Сертификат от минцифры

Мне это важно как раз с точки зрения нарушений. Я уже не раз и не два наблюдал вирусы под линукс. Мои данные не защищены прямо здесь и сейчас. Не от государства, а от частных лиц.

Я так и не понял, причём тут данные ТС и то, о чём лично он беспокоится или не беспокоится. Ты хранишь свои данные у него? :)

Ну ты сам то в это веришь?

Мне всё равно. Пытаюсь понять, почему не всё равно тебе.

Если завтра для установки американских дистрибутивов заставят сдавать анализы, причем из РФ анализы принимтаь не будут, большинство ломанется к мексиканской границе - сдать их втихаря.

Сомневаюсь. Но даже если так, то это проблемы большинства. Почему это волнует тебя, а главное, почему должно волновать меня? Зачем ты мне вообще все эти свои фантазии рассказываешь?

Нет, я тут не уникален.

Я не говорил, что уникален. Я сказал ровно то, что сказал: Линуксу не нужна, тебе нужна. Даже без «только».

Нужна юзерам линукса, мне

Да, некоторым (возможно большинству, не уточнял) юзерам нужна, включая тебя. Это логическое продолжение сказанного мной. Элементарная логика, включенные множества.

тебе

Нет, мне точно не нужна.

Значит нужна линуксу, потому что у него такой системы нет

Нет, не значит. Логически одно из другого не следует. Линукс — это ядро, ему не может быть что-то нужно. И даже его разработчикам может быть нужно или не нужно вовсе не то, что тебе или другим юзерам.

Мне вот нравится что то похожее на андроид, где все возможности софтины нужно указывать в манифесте и запрещено все, что не указано и не разрешено.

В Линуксе существуют SELinux и AppArmor. Видимо, оно тебе и нужно, и оно уже есть. То, что в большинстве дистрибутивов оно не из коробки — это уже не к Линуксу, а к конкретным дистрибутивам. А также к тому, что как раз большинству пользователей это попросту не нужно.

если тебе в браузер прилетит троян, поломает линукс через какую-нибудь дыру

Всё продумано, на рабочем компе вообще нет браузера. Линукс по дизайну это дырища от шведского масона, чо уж тут беспокоиться. Они вон недавно подменили все старые ядра сразу на всех зеркалах, и никто не пикнул.

Я так и не понял, причём тут данные ТС и то, о чём лично он беспокоится или не беспокоится. Ты хранишь свои данные у него? :)

Я храню свои данные у себя, он хранит свои данные у себя, ты хранишь свои данные у себя. Сертификат от государства никаки этому угрозы не несет. А вот то что любой скрипт может эти данные похерить - это хреново.

Тут не раз и не два всплывали темы, где определенные политизированные разработчики встраивали «шуточную» фунациональность, завязанную на языке или твоем местоположении. Точно так же они встроят что то, что повредит моим данным. И все такие: «Ну чо, бывает, пу-пу-пуу… Не удалять же, удобная софтина.»

Да, некоторым (возможно большинству, не уточнял) юзерам нужна, включая тебя. Это логическое продолжение сказанного мной. Элементарная логика, включенные множества.

Покажи мне тех юзеров, кого не заденет вред их данным на компе. Это общая проблема здесь и сейчас, в отличие от сертификатов. Она пока не совсем актуальна только по причине того, что линуксом никто почти не пользуется. Мы как неуловимые Джо.

В Линуксе существуют SELinux и AppArmor.

В линуксе много чего есть, но можно считать, что этого нету, потому что для абсолютного большинства это не работает и работать не будет - никто даже разбираться не станет особо как это работает. Если это сделано черезж жопу - этого нет.

Нужна именно постая надежная система безопасности из коробки.

А почему меня должен беспокоить наш mitm?

Я не говорил, что должен. Но элементарная гигиена не помешает.

Что по вашему тема по сути?

Ну это вообще не та проблема, о которой стоит сейчас беспокоиться.. ну кому угодно. Меня больше беспокоит отключение чужих сертификатов для меня. Потому что как раз это создает угрозу и неудобства лично мне тут и сейчас.

Замечаешь иронию? Отключают где то там в других странах. Я в этих странах никогда не был и не буду, а проблемы они создают мне уже тут.

Но когда тут пытаются эту проблему решить, начинается вой со всех болот.

Бздуны вообще не понимают принципы работы асиметричного шифрования?

Смысл доверия ещё и в том, что вы доверяете минцифры, что ни не выпустят левый сертификат каким-то жуликам. Без доверия построить систему безопасности невозможно.

Да, но это касается только того, что происходит на клиентской стороне - поставщика веб-браузера, ОС, ну и собственно пользователя, который может сам добавить сертификаты. От доверия или недоверия веб-сервера какому-то УЦ вообще ничего не зависит.

Ну и на счёт доверия: Вы полагаете, что майор использует полученную информацию в противозаконных целях?

Представления не имею.

Я храню свои данные у себя, он хранит свои данные у себя, ты хранишь свои данные у себя.

Ну вот. Почему тогда тебя волнует, как конкретно ТС обеспечил информационную безопасность в других вопросах, если он о них даже не говорил, а тема про одну конкретную узкую область?

Тут не раз и не два всплывали темы, где определенные политизированные разработчики встраивали «шуточную» фунациональность, завязанную на языке или твоем местоположении. Точно так же они встроят что то, что повредит моим данным. И все такие: «Ну чо, бывает, пу-пу-пуу… Не удалять же, удобная софтина.»

А эта тема тут причём? Ты мне какие-то рандомные вещи вбрасываешь. Зачем, почему, что пытаешься этим сказать…

Покажи мне тех юзеров, кого не заденет вред их данным на компе.

Подмена тезиса. Юзера заденет вред его данным != юзеру нужна «особая система» из коробки.

Это общая проблема здесь и сейчас, в отличие от сертификатов.

А проблема онкологических заболеваний ещё важнее. Давай ещё её тут обсудим?

Эта тема о сертификатах, а не о том, какие там у кого другие (несомненно важные, без сарказма) проблемы.

В линуксе много чего есть, но можно считать, что этого нету, потому что для абсолютного большинства это не работает и работать не будет

Мне не очень интересно, что там у абсолютного большинства.

никто даже разбираться не станет особо как это работает.

Не говори за всех. Я стану (точнее стал, давно). И я такой не один. Значит уже не «никто».

Если это сделано черезж жопу - этого нет.

Сделано не через жопу. Сделано просто не так, как хочется тебе.

Нужна именно постая надежная система безопасности из коробки.

Тебе. Не Линуксу.

Ну вот. Почему тогда тебя волнует, как конкретно ТС обеспечил информационную безопасность в других вопросах, если он о них даже не говорил, а тема про одну конкретную узкую область?

Так я отвечал вообще не топик стартеру, а тому, кому нет дела до абсолютно такого же.

А эта тема тут причём? Ты мне какие-то рандомные вещи вбрасываешь. Зачем, почему, что пытаешься этим сказать…

При том, что в линуксе есть реальные проблемы, на которые всем плевать. Это просто пример одной из проблем линукса.

Тебе. Не Линуксу.

Ну вот это и повод активно искать альтрернативы и не привязываться к одной оси. То есть последние 25 лет были немного не по тому пути. Линукс в своей нише получил слишком большую долю, задавив конкурентов. Есть повод посмотреть на БСД, например.

Кстати народ, оказываеться теперь фирефокс не различает есть ли сертификат или он само подписанный. На все пишет что не защищено.

Это значит, что вы доверяете браузеру, который установлен. Не надо с себя впихивать ответственность. Если шапочка из фольги жмет, удаляйте сертификаты, которым не доверяете.

Так я отвечал вообще не топик стартеру, а тому, кому нет дела до абсолютно такого же.

Контекст потерян. Ты ранее говорил «я бы понял, если бы ТС спросил про „А“, но он спрашивает про „Б“», я отвечал на это.

При том, что в линуксе есть реальные проблемы

Есть (правда по-моему вовсе не те, о которых говоришь ты, но не суть). Почему ты выбрал именно эту тему и именно меня в ней, чтобы рассказать о них?

на которые всем плевать

Это не так.

Это просто пример одной из проблем линукса.

То есть, нечто рандомное и иррелевантное, я так и понял.

Ну вот это и повод активно искать альтрернативы и не привязываться к одной оси.

Ищи. Кто-то запрещает?

Мне всё (ну ок, не всё, но конкретно относящееся к озвученному тобой — как обеспечивается сэндбоксинг, да и в целом безопасность) нравится.

Есть повод посмотреть на БСД, например.

Ну так вперёд!

Кстати народ, оказываеться теперь фирефокс не различает есть ли сертификат или он само подписанный.

Хм… Не замечал.

На все пишет что не защищено.

Ну это лучше, чем если бы спокойно всё открывал без какого-либо уведомления пользователя.

«Не различаеь» это то есть даже в тексте не написано, в чём проблема, одинаково для отсутствия сертификата и самоподписанного?

Можно ссылку на сайт с самоподписанным сертификатом для примера? А то что-то нет сейчас такого под рукой.

Сорри, резко дать не могу чтобы уж совсем не спалиться. Буду дома пошугаю.

Выше уже советовали. Создание разных профилей в браузере, с указанным сертификатом и без него. Это штатная возможность, в Firefox точно работает. В Chrome вроде как тоже. Самый «прямой» и правильный способ.

Самый «прямой» и правильный способ.

ИМХО, через bwrap правильнее. Помимо решения сабжевой проблемы также снижает поверхность для атаки и для других потенциальных уязвимостей. И само по себе более универсально — работает не только для браузера, не для каждого браузера по-своему — более юниксвейно что ли: одна задача один инструмент. Понятно, что браузеры и юниксвей в параллельных вселенных, но тем не менее.

Хотя конкретно сабжевый вопрос решается и просто отдельным профилем средствами браузера, несомненно.

Вопрос как избежать использования этого сертификата, по крайней мере на сайтах которые работают и без него.

Перечитал эту фразу. По моему это какой то бред.

смысл в том, что майоры могут получить от мин.цифры сертификат на порнохаб.ком, и любой https-сервер c этим сертификатом будет полностью доверенный :)
а уж перенаправить определенный поток на свои сервера для мин-кгб-рыба (с задорнов) это уже не проблема.

Так это не моя фраза, почему ты не ТСу это говоришь?

Сформулировано не очень, конкретно в «использования» и «на сайтах». Но понятно же, что имеется в виду, не бред, а просто кривовато сформулированная мысль. Имеется в виду MitM-атака. Тот, кто находится между тобой и сайтом, может сайт для тебя подменить (в том числе так, чтобы ты не заметил, реверс-проксируя оригинал). Но в норме (при использовании https, естественно) браузер выдаст об этом предупреждение — сайт не подписан или не тем сертификатом. В случае же если у этого деятеля посередине есть возможность подписать свой сайт сертификатом, который будет воспринят твоим браузером как правильный, то никакого предупреждения тебе браузер не выдаст. Можно в свойствах посмотреть и увидеть, что вместо условно letsencrypt или ещё какого-то ожидаемого там вот этот вот «свой», но обычно никто этого не делает, а если делает то уже после посещения сайта и отправки каких-то данных туда и обратно.

Вот он хочет избежать такого развития событий, используя этот вот сертификат минцифры только для тех сайтов, где он требуется, но чтобы он никогда не был воспринят как валидный для всего остального. Какими способами это сделать (избежать), уже ответил и я и ещё несколько человек в комментариях.

Извини, ну ты понимаешь что на ЛОРе проще отвечать на последний …

Ну так вот, в случае МитМ атаки начальный сайт должен тоже быть подписан таким же сертификатом. Если он другой то это не прокатит.

И вообше я тут пытался свой бложик оживить, так современный фирефокс режет даже межсайтовые … ну там значок, две запятые друг на другом, так что замучился разрешения давать чтобы юзер с фирефоксом мог на бложике анонимусом коментарии ставить.

Ну так вот, в случае МитМ атаки начальный сайт должен тоже быть подписан таким же сертификатом. Если он другой то это не прокатит.

А вот это уже действительно похоже на бред, в отличие от.

Нет, ни о каком «начальном» сайте твой браузер в таком случае вообще ничего не узнает. Именно в этом и суть проблемы.

Стоп. Получается МитМ атака это не перехват трафика а сразу залазаешь над подставной сайт?

Я не понимаю вопроса (и у меня ощущение, будто ты не понимаешь его и сам). Одно другому не противоречит. MitM притвориться тем сайтом, на который ты пытаешься зайти. В норме ты об этом узнаешь (браузер забьёт тревогу). В случае, если MitM может подписать свой сайт под тем же доменом сертификатом, которому твой браузер доверят, браузер тебе об этом ничего не скажет. Что с помощью этого можно делать дальше — уже дело фантазии того, кто успешно устроил атаку. Хочешь — получи данные от клиента, используй их же, и шли на настоящий сайт, а ответ — обратно клиенту — так можно просто следить за жертвой, получая всю инфу, которую он отправляет и которую видит на сайте, при этом не вызывая подозрений. Хочешь — сделай то же самое, но модифицируй выдаваемую пользователю страницу (например, добавив рекламу, или с помощью LLM убрав идеологически неугодную информацию и заменив её угодной). Хочешь — выдай вообще свой сайт любой. Хочешь — выдай заглушку «этот сайт заблокирован». И много прочих других вариантов, выдумывать которые мне лень.

Ладно. Короче если начальный сайт использует для подписи сертификат 1, то МитМ атака возможно если злой человек тоже может подписывать сертификатом1. Все.

В случае сразу подставного сайта это уже не МитМ атака.

Т.е. залез на сайт, глянь сертификат и все.

Поэтому для меня та фраза бред.

Ты кстати читал мою мессагу что обои могут сами автоменяться?

В случае сразу подставного сайта это уже не МитМ атака.

Прекрати нести всё больший и больший бред.

Подставной сайт — это и есть МитМ атака.

Сертификат позволяет её легко обнаружить. В случае доверия сертификату. Если злоумышленник может подписывать сайты сертификатом, который твой браузер считает валидным, то он имеет способ скрыть от тебя свою MitM-атаку. Всё. Тут нет ничего сложного.

Т.е. залез на сайт, глянь сертификат и все.

Если залез, уже поздно. Это делать желательно до того. Да и после обычно никто не делает. Впрочем, обо всём этом я выше тоже тебе уже говорил.

Ты кстати читал мою мессагу что обои могут сами автоменяться?

Если и читал, то не запомнил.

Подставной сайт — это и есть МитМ атака.

Не согласен. Типа и доменое имя одно и тоже ;)

Отгадай с 3х раз почему МитМ атаки как правило идут по ВиФи?

P.S. потому что в опросе не было варианта - обои сами автоменчються.

Желающие, кстати, могут поставить себе пробу атласа и через месяц доложить о результатах.

Скачать тут.

Нет, потому что механизм установки своих сертификатов как раз для этого и создан. Правда он сделан для использования в корпоративной сфере. Я пользовался корпоративным ноутбуком, где весь трафик проходил через корпоративные файрволы, и там как раз были подменённые сертификаты для всех сайтов.

Я пользовался корпоративным ноутбуком, где весь трафик проходил через корпоративные файрволы, и там как раз были подменённые сертификаты для всех сайтов.

А как ты это определил, что они подменённые?

«Линуксоиды» в массе своей не могут пересобрать свою систему и всё ПО в ней, установленное из исходников. Вопрос «почему?» — риторический. Потому что им уже готовое наложили и разбираться в этом они не будут.

А «бздуны» разбираются.

Очевидно, у них в CA было указано что он выпущен его фирмой. А у меня у всех сайтов в CA указано что он «local proxy», например.

асиметричного шифрования?

Для информации, https-трафик шифруется симметричным шифрованием. Асимметричное там кое что другое, предлагаю этот вопрос изучить самостоятельно.

Только вот что из этого полезно в реальных задачах?

Ну и кто тут молодец?

Если сертификат не тот, а пользователь продолжает верить, что он находится на сайте Google, то кто виноват?

Только вот что из этого полезно в реальных задачах?

В рельных задачах это помогает отслеживать чёткую причинно-следственную связь, а не оставаться на позициях веры.

Если сертификат не тот, а пользователь продолжает верить, что он находится на сайте Google, то кто виноват?

Пользователь ведь верит не сертификату, а браузеру. А браузер показывает защищенное соединение.

Пользователь и в его (корп. ноут) и в моём (локальное прокси) прекрасно в курсе, что сертификат не тот и что по дороге до сайта имеется митм, и понимает почему этот митм там легальный и ему следует верить.

Пользователь ведь верит не сертификату, а браузеру. А браузер показывает защищенное соединение.

Как же поверит, если браузер не подтверждает защиту от отслеживания и показывает предупреждение?

«Почему Firefox может сказать, что сайт “небезопасен”: Firefox проверяет, использует ли веб-сайт протокол HTTPS с действительным сертификатом. Даже если вы доверяете сайту, Firefox необходимо техническое подтверждение того, что он зашифрован. Например, сайт с просроченными или самоподписанными сертификатами вызовет предупреждение.» https://support.mozilla.org/ru/kb/okno-informacija-o-stranice-windows

Да ещё в декабре 2020 года Apple, Google, Microsoft, Mozilla и Opera заблокировали в своих браузерах MITM-сертификат Казахстана. Сертификат Минцифры РФ к MITM-сертификатам не относится, он подтверждает лишь подлинность государственных и банковских сайтов на территории РФ.

Как же поверит, если браузер не подтверждает защиту от отслеживания и показывает предупреждение?

Раз речь о корпоративных сертификатах, то они установлены администратором в доверенные.

Выделить отдельную виртуалку для минцифры, пусть подавится

Вася и прочие до меня не доберутся, я им попросту не интересен

Историй как всяких Неуловимых Джо вывозили из Тая прямиком в Васину тюрьму, ну довольно таки много. Причем там были далеко не мафиози международного масштаба.

а вот господин майор Евсюков всегда под боком.

А если ты вообще не интересен никому, то тобой и господин майор вряд ли заинтересуется.

Ответ на Что такое искусственный интеллект, как он работает? (комментарий) и Сертификат от минцифры (комментарий).

Не, у меня отличает. Чётко пишет именно что сертификат self-signed и рисует кнопку «Proceed to [URL] (Risky)»:

Because there’s an issue with the site’s certificate. Sites use certificates issued by a certificate authority to prove they’re really who they say they are. This site’s certificate is self-signed. It wasn’t issued by a recognized certificate authority – so we don’t trust it by default.

Error Code: MOZILLA_PKIX_ERROR_SELF_SIGNED_CERT

В случае с отсутствующим сертификатом ошибка и текст другие, соответственно.

Void Linux, Firefox 152.0

На андроиде не показывает код ошибки, только текст. Self-signed и unknown issuer это разные ошибки. В первом случае сертификат подписан своим собственным ключом. Фактически это позволяет проверить только то, что открытый ключ не поврежден при передаче.
Во втором случае у сертфиката есть издатель, но он не известен браузеру/не находится в списке доверенных. Еще по идее у браузера мог бы быть список недоверенных издателей (явно забаненых), и тогда текст ошибки тоже должен бы был отличаться.

не совсем :) в ssl соединениях комбинированная шифрация эффективно совмещает плюсы симметричной и несимметричной…
несимметричное шифрование защищено, но тяжело и гонять гигабайты не предназначено.
симметричное с точностью до наобормот. плюс аппаратно ускоряется.
так что генерится «большой» сессионый ключ симметричного шифрования, и передается через нессиметричное шифрование.
а гигабайты шифруются уже быстрым симметричным с онным ключом.
ключ через определенное время/объем ключ обновляется.

сессионый ключ симметричного шифрования
а гигабайты шифруются уже быстрым симметричным с онным ключом.

Вот именно - данные шифруются симметричным шифрованием, о чём я и писал. Передача ключа через другой канал никак не превращает это шифрование в несимметричное или гибридное.

Отдельный браузер для сайтов, которые не работают без сертификата Минцифры. Соответственно, отдельному браузеру отдельное хранилище сертификатов и туда импортировать всё, что нужно.

А вообще, конечно, было бы здорово, если бы было можно ограничить один корневой сертификат доменами .ru/.su/.рф, но, насколько я знаю, ни один браузер так не умеет.

Во-первых, в случае MTIM от «не Пети» пострадает и будет орать весь мир, а не одна страна. Это более сильный сдерживающий фактор.

Во-вторых, Петя рядом, а «не Петя» далеко. Помимо кражи данных есть ещё риски всяких последствий в реальности от взломщика, если это государство. А у «не Петь» руки коротки.

Есть ли какие-то альтернативные способы обеспечения работоспособности https без сертификата минцифры, которые можно было бы рекомендовать к внедрению данным фирмам?

Любой сертификат, который сделан не тобой, это не твой сертификат. К Минцифре ты хоть формально можешь претензию выставить, а что и как ты выставишь тому же Let’s Encrypt большой вопрос.

Этот ваш петя в своё время подарил, лично мне сертификат называемый ваучер

А куда ты его дел? А некоторые скупили и, теперь, в ТОП100 (плюс/минус)... Так что сам по себе ваучер, уж если дошло до него, может и не плох, только вот что с ним делать знали не многие. Хотя, местами, ещё и возможность тоже была нужна, да, а то могли за него какой-нибудь неликвид дать, тоже было.