю с Jabber. Нормальный полноценный митм сделали.
До этого это могли делать 100500 субъектов. Сейчас 100501 субъект. В целом ничего не изменилось.
В целом ничего не изменилось.
В целом да, кроме того что буквально "заставили" миллионов 40 активных интернет пользователей ру сегмента принудительно поставить сторонние сертификаты. Жабе до таких охватов далеко (максимум десятки тысяч пострадавших и те в теории)
Заставили. А что можно было сделать если таково было желание американцев? Они текущую систему контролируют полностью.
Чтобы вы сделали?
Чтобы вы сделали?
Мне неприятно управлять людьми и навязывать им свою волю...
Но была бы возможность,бахнул бы ядеркой по америкосии, и все эти проблемы с сертификатами абсолютно точно отступили бы на второй третий, десятый план.
Глядишь, и через 10-1000 итераций такого отсеивания что-то бы получилось.В эволюции таких примеров тысячи.
Классный план, блин. /s
Как хорошо что ЯО заведуют более уравновешенные люди.
Как хорошо что ЯО заведуют более уравновешенные люди.
Никто же не задумывается а точно ли они всё делают правильно... голодающие в Африке точно не довольны ситуацией, их внешний вид как бы намекает..
Ну и в целом тут не про уравновешенность… С точки зрения науки, чем отличается гибель сотен тысяч крыс в лаборатории в результате неудачного эксперимента от например распространившейся чумы в 17 веке, выкосившей 2/3 населения европы и, целенаправленное уничтожение этих крыс после окончания эксперимента от запуска ракет (если результат получен/неполучен но эксперимент закончен) когда у тебя есть возможность просто отсекать тупиковые ветви.
И почему решать должен кто-то другой, кто дал им такое право распоряжаться судьбой тех же африканцев(за копейки работающих в свинцовых или алмазных шахтах без возможности обеспечить себе минимум своих прав)
Обоснования почему вы хотите убить миллионы человек с какой-то стороны интересны, но обсуждать их мне совсем не хочется.
Обоснования почему вы хотите убить миллионы человек
Какая странная у вас логика, верить в придуманные самим собой утверждения.
Что вы придумали себе внутри своей головы с реальностью не имеет связи.
Вот так и живём, человеку намекают на вопрос: "Кто ответственен за голод в Африке" и "ведь явно человечество где-то не туда свернуло"
А человек прячется в своём воображаемом манямире и делает вид что вопроса не увидел. И кроме того начинает обвинять собеседника в несуществующих убийствах и желании убивать. полностью игнорируя существующие и докзанные смерти людей.
Ведь это получается тогда на благо всё сделано по вашему? Добывающие корпорации получили прибыль, белые люди купили украшения и сидят в ресторанах. А смерти Африканцев всего лишь сопутствующие расходы.
Использование ЯО это убийство миллионов. Сразу.
Вы предложили убить миллионы. За отзыв сертификата. Для меня это шиза полная.
Я никого не предлагал убивать.Это домыслы.
Я не употреблял слова "уничтожить, убить, стереть с лица земли", они бы точно и достоверно подтверждали такие намерения.
Американцы используя ядерные снаряды где-то в Иране тоже не хотели убивать мирное население.Или по вашему у них другое мышление было?
Но была бы возможность,бахнул бы ядеркой по америкосии
Это и есть предложение убить миллионы человек.
Вы слишком много на себя берёте приписывая людям то что они не говорили.
Возвращаемся к тому что эта фраза наделена озвученным смыслом в вашей голове, не моей.
И тем не менее вы вините меня а не условного командира отдающего приказ на "зачистку".
Называя шизой мою гипотетически высказанную фразу.
А как бы вы назвали чёткий приказ зарядить сняряды с обеднённым ураном от командира офицеру, когда они в полной мере осознают что будет происходить дальше?
Или вызов поддержки авиации на посёлок чтобы полностью его выжечь(такие кадры и видео тоже присутствовали с американских боевых вылетов, когда в посёлке были мирные люди)?
Каждый отвечает за свои действия. И свои предложения.
А как бы вы назвали чёткий приказ зарядить сняряды с обеднённым ураном от командира офицеру, когда они в полной мере осознают что будет происходить дальше
1) Вы вначале погуглите, что такое обеднённый уран и чем он отличается от ядерного оружия.
2) В СНГ прецедентное право НЕ работает, поэтому не задавайте риторические вопросы про действия американцев где-то там.
Вы вначале погуглите, что такое обеднённый уран и чем он отличается
А какая разница если и то и то оружие, и оба убивают людей?
В СНГ прецедентное право НЕ работает, поэтому не задавайте риторические вопросы про действия американцев где-то там.
Да хоть в зимбабве )
Я спрашивал у человека его мнения по поводу совершённых убийств и поступков к ним предшествующих, когда люди принимали решения.Для сравнения с тем как он классифицировал моё гипотетическое высказывание.
Понимаете гипотетическое он назвал шизой, а про свершённые деяния язык засунул глубоко и молчит.
Следовательно мы видим молчаливое поощрение убийств невинных в одном случае, и тут же порицание не свершённого действия.
Это либо лицемерие либо биполярка.
А российские серты теперь из за санкций не вносят в списки CT
А откуда у вас такая информация?
Яндекс, помнится, клялся и божился, что отечественные сертификаты без записей из CT логов принимать не будет.
А откуда у вас такая информация?
Из первых рук + мои глаза.
Откройте сбербанк онлайн через firefox
И что это должно доказать? Вы понимаете вообще о чем речь?
И что это должно доказать?
Недоверие браузера сертификату вследствие отсутствия сертификата в списках CT. Это же очевидно.
Ошибки в вашем скриншоте не видно, но думаю, что там про недоверие корневому сертификату будет. У сбера уже российский сертификат, и фаерфокс ему не будет доверять. Если вы установили корневые, то CT-логи для таких цепей вообще не проверяются.
А сберовский сертификат в логах есть, решил даже отдельной статьей об этом написать — https://habr.com/ru/articles/1073480/
Ошибки в вашем скриншоте не видно, но думаю, что там про недоверие корневому сертификату будет. У сбера уже российский сертификат, и фаерфокс ему не будет доверять. Если вы установили корневые, то CT-логи для таких цепей вообще не проверяются.
я собственно это всё в своих комментариях под этим постом уже и сказал )
Серт стоит, но не в системе, а прописан для доменов банков в хромиуме, тут статься была https://habr.com/ru/articles/1066372/
самый очевидный из сервисов по умолчанию спокойно продолжает работу на буржуйских.
И пускай продолжает! Очень рад, что госуслуги нормально работают и открывсаются из-за границы в человеческих браузерах. Кажется, что в команды госуслуг и лк налоговой смогли вменяемых людей набрать. Особый привет хочется передать мосэнергосбыту, большего днища я не видел нигде и никогда. Это для меня эталон “как не надо делать”, везде их как пример привожу.
Сайт налоговой в яндекс-браузере тоже не открывается, а во вражеских - легко.
Мягко говоря - чушь.
Только что решил проверить, хотя на днях заходил.
Яндекс браузер, спокойно зашел. На iOS 26.6.2. Последняя цифра на память, может и 1.
Проверил - 26.6.1
Версия браузера - 26.8.2.826
Ерундой с сертификатами вообще не заморачивался никогда. Утюги не слушаю.
Что именно - чушь?
Увы, пропустил при первом чтении самокритичную строчку про «жидкую интригу» и про то, что у всех обычных пользователей скорее всего на Яндекс браузере Госуслуги работают.
Действительно, слово «чушь» здесь не к месту. Просто я думал по привычке, что это все же не тот сайт, где «ученый изнасиловал журналиста».
Без информации с каким сертификатом оно у вас открылось - ваше сообщение бесполезно. У госуслуг есть действующий сертификат от Globalsign который будет работать в любом браузере.
Конечно, моё сообщение актуально на момент его написания и его дальнейшая актуальность не гарантируется
Только что решил проверить
Вы проверили не то, что описано в статье.
Проблема (и в статье это подчёркнуто) возникает, когда браузер пытается использовать отечественные алгоритмы. Поскольку macOS явно из коробки их не поддерживает, Гомоуслуги отдают вашему браузеру зарубежный сертификат, с которым всё в порядке.
И даже если бы отдавали отечественный не-ГОСТовский, тоже было бы всё в порядке (не для вас, вы-то ничего не ставили, но для тех, кто ставит в систему скрепные сертификаты).
А вот когда браузер явно декларирует "я предпочитаю не просто отечественный, но отечественный по ГОСТ", вот тогда и вскрывается просёр. Очевидно потому, что таких пользователей (который хотят именно ГОСТ) исчезающе мало, и сисадмины Госуслуг этот сценарий не тестируют.
Очевидно потому, что таких пользователей (который хотят именно ГОСТ) исчезающе мало, и сисадмины Госуслуг этот сценарий не тестируют
Вот сейчас обидно было Не думаю, что таких мало, на самом деле. Т.к. для того, чтобы браузер лез по гост, достаточно наличия криптопро на компе, и если вы хоть раз сталкивались с российскими ЭЦП, оно у вас почти наверняка установлено.
С другой стороны, те, кто активно пользуются отечественной криптографией, скорее всего прошли уже пыточные камеры с настройкой всего этого барахла (типа установки драйверов рутокен, софта от Контура или Тензора, браузерных расширений и плагинов госуслуг и т.д.) и имеют пачку установленных корневых сертификатов, среди которых есть и злосчастный 2022 года.
Это произойдет автоматически для сайтов, поддерживающих оные, при выполнении двух условий:
Есть галочка в настройках (стоит по умолчанию)
Установлен КриптоПро (возможно, подойдут и другие криптопровайдеры, не проверял)
Правильно звучит где первым пунктом Установлен КриптоПро, а только потом галочка т.к. по умолчанию галочка Включена у Всех , и в пункте Написано Требуется КритоПро.
Воистину в России две беды: кадры и инфраструктура
Когда-то, давно, имел щастье немного соприкоснуться с работой госструктур в области всего вот этого: сертификаты, удостоверяющие центры, блаблабла.
Очень серьезные люди, наверное, хорошо разбирающиеся в очень серьезных вещах, серьезно участвовали в обсуждениях с большими блок-схемами из "удостоверяющих центров" и "центров сертификации", сыпали аббревиатурами типа УЦ, ЕГАИС, НИОКР - но складывалось убеждение, что они при этом понятия не имеют, что это такое технически.
Организационно - да: кто отвечает, кто выдает, полномочия, нормативно-правовые акты, регламенты - это всё пожалуйста, но что оно всё делает - понимали весьма приблизительно.
Результат - ну, вот вы его видите...
Организация важнее технических решений часто. Технически вам все хорошо куча людей сделает. Но для этого надо им сказать А что делать то вообще? Это как раз организационные вопросы.
Ну как сказать, для того чтобы что-то организовывать - надо хотя бы пределы возможностей и здравого смысла понимать.
А для этого надо спуститься с небес и спросить: а не хрень ли мы делаем?
Есть даже очень хороший и наглядный такой пример, жалко только я его тут привести не могу, не положено )
Но от этого он не перестает быть примером административного жжения и вопиющей некомпетентности. Жалко, что никого ничему не научит: посторонним рассказать нельзя, а фигуранты-участники даже не поняли почему у них в итоге получилась та самая хрень, хотя всё организационно расписали.
Так и останется локальным мемом...
Лет пять назад какая-то контора типа мосгорстата не имела https. Я им даже звонил, думая, что это я дурак. Но меня заверил, что всё в порядке, им хватает http.
Мой плетежный фрейм на http - безопасный! Заходи не скупись - покупай живопись! ))
Лет пять назад еще много где не было https, особенно там где не требовалось передавать секретные данные.
А лет десять назад вообще в открытом доступе столько всего интересного лежало...
Обслуживал работу с одним таким сервисом. Суть в том, что туда и оттуда полезная нагрузка (документы) ходят подписанные+зашифрованные крипто провайдером соответственно клиента или сервера. Но это, к сожалению, не значит, что браузер или сервис не передаст чувствительную информацию сбоку. Какой-то банк в подворотне получается.
Всё нормально. Просто они по своим политикам безопасности каждые три года выпускают новый сертификат, чтобы исключить утечку старого.
По ходу настало время для payload security поверх TLS с multi channel key verification через распределенную сеть доверия с рандомными маршрутами, с mitm анализом и прочей автоматизированной паранойей.
Когда не смог зайти в банк, просто запустил хром с ключом --ignore-sertificate-errors. Так что плевал я на ваши сертификаты и прочую айбишную клоунаду
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
В Yandex browser не работает сайт Госуслуг