Сертификаты Минцифры (читают 5)

[Bikito]

А если на провайдере Вы подмените сертификат домена, то он не будет соответствовать домену + его будет видно прямо в свойствах вашего браузера.

Подмена будет в свойствах браузера, но замочек будет зелёным! Вы же сами разрешили Минцифры подтверждать подлинность ЛЮБЫХ сайтов.

В общем, ваша идея понятна, но выглядит не очень реализуемой.

Она прямо сейчас реализуется в корпоративных сетях. Компания принудительно ставит свои сертификаты на рабочие компьютеры и читает всё что отправляют её сотрудники на другие сайты, чтобы бороться с утечками информации.

 

[And86]

тогда не трогайте about:config, просто поставте сертификаты в нужный профиль браузера

Я на таком уровне глубоких настроек уже не понимаю сам ничего, просто камо говорит так:
То есть непонятно тогда что точно делать с этими настройками, все пишут несколько своих вариантов вкл/выкл.
По умолчанию у меня так. оба в положении true:
security.enterprise_roots.enabled = true (и стоит замок, не меняется)
security.certerrors.mitm.auto_enable_enterprise_roots= true

Убедись, что в about:config обоих профилей security.enterprise_roots.enabled = false — иначе Firefox начнёт подтягивать корневой сертификат из системного хранилища, и смысл разделения пропадёт.

Или "из системного хранилища" речь про Windows? Или из системного хранилища Firefox?

 

[Okachimachi]

Я на таком уровне глубоких настроек уже не понимаю сам ничего, просто камо говорит так:
То есть непонятно тогда что точно делать с этими настройками, все пишут несколько своих вариантов вкл/выкл.

не трогайте их, вот описание этих опций

Вариант: отдельный профиль Firefox с корневым сертом Минцифры

Firefox начнёт подтягивать корневой сертификат из системного хранилища

какой смысл отключать импорт из хранилища ос в фф, если сертификаты уже установлены в профиль фф пользователем, а в хранилище ос их нет?

з.ы. производитель ос может, конечно, добавить сертификат НУЦ в отозванные, но нельзя исключать того же со стороны разработчиков браузеров

 

[камо]

какой смысл отключать импорт из хранилища ос в фф, если сертификаты уже установлены в профиль фф пользователем, а в хранилище ос их нет?

Имеет смысл НЕ ставить серты Минцифры в операционную систему - воообще.
И использовать для ЛК банков отдельный профиль FireFox /с этими сертами/.

https://support.mozilla.org/ru/kb/kak-otklyuchit-parametr-enterprise-roots
Firefox может отображать ошибку TLS-соединения, когда антивирусная программа препятствует отправке данных в ваш браузер. Это происходит, когда ваше антивирусное программное обеспечение не может зарегистрироваться в Firefox в качестве действующего издателя TLS-сертификатов.

В качестве решения проблемы Mozilla добавила параметр Enterprise Roots в Firefox. Это параметр можно использовать для импорта любых корневых центров сертификации (CA), которые были добавлены в операционную систему для устранения ошибки TLS-подключения. Вы можете определить, использует ли веб-сайт корневой сертификат, нажав значок замка

Информация о сайте в адресной строке.При возникновении ошибки подключения по протоколу TLS Firefox автоматически включит параметр Enterprise Roots и попытается подключиться снова. Если проблема устранена, параметр Enterprise Roots остается включенным. Однако вы можете захотеть отключить это поведение, поэтому в этой статье объясняется, как это сделать без ущерба для безопасности.

Вы можете изменить такое поведение и запретить Firefox автоматически включать импорт CA, которые были добавлены в операционную систему при возникновении ошибки TLS-соединения,

Чтобы предотвратить автоматический импорт CA, добавленных в операционную систему, каждый раз при перезапуске Firefox:

1. Введите about:config в адресной строке и нажмите Enter.
   Может появиться страница с предупреждением. Нажмите Принять риск и продолжить, чтобы перейти на страницу about:config.
2. Введите enterprise в поле Поиск над списком параметров.
3. Нажмите кнопку Переключить
   
   рядом с параметром security.certerrors.mitm.auto_enable_enterprise_roots, чтобы изменить его значение с true на false.

ЗЫ - кто-то писал, что Антивирус Касперского автоматом ставит/добавляет в ОС серты Минцифры??? Как удобно....

 

[камо]

а в хранилище ос их нет?

А вдруг уже есть? Именно для этого параноикам и требуется отключить автоматику использования браузером сертов из ОС. Чтобы иметь два профиля - чистый для инетсерфинга и сертифицированный для ЛК банков.

 

[камо]

Форум Касперского - серты Минцифры

 

[Okachimachi]

кто-то писал, что Антивирус Касперского автоматом ставит/добавляет в ОС серты Минцифры??? Как удобно....

Зуб даёте, что антивирус эту опцию обратно не переключит?

 

[Leshiko]

В целом, меня удивляет, как люди с радостью несут свои персональные данные и переписки иностранным конторам, но если то же самое просят свои, то это уже что-то другое.

Иностранные конторы ничем не грозят россиянам, т.к. просто-напросто не могут их посадить.
А вот участившееся применение обратной силы закона в России - явление уже не редкое. Когда вдруг неожиданно какие-то люди, события или взгляды вдруг получают статус "вне закона" и обыватель должен или тщательно подчистить всю историю и архивы или рискует проехать в места не столь отдалённые просто потому, что какому-то лейтенантику захотелось побыстрее прикрутить новую звёздочку на погоны за счёт раздутого дела.
Одни только реестры запрещёнки, которые хрен отследишь, чего стоят. Например, "Федеральный список экстремистских материалов" содержит уже более 5000 позиций (ссылка кликабельна, можете полюбопытствовать). И то, что вчера считалось "свободой слова" уже не свобода, а грозит уголовкой.

... но если то же самое просят свои...

Я этих из Минцифры и т.п. за "своих" не считаю.