Сертификаты Минцифры (читают 6)

[Bikito]

А если на провайдере Вы подмените сертификат домена, то он не будет соответствовать домену + его будет видно прямо в свойствах вашего браузера.

Подмена будет в свойствах браузера, но замочек будет зелёным! Вы же сами разрешили Минцифры подтверждать подлинность ЛЮБЫХ сайтов.

В общем, ваша идея понятна, но выглядит не очень реализуемой.

Она прямо сейчас реализуется в корпоративных сетях. Компания принудительно ставит свои сертификаты на рабочие компьютеры и читает всё что отправляют её сотрудники на другие сайты, чтобы бороться с утечками информации.

 

[And86]

тогда не трогайте about:config, просто поставте сертификаты в нужный профиль браузера

Я на таком уровне глубоких настроек уже не понимаю сам ничего, просто камо говорит так:
То есть непонятно тогда что точно делать с этими настройками, все пишут несколько своих вариантов вкл/выкл.
По умолчанию у меня так. оба в положении true:
security.enterprise_roots.enabled = true (и стоит замок, не меняется)
security.certerrors.mitm.auto_enable_enterprise_roots= true

Убедись, что в about:config обоих профилей security.enterprise_roots.enabled = false — иначе Firefox начнёт подтягивать корневой сертификат из системного хранилища, и смысл разделения пропадёт.

Или "из системного хранилища" речь про Windows? Или из системного хранилища Firefox?

 

[Okachimachi]

Я на таком уровне глубоких настроек уже не понимаю сам ничего, просто камо говорит так:
То есть непонятно тогда что точно делать с этими настройками, все пишут несколько своих вариантов вкл/выкл.

не трогайте их, вот описание этих опций

Вариант: отдельный профиль Firefox с корневым сертом Минцифры

Firefox начнёт подтягивать корневой сертификат из системного хранилища

какой смысл отключать импорт из хранилища ос в фф, если сертификаты уже установлены в профиль фф пользователем, а в хранилище ос их нет?

з.ы. производитель ос может, конечно, добавить сертификат НУЦ в отозванные, но нельзя исключать того же со стороны разработчиков браузеров

 

[камо]

какой смысл отключать импорт из хранилища ос в фф, если сертификаты уже установлены в профиль фф пользователем, а в хранилище ос их нет?

Имеет смысл НЕ ставить серты Минцифры в операционную систему - воообще.
И использовать для ЛК банков отдельный профиль FireFox /с этими сертами/.

https://support.mozilla.org/ru/kb/kak-otklyuchit-parametr-enterprise-roots
Firefox может отображать ошибку TLS-соединения, когда антивирусная программа препятствует отправке данных в ваш браузер. Это происходит, когда ваше антивирусное программное обеспечение не может зарегистрироваться в Firefox в качестве действующего издателя TLS-сертификатов.

В качестве решения проблемы Mozilla добавила параметр Enterprise Roots в Firefox. Это параметр можно использовать для импорта любых корневых центров сертификации (CA), которые были добавлены в операционную систему для устранения ошибки TLS-подключения. Вы можете определить, использует ли веб-сайт корневой сертификат, нажав значок замка

Информация о сайте в адресной строке.При возникновении ошибки подключения по протоколу TLS Firefox автоматически включит параметр Enterprise Roots и попытается подключиться снова. Если проблема устранена, параметр Enterprise Roots остается включенным. Однако вы можете захотеть отключить это поведение, поэтому в этой статье объясняется, как это сделать без ущерба для безопасности.

Вы можете изменить такое поведение и запретить Firefox автоматически включать импорт CA, которые были добавлены в операционную систему при возникновении ошибки TLS-соединения,

Чтобы предотвратить автоматический импорт CA, добавленных в операционную систему, каждый раз при перезапуске Firefox:

1. Введите about:config в адресной строке и нажмите Enter.
   Может появиться страница с предупреждением. Нажмите Принять риск и продолжить, чтобы перейти на страницу about:config.
2. Введите enterprise в поле Поиск над списком параметров.
3. Нажмите кнопку Переключить
   
   рядом с параметром security.certerrors.mitm.auto_enable_enterprise_roots, чтобы изменить его значение с true на false.

ЗЫ - кто-то писал, что Антивирус Касперского автоматом ставит/добавляет в ОС серты Минцифры??? Как удобно....

 

[камо]

а в хранилище ос их нет?

А вдруг уже есть? Именно для этого параноикам и требуется отключить автоматику использования браузером сертов из ОС. Чтобы иметь два профиля - чистый для инетсерфинга и сертифицированный для ЛК банков.