Сертификаты Минцифры (читают 20)

[Nino]

Я думаю, что Вам будет проще установить сертификаты в хранилище системных сертификатов и не заморачиваться остальным

Конечно, но я в папку, автоматом, скачала. А хранилище поискать где то в папках системы ?

 

[lostintime]

А хранилище поискать где то в папках системы ?

 

[banki-777]

Firefox

Спасибо, нашла по вашему скрину все, но у меня там и так true стояло, как в скрине форумчанина выше, и не открывается при этом ВТБ, надо на false наоборот переключить, как в вашем скрине? Чего-то не понимаю ничего!

 

[lostintime]

и не открывается при этом ВТБ, надо на false наоборот переключить, как в вашем скрине?

Вы установили оба сертификата в этот профиль Файрфокс? Если установили, то при любом значении должно открывать втб.

 

[banki-777]

Вы установили оба сертификата этот профиль Файрфокс?

Установила 2 корневых сертификата в единственный профиль ФФ, который для этого и создала. И все абсолютно банки открываются, кроме ВТБ - просто белая пустая страница.

 

[lostintime]

Попробуйте изменить на противоположное значение. Но конечно тут что-то не так. По фотографии тяжело определить, в чём конкретно у вас проблема.

 

[lostintime]

У вас так в хранилище сертификатов?

 

[banki-777]

Попробуйте изменить на противоположное значение.

ничего не поменялось

У вас так в хранилище сертификатов?

У меня только последний почему-то с вашего скрина, хотя 2 скачивала и импортировала туда. но все банки другие прекрасно открываются.

 

[lostintime]

ничего не поменялось

Да и не должно было.

У меня только последний почему-то с вашего скрина

Russian Trusted Root CA так же устанавливайте.

 

[banki-777]

Russian Trusted Root CA так же устанавливайте.

Вот он и был у меня, и он был достаточен для всех других банков) Оказалось, что для ВТБ не хватало вот именно этого: russian_trusted_sub_ca_2024
Спасибо большое!
PS: И сразу же ВТБ прислал смс, что осуществлен заход через Firefox Windows)

 

[And86]

Ну да, ну да ... все так и думают. На это и расчитано...
Психологи не зря хлеб едят)

Вошел я в Альфу на андроиде через Оперу. Что дальше? Да, пишет, что соединениние небезопасно. Да, рекомендует заставляет установить сертификат. Но все работает. Или что-то не так?

 

[And86]

МКБ нормально открывается и работает через Firefox (да, он предупредит, что сертификат странный, но не мешает открыть)

Народ не знает даже базовых понятий, https/http, чем в чем особенности, какие потенциальные последствия, в чем отличие открывать без шифрования сайт с рецептами и сайт личного кабинета банка

 

[And86]

Таким браузером можно будет безопасно пользоваться только для сайтов с сертификатом МЦ. Любой другой https сайт - уже есть риски перехвата трафика.

Тут я не понимаю. Ведь сайт, который не находится в юрисдикции минцифры, он по прежнему открывается по международным сертификатам. Как на него влияет наличие в каталоге браузера сертификатов минцифры? Не будет же при открытие какого нибудь https://vc.ru/services/3061209-problemy-s-sertifikatami-bankov-v-chrome по клику по замочку показывать "открыто с помощью сертификата минцифры"? Нет, он показывает сертификат Let's Encrypt. А "минцифра" продолжает себе лежать в своей папке браузера вместе с другими сертификатами и не работает на этом сайте.
Или это по другому работает?

 

[Bikito]

Ведь сайт, который не находится в юрисдикции минцифры, он по прежнему открывается по международным сертификатам. Как на него влияет наличие в каталоге браузера сертификатов минцифры?

Корневой сертификат в браузере или ОС имеет высший уровень доверия. Он дает право тому, кто владеет его приватным ключом, выпускать сертификаты абсолютно для любых доменов в мире

 

[serge3000ss]

Он дает право тому, кто владеет его приватным ключом, выпускать сертификаты абсолютно для любых доменов в мире

Но, если я правильно понимаю, мало выпустить сертификат, например, для google.com, нужно этот сертификат на данном домене разместить, только тогда обмен шифрованным трафиком через https пойдёт через этот сертификат (и будет потенциально доступен "человеку посередине").

Впрочем, не буду ничего утверждать, я не специалист в этих вопросах.

 

[Bikito]

Но, если я правильно понимаю, мало выпустить сертификат, например, для google.com, нужно этот сертификат на данном домене разместить, только тогда обмен шифрованным трафиком через https пойдёт через него.

На уровне провайдера можно перехватывать ваши сетевые пакеты, идущие к google.com, на лету генерировать поддельный сертификат для google.com и читать что вы отправляете.

 

[ЛараКрофт]

у меня без сертов на андройде все ок

Не знаю, меня на андроиде Уралсиб вывел из себя, постоянно угрожая не открытием МП, пока не установлю сертификаты МЦ.

 

[And86]

Для того, что бы профиль с госсертификатами не тащил сертификаты из хранилища сертификатов в ОС (мы же для того ставим отдельный профиль) лучше сделать: security.enterprise_roots.enabled; false
security.certerrors.mitm.auto_enable_enterprise_roots; false

Говорят, firefox точно вообще не тащит в ОС ничего из своих папок?
Я отдельный профиль firefox для госсайтов хочу, чтобы из него, этого отдельного профиля, корневой сертификат НЕ "подтянулся" в основной профиль firefox. А в хранилище ОС у меня и так не должно быть корневого сертификата минцифры и я не хочу, чтобы он там был.
Тогда в итоге, подскажите, что все таки точно должно быть тру и фалс из этих двух параметров и из двух профилей. Я запутался.
И еще, у меня security.enterprise_roots.enabled=true залочен, просто не могу его переключать. Что надо сделать, чтобы его разлочить? Не залочен только security.certerrors.mitm.auto_enable_enterprise_roots

 

[Okachimachi]

Я отдельный профиль firefox для госсайтов хочу, чтобы из него, этого отдельного профиля, корневой сертификат НЕ "подтянулся" в основной профиль firefox. А в хранилище ОС у меня и так не должно быть корневого сертификата минцифры

тогда не трогайте about:config, просто поставте сертификаты в нужный профиль браузера

 

[serge3000ss]

На уровне провайдера можно перехватывать ваши сетевые пакеты, идущие к google.com

Которые зашифрованны настоящим сертификатом google.com? И чем Вы их на провайдере расшифруете?
А если на провайдере Вы подмените сертификат домена, то он не будет соответствовать домену + его будет видно прямо в свойствах вашего браузера.
В общем, ваша идея понятна, но выглядит не очень реализуемой. По моему мнению.