Сертификаты Минцифры (читают 5)

[Bikito]

А если на провайдере Вы подмените сертификат домена, то он не будет соответствовать домену + его будет видно прямо в свойствах вашего браузера.

Подмена будет в свойствах браузера, но замочек будет зелёным! Вы же сами разрешили Минцифры подтверждать подлинность ЛЮБЫХ сайтов.

В общем, ваша идея понятна, но выглядит не очень реализуемой.

Она прямо сейчас реализуется в корпоративных сетях. Компания принудительно ставит свои сертификаты на рабочие компьютеры и читает всё что отправляют её сотрудники на другие сайты, чтобы бороться с утечками информации.

 

[And86]

тогда не трогайте about:config, просто поставте сертификаты в нужный профиль браузера

Я на таком уровне глубоких настроек уже не понимаю сам ничего, просто камо говорит так:
То есть непонятно тогда что точно делать с этими настройками, все пишут несколько своих вариантов вкл/выкл.
По умолчанию у меня так. оба в положении true:
security.enterprise_roots.enabled = true (и стоит замок, не меняется)
security.certerrors.mitm.auto_enable_enterprise_roots= true

Убедись, что в about:config обоих профилей security.enterprise_roots.enabled = false — иначе Firefox начнёт подтягивать корневой сертификат из системного хранилища, и смысл разделения пропадёт.

Или "из системного хранилища" речь про Windows? Или из системного хранилища Firefox?

 

[Okachimachi]

Я на таком уровне глубоких настроек уже не понимаю сам ничего, просто камо говорит так:
То есть непонятно тогда что точно делать с этими настройками, все пишут несколько своих вариантов вкл/выкл.

не трогайте их, вот описание этих опций

Вариант: отдельный профиль Firefox с корневым сертом Минцифры

Firefox начнёт подтягивать корневой сертификат из системного хранилища

какой смысл отключать импорт из хранилища ос в фф, если сертификаты уже установлены в профиль фф пользователем, а в хранилище ос их нет?

з.ы. производитель ос может, конечно, добавить сертификат НУЦ в отозванные, но нельзя исключать того же со стороны разработчиков браузеров