Сертификат от минцифры

Первое правило ведения бизнеса в России

Запусти браузер в песочнице и добавь туда через менюшку нужные сертификаты. И дело даже не в них обычно сайты которые такое требуют это всякие банки и прочее, входы в которые держать в просто браузере для всего и вся ну такое, какое левое расширение куки уведёт или ещё чего и потом рви волосы на попе, серты не проблема, оно должно жить отдельно. Firefox под firejail или bubblewrap с добавленными вручную сертами и всё.

Вопрос как избежать использования этого сертификата, по крайней мере на сайтах которые работают и без него.

Очевидно, завести отдельный профиль браузера специально для банков/маркетплейсов/госуслуг. Поставить туда этот сертификат, ни для чего больше этот профиль не использовать.

Лучше через bwrap или firejail.

Есть ли какие-то альтернативные способы обеспечения работоспособности https без сертификата минцифры, которые можно было бы рекомендовать к внедрению данным фирмам?

Нет. А если и найти лазейку — найдут, за что наказать.

Существует ли в российской среде сторонников СПО какие-то рекомендации или мероприятия по отстаиванию принципов СПО максимально возможным в настоящее время способом?

Крепиться.

P.S. Поправил теги, но на будущее знай, что надо через запятую, а не через пробел

рассматривалось как возможность организации MITM атаки со стороны государства

то есть возможность атаки со стороны всех остальных MITM, (которым ты почему-то доверяешь) тебя не интересует?

«пусть хоть кто меня трахнет, в сколь угодно жесткой и извращенной форме!
но только не Петя!»

ясно-понятно.
Петя, видимо, обязан вечно пребывать во френд-зоне.

запрос имхо не верен :) избежать использования онного корневого сертификата не получиться - он используется интересующим тебя сервером

я правильно понимаю, твой вопрос в другом - как ограничить использования сертификата мин.цифры только на указанные сайто-банки ??
а то вдруг спец.службы начнут встраиваться в твое секурное соединение с порнохаб.ком и сливать что там у тебя какой длины… :)

насколь знаю нет, до такой привязки в бравзерах еще не додумались. сейчас любой из стотыщмильонов рассовоправильных Центров Сертификации может выпустить сертификат на любое имя.
первый костыль обхода уже сказали - серт установить в бразвер в песочнице.

костыль 2: в бравзер прописать локальный прокси сервер. а в онном прокси-сервере уже написать всю бизнес-логику кого куда посылать: всех правильных - напрямую, а указанные сайты через митм с проверкой сертификата мин.цыфры, ютуб конечно сразу через впн и т.д….
но сложнаааааа :)

Вопрос как избежать использования этого сертификата, по крайней мере на сайтах которые работают и без него.

Вот тут давали рабочую схему: LE и GlobalSign всё, куда двигаться за сертификатом, остаётся только Минцифры, но... (комментарий)

Вопрос как избежать использования этого сертификата, по крайней мере на сайтах которые работают и без него

если пользуешься хромом, то там вроде можно добавлять доверенные сертификаты индивидуально для каждого профиля. Т.ч. просто создай отдельный профиль, через который будешь заходить в банки, госуслуги и т.п., и добавь в него доверенные сертификаты Минцифры. А на все остальные сайты заходи из своего основного профиля без этих сертификатов.

Есть ли какие-то альтернативные способы обеспечения работоспособности https без сертификата минцифры, которые можно было бы рекомендовать к внедрению данным фирмам?

найти УЦ, которому они доверяют, и попросить этот УЦ выпустить сертификаты. Либо вообще самим выпустить, это ж дело на 5 минут. Но в этом случае возникает ровно та же проблема что и с Минцифры - 95% юзеров не может нажать дополнительную кнопку, а оставшиеся 5 по умолчанию ничему и никому не доверяют и от предложений установить себе какой-то левый сертификат просто шарахнутся.

Петя, видимо, обязан вечно пребывать во френд-зоне.

Этот ваш петя в своё время подарил, лично мне сертификат называемый ваучер, а ещё все знакомые и родные попали на вклады и потому доверия «пете» ноль.

По сабжу очевидный браузер в песочнице с нужными сертификатами который используется только для списка сайтов.

В принципе неким выходом может стать оборачивание сайтов в электрон приложение с добавлением в песочницу этого приложения нужного сертификата. По сути это тоже самое что делают мобильные приложения. Они таскают с собой нужные для достпуа к бэкенду сертификаты. Но это для разработчиков, не для юзеров.

Ну или поставить яндекс браузер, в нем уже встроен серт минцифры. Про контейнер выше уже сказали, если опасаешься шпигунов из яндекса

потому доверия «пете» ноль

эта позиция вопросов как раз не вызывает. вопросы вызывает безоглядное согласие вступать в противоестественную связь с Васей, Олегом, Ибрагимом, с кем угодно, хоть с чертом в ступе - только бы не с Петей.

согласие вступать в противоестественную связь с Васей, Олегом, Ибрагимом, с кем угодно, хоть с чертом в ступе - только бы не с Петей.

1. Сервис, он даже в заблокированном виде лучше в разы. Ни прости г-ди M$, ни гугл не вывёртывают мне руки навязывая свой мессенджер, почту, whatever. Но при это их сервис лучше в разы.

2. Вася и прочие до меня не доберутся, я им попросту не интересен, а вот господин майор Евсюков всегда под боком.

Стоит в системе и стоит. Ваще пофиг, сайты работают, мне норм.

Существует ли в российской среде сторонников СПО какие-то рекомендации или мероприятия по отстаиванию принципов СПО максимально возможным в настоящее время способом?

Не лицемерить. Вся рекомендация.

А то из коробки корневые серты какой Турции, Израиля, Южной Кореи, Японии (про США/ЕС я уже молчу и так понятно) - это нам пофиг, это норм. А местный - страх, ужас и радио Радонеж. Тот-же потенциальный MITM какой-то более добрый, видимо. Не то, что местный (который правда никто не доказал, но нам же похрен, факты ничто - истерика всё).

а вот господин майор Евсюков всегда под боком

За каким лешим персонально ты ему сдался, чтобы тобой интересоваться (не то чтобы добираться), вопрос принципиально не ставится?

как возможность организации MITM атаки со стороны государства

Интересно, каким образом. Опишите схему.

Попросить нейронку написать на Go проксю, которая будет терминировать tls с нужными сертификатами. Тогда не надо будет устанавливать их в браузер.

Сервис, он даже в заблокированном виде лучше в разы

именно.

поэтому вопреки очевидному решению «схлопнуть все нафиг, во избежание» ради тебя поднапряглись и запилили сервисы, возможности которых стремительно приближаются к «эталонным». если чего-то не хватает - разработка вполне себе открыта, пожелания можно писать и на них реагируют.

я им попросту не интересен.

поразмысли на досуге - кому и по каким причинам ты можешь быть интересен.
вот у меня курица, например, с IQ примерно 1.5-3.5, хорошо понимает кому она интересна, и прекрасно пасется на природе лишний раз не отсвечивая и понимая на чисто интуитивном уровне у кого и какой к ней интерес.
более глупые куры закончили свою карьеру примерно за баней.

от дедушки Дарвина пламенный привет.

Лучше отдельная виртуалка

Очень просто. Корневой доверенный сертификат позволяет любую фигню отдавать и браузер будет говорить что всё норм. Пойдешь на google.com а тебе вернут ya.ru и браузер скажет что это гугл. Вернуть тривиально - DNS шифруется никак, блокируется и подменяется.

Лучше отдельная виртуалка

Я согласен особенно если надо переносить некий профиль с устройства на устройство.

QubesOS?

а то вдруг спец.службы начнут встраиваться в твое секурное соединение с порнохаб.ком и сливать что там у тебя какой длины… :)

Но подождите. Смысл сертификата в том, что есть нейтральная сторона, которой доверяют обе. Т.е. для того, чтобы майоры длину начали рассматривать, надо чтобы порнхаб.ком имел сертификат, подписанный минцифры. Думаешь, они будут так делать?

Вопрос как избежать использования этого сертификата, по крайней мере на сайтах которые работают и без него.

Ответ: сайты, которые работают без него, его не используют. Твоя задача уже решена.

Смысл сертификата в том, что есть нейтральная сторона, которой доверяют обе.

Только клиент (веб-сервер) доверяет. Веб-сервер доверяет разве что в сценарии, когда клиент аутентифицируется по сертификату (например в OpenVPN так).

Т.е. для того, чтобы майоры длину начали рассматривать, надо чтобы порнхаб.ком имел сертификат, подписанный минцифры.

Нет, тов. майор (man in the middle) при установке TLS сессии использует подложный сертификат, подписанный минцифры без всякого участия со стороны веб-сервера. Клиент (веб-браузер) ничего не заметит, т.к. сертификат мин.цифры в доверенных.

Вообще для защиты от таких сценариев УЦ ведет публичный лог выпущенных сертификатов (certificate transparency log), с которым может сверяться веб-браузер. Из этого же лога владелец домена может узнать, что на его домен был выпущен подложный сертификат.
См. https://precert.ru/stat/ - там статистика CT logs в т.ч. для The Ministry of Digital Development and Communications

проблема в том, что НЕЙТРАЛЬНОЙ стороны уже нет. Есть очень хорошая такая вероятность что какое-нибудь ЦРУ будет пытаться всучить тебе троян просто потому что. И отмазки «да кому я нужен» не сработают. Ботнеты ведь кому-то нужны, хотя каждый отдельный ботик тоже думает что «кому я нужен».

Ну, такова была изначальная задумка. Было ли оно так в реальности или держалось исключительно на доверии, сейчас уже не узнаем.

Смысл доверия ещё и в том, что вы доверяете минцифры, что ни не выпустят левый сертификат каким-то жуликам. Без доверия построить систему безопасности невозможно.

Ну и на счёт доверия: Вы полагаете, что майор использует полученную информацию в противозаконных целях?

Существует ли в российской среде сторонников СПО какие-то рекомендации или мероприятия по отстаиванию принципов СПО максимально возможным в настоящее время способом?

А в нероссийской не пойдёт? Ту правда думаешь, что это какая-то национальная проблема? Посмотри рекомендации той же EFF — в США ситуация куда сложнее, половина сертификатов браузера под колпаком у ЦРУ, причём эти сертификаты уже предустановлены и интернет не будет без них работать. И ничего, живут как-то.

Если вы запустите в песочнице то плагины для работы с крипто про не дотянуться до крипто про.

Подумаешь сертификаты, а то что нужно юзать браузер с ии, это никого не смущает?

по отстаиванию принципов СПО

Принципы СПО ничего про https/tls не говорят. Они вообще про другое.

Корневой доверенный сертификат позволяет любую фигню отдавать и браузер будет говорить что всё норм. Пойдешь на google.com а тебе вернут ya.ru и браузер скажет что это гугл.

А google.com разве позволит себя выдать за другого? Браузер на это не прореагирует, не подаст сигнал, что это не он, и сертификат сайта не даст сверить с оригиналом со всеми подписями?

то плагины для работы с крипто про

Не использую и никогда не буду это использовать, как и миллионы других людей, я про базовую возможность просто открывать сайты. Всё остальное, ну под отдельным пользователем запускать, песочницы это для удобства. Короче проблеем нет, решения есть. Тема про серты, криптопопы и прочее офтоп

а то что нужно юзать браузер с ии

Кому нужно? Мне не нужно, большинству тоже. Причём тут вообще это? Опять про что-то левое пишешь, то плагины какие-то, то ллмки, ты про что вообще?

это никого не смущает?

Ты походу темой ошибся, про нейро помойку в соседних темах ищи обсуждения.

в США ситуация куда сложнее

Опять негров линчуют? Да что ж такое. Я вот за границей не был 30 лет уже, почему меня должен беспокоить их mitm? Хотя есть теория, что все спецслужбы мира это одна контора, тогда пожалуй всё пропало. Лучше интернетом не пользоваться совсем.

Я вот за границей не был 30 лет уже, почему меня должен беспокоить их mitm?

Потому что они уже всё это проходили и знают методы борьбы. И вместо изобретения велосипеда лучше изучать чужой опыт.

HTTPS в текущих реалиях превратился в один большой fart. Так что между «поставишь в систему», «поставишь в отдельный профиль/браузер» и «ни за что не поставишь» разницы практически нет.

Некоторые сайты

например?

у дураков полно задумок. а по факту у нас есть ЦРУ которое может использовать любую зацепку чтоб добраться куда-нибудь куда у них нет доступа. в том числе и через массовое протроянивание компов в расчете на то что где-то да проберутся, через браузер-флешечку-другой комп-и может быть как нибудь до какого-то секрета доберутся.

то есть если тебе в браузер прилетит троян, поломает линукс через какую-нибудь дыру и поселится в компе - то беспокоиться вообще не о чем. это же свободный троян будет.

Поправил теги, но на будущее знай, что надо через запятую, а не через пробел

ВродеШ три звёзды, 127 топиков, а на будущее))

А почему меня должен беспокоить наш mitm?

http

Ну серьезно. Мы сейчас говорим о наблюдении со стороны государства. С какого хрена меня должно вот это беспокоить? Особенно с учетом того, что все то же самое со стороны других стран никого особо не беспокоит? Ну давай, объясни мне хотя бы кратко.

А чуть более развернуто?

Мы сейчас говорим о наблюдении со стороны государства. С какого хрена меня должно вот это беспокоить?

Человеку, который говорит такое всерьёз, то есть и правда так думает, что-то объяснять бесполезно. Человеку, который говорит это ради троллинга — бессмысленно.

Забей, продолжай не беспокоиться дальше.

Да с чего бы? Ну давай по фактам: Было не мало свидетельств где такое проворачивали США. Давай честно - никого это не гребет от слова совсем. Всем по барабану. Но со стороны РФ - паника, песочницы, мы все умрем! С хреналибы? В чем разница, раскрой мне эту тайну.

Вот возьми меня конкретно. В чем разница для меня? А то вдруг мне и правда стоит начать беспокоиться.

Ну давай по фактам: Было не мало свидетельств где такое проворачивали США.

Это повод беспокоиться больше, а не меньше, раз есть не только возможность, но и свидетельства.

Давай честно - никого это не гребет от слова совсем

Это утверждение неверно.

Но со стороны РФ - паника, песочницы, мы все умрем!

Нет никакой паники, есть вполне понятные и элемнентарные действия по обеспечению собственной безопасности.

В чем разница, раскрой мне эту тайну.

Лично для меня разница в том, что я гражданин РФ и живу в РФ, а в США даже ни разу не был.

Данный форум русскоязычный, тут подавляющее большинство пользователей из РФ. Были бы из США, обсуждали бы что делать с США-специфичными проблемами.

Вот возьми меня конкретно.

Извини, я натурал.

В чем разница для меня?

Не знаю. Почему я должен беспокоиться о тебе лично? Я могу ответить только за себя, а также ответить на вопрос «как» тем, кто с «почему» уже определился. С «почему», думаю, люди должны быть способны справиться без меня.

Ну покажи мне подобные темы про сертификаты других стран? Даже интересно. Я вот ни разу не видел. А уж поводов беспокоиться гораздо больше. Ты определенно видел не одну и не две темы, где США похищают граждан РФ, например, в третьих странах. В том числе просто программистов, к слову.

Ладно, хорошо, ты не ездишь вообще никуда. Но ты уже тут. Что такого с тобой сделают через сертификат, чего не сделают без него?

Если закроют того, кого есть за что закрыть, вот лично я переживать должен наверное, но почему то не переживаю. (Не троллинг, я осознаю, что тут есть определенная уязвимость, но переживаний ноль)

Хорошо, есть переживания на злоупотребления? Так то же самое злоупотребление может быть и без сертификата. Не вижу разницы.

Мне вот интереасна вот эта тонкая грань - почему тут переживать надо начинать о том, что явяется нормой для других.

Нет, я бы понял, если бы он спрашивал про систему огораживания в целом - систему безопасности для ОС. В линуксе с этим беда - он полностью уязвим. Но ему это не надо. Ему надо конкретно от одного сертификата конкретно одной страны. К слову, вот это и мне уже интересно. Линуксу нужна надежная простая система безопасности из коробки. А не вручную каждое у каждого, как сейчас.

Ну покажи мне подобные темы про сертификаты других стран?

Во-первых, нахрена это мне? Мне банально лень. Во-вторых, нахрена это тебе? Это вообще иррелевантно.

Я вот ни разу не видел.

Значит недостаточно часто читаешь англоязычные форумы.

А уж поводов беспокоиться гораздо больше.

Нет, их меньше, поскольку ниже уровень угрозы. Техническая возможность слежки выше, но при этом последствия её применения, как правило, менее драматичные.

В любом случае, мне вообще плевать, кто и о чём беспокоится или не беспокоится в других странах. Меня интересует моя. И страна, и жизнь. О других пусть думают те, кого это касается.

Пусть там хоть на голове ходят, или делают круглосуточную трансляцию своего экрана и клавиатуры на твитч.

Если закроют того, кого есть за что закрыть, вот лично я переживать должен наверное, но почему то не переживаю. (Не троллинг, я осознаю, что тут есть определенная уязвимость, но переживаний ноль)

Нынче кого угодно есть за что.

Хорошо, есть переживания на злоупотребления? Так то же самое злоупотребление может быть и без сертификата. Не вижу разницы.

Если ты имеешь в виду MiTM без сертификата, то HTTPS этого не позволит — браузер тебе выдаст предупреждение.

Если же под злоупотреблением ты имеешь в виду что-то вообще не относящееся к интернету, беспредел или что=то подобное, то тут типичная ошибка для ЛОРа: если что-то «может быть» и так, то можно забить на всё. Это в каждой теме, связанной с безопасностью всплывает. Типа, если меня всё равно могут поиметь через уязвимость нулевого дня в браузере, оставлю ssh голой жопой в интернет с паролем вместо ключа, да ещё и простым (это даже почти не преувеличение).

Вероятность разная, ситуации разные. Обнести квартиру могут абсолютно любую, однако большинство людей всё же запирает дверь на ключ. Подойти, дать люлей и ограбить могут хоть в опере, однако большинство людей всё же настороженнее себя ведёт в подворотне неблагополучного района. И так далее.

Что-то ЛОР перестал сообщать о том, что сообщение было отредактировано в процессе ответа…

Мне вот интереасна вот эта тонкая грань - почему тут переживать надо начинать о том, что явяется нормой для других.

Потому что вообще плевать, что там является нормой для других. О себе надо думать.

Нет, я бы понял, если бы он спрашивал про систему огораживания в целом - систему безопасности для ОС. В линуксе с этим беда - он полностью уязвим. Но ему это не надо.

И что? Почему это важно для тебя?

Может с остальным он уже разобрался, или уже спрашивал где-то ещё, или ему всё «знакомый гуру» настроил, объяснил, куда не нажимать, и сказал, что всё будет зашибись. А здесь угроза новая.

Надо было бы ему о другом — спросил бы о другом, наверное.

А самое главное причём тут я. Если у тебя есть желание провести полный ликбез по информационной безопасности для ТС, то спрашивай у него, надо ли оно ему. Мне лично не надо.

Линуксу нужна надежная простая система безопасности из коробки.

Нет, Линуксу не нужна. Тебе нужна.

А не вручную каждое у каждого, как сейчас.

Учитывая, как делаются комбайны «для простого юзера», уж лучше как сейчас. Или пусть делают в убунтофедорах что хотят, лишь бы мне не навязывали.

Во-первых, нахрена это мне? Мне банально лень. Во-вторых, нахрена это тебе? Это вообще иррелевантно.

Так и всем лень, потому что всем похрен. Вон выше с чего началось все - с того комментария на который я и ответил. И это нормально.

Нет, их меньше, поскольку ниже уровень угрозы. Техническая возможность слежки выше, но при этом последствия её применения, как правило, менее драматичные.

Тут чистая математика. Максимальные сроки у нас это 25 лет. Там это несколько пожизненных на любой чих. Ну и количество случаев несопоставимо. Можно сказать, что у нас угроза отсутствует вообще. Для тех кто не нарушает целенаправленно определенно - так даже плюс. Вот лично для меня жизнь станет попроще и безопаснее. На данный момент, а не в перспективе - это еще вопрос куда мы с этим всем зайдем. Но это повод развивать безопасность в целом. Щит и меч.

Нынче кого угодно есть за что.

Давай честно, это не аргумент. Закрыть кого угодно за что угодно можно без сертификатов - так устроены законы всех стран. Максимально размыто.

Вероятность разная, ситуации разные. Обнести квартиру могут абсолютно любую, однако большинство людей всё же запирает дверь на ключ. Подойти, дать люлей и ограбить могут хоть в опере, однако большинство людей всё же настороженнее себя ведёт в подворотне неблагополучного района. И так далее.

А теперь, внимание. Еще раз. Мы говорим о конкретно государстве, а не банде из подворотни.

Знаешь почему на самом деле конкретно безопасность никого не волнует? Как только началась эта чехарда с взаимными блокировками, все ринулись ставить себе левые эксплойты из абсолютно любых источников. Запреты, антизапреты. Откуда, от кого - это не важно. Гавное чтобы заработало, все. При чем не важно кто блокирует и почему - виновник всегда один. (Флаг со странами из Гриффинов).

И что? Почему это важно для тебя?

Мне это важно как раз с точки зрения нарушений. Я уже не раз и не два наблюдал вирусы под линукс. Мои данные не защищены прямо здесь и сейчас. Не от государства, а от частных лиц.

Может с остальным он уже разобрался, или уже спрашивал где-то ещё, или ему всё «знакомый гуру» настроил, объяснил, куда не нажимать, и сказал, что всё будет зашибись. А здесь угроза новая.

Ну ты сам то в это веришь? Да всем посрать. Если завтра для установки американских дистрибутивов заставят сдавать анализы, причем из РФ анализы принимтаь не будут, большинство ломанется к мексиканской границе - сдать их втихаря.

Нет, Линуксу не нужна. Тебе нужна.

Нет, я тут не уникален. Нужна юзерам линукса, мне, тебе. Значит нужна линуксу, потому что у него такой системы нет. В винде хотя бы пытаются что то сделать. Пусть и безуспешно.

Мне вот нравится что то похожее на андроид, где все возможности софтины нужно указывать в манифесте и запрещено все, что не указано и не разрешено.

. Если завтра для установки американских дистрибутивов заставят сдавать анализы, причем из РФ анализы принимтаь не будут, большинство ломанется к мексиканской границе - сдать их втихаря

А как же Альт?…