Сертификаты Минцифры (читают 9)

[And86]

Если по схеме профиля Firefox ставить сертификаты в Firefox, но на Linux, тогда надо качать сертификаты с гос услуг из раздела для Linux? Или виндоусовские подойдут, ведь это не интеграция в ОС?

 

[mirmik]

Да, как уже выше ответили, прямо в профиль. Когда откроется Диспетчер сертификатов/Локальные сертификаты, там будет два окна - Windows и Пользовательский. Вот в Польз-й и установил один серт.
Не хотелось ЯБраз ставить, раз уж есть Эдж в системе, пусть он будет "банковским" )

А Windows оставить включенным?

 

[Bikito]

Если по схеме профиля Firefox ставить сертификаты в Firefox, но на Linux, тогда надо качать сертификаты с гос услуг из раздела для Linux? Или виндоусовские подойдут, ведь это не интеграция в ОС?

На госуслугах форматы для Windows и Linux разные, но Firefox оба формата примет.

 

[mirmik]

Добавил один корневой ( без года в имени) Проверил на ВТБ - сайт открылся

 

[And86]

Добавил один корневой ( без года в имени) Проверил на ВТБ - сайт открылся

У меня именно сайт втб открывался с одним корневым. Но страница личного кабинета была даже не с ошибкой, а просто белый пустой лист

 

[mirmik]

У меня именно сайт втб открывался с одним корневым. Но страница личного кабинета была даже не с ошибкой, а просто белый пустой лист

Значит одного недостаточно?

 

[And86]

Значит одного недостаточно?

https://habr.com/ru/articles/1066440/ и ранее в теме писали.
В основном достаточно, но втб отличился, может еще кто, нужен еще "промежуточный" выпускающий russian_trusted_sub_ca_2024.cer

 

[sergey_pushkarev]

Вот он и был у меня, и он был достаточен для всех других банков) Оказалось, что для ВТБ не хватало вот именно этого: russian_trusted_sub_ca_2024

А еще сайты могут продолжать не открываться по простой причине, которую тут почему-то не отмечали: после оперирования сертификатами надо не забыть почистить кэш браузера.

Прошу прощения, что сразу не ответил )

 

[sergey_pushkarev]

https://support.mozilla.org/ru/kb/kak-otklyuchit-parametr-enterprise-roots
Firefox может отображать ошибку TLS-соединения, когда антивирусная программа препятствует отправке данных в ваш браузер. Это происходит, когда ваше антивирусное программное обеспечение не может зарегистрироваться в Firefox в качестве действующего издателя TLS-сертификатов.

В качестве решения проблемы Mozilla добавила параметр Enterprise Roots в Firefox. Это параметр можно использовать для импорта любых корневых центров сертификации (CA), которые были добавлены в операционную систему для устранения ошибки TLS-подключения. Вы можете определить, использует ли веб-сайт корневой сертификат, нажав значок замка

Информация о сайте в адресной строке.При возникновении ошибки подключения по протоколу TLS Firefox автоматически включит параметр Enterprise Roots и попытается подключиться снова. Если проблема устранена, параметр Enterprise Roots остается включенным. Однако вы можете захотеть отключить это поведение, поэтому в этой статье объясняется, как это сделать без ущерба для безопасности.

Вы можете изменить такое поведение и запретить Firefox автоматически включать импорт CA, которые были добавлены в операционную систему при возникновении ошибки TLS-соединения,

Чтобы предотвратить автоматический импорт CA, добавленных в операционную систему, каждый раз при перезапуске Firefox:

1. Введите about:config в адресной строке и нажмите Enter.
   Может появиться страница с предупреждением. Нажмите Принять риск и продолжить, чтобы перейти на страницу about:config.
2. Введите enterprise в поле Поиск над списком параметров.
3. Нажмите кнопку Переключить
   
   рядом с параметром security.certerrors.mitm.auto_enable_enterprise_roots, чтобы изменить его значение с true на false.

ЗЫ - кто-то писал, что Антивирус Касперского автоматом ставит/добавляет в ОС серты Минцифры??? Как удобно....

Какая-то кривоватая инструкция по этой ссылке. В смысле, написана будто потоком сознания. Смотрите, алгоритм, который в ней изложен, дублируется два раза. Разница в том, что во втором дубле предлагается ставить браузеру эти установки каждый раз при его (браузера) перезапуске ;-)
Ну и еще в том, что в первом дубле так:

А во втором дубле так:

Как-то мало доверия подобному. Там внизу авторы, но по стилю что-то похоже на творчество нейросети. Ими же сейчас стараются писать все, на что времени не хватает.
К тому же там конкретно про сертификатную войну Файрфокса с антивирусами. Это немного не наш случай. Я все же думаю, что enterprise_roots надо разрешать.

 

[камо]

что enterprise_roots надо разрешать.

Если я верно понимаю, то имеется всего два параметра.
Первый вкл/откл использование браузером серта из ОС.
Второй запрещает/разрешает автоматическое включение первого параметра без ведома пользователя.
1 - security.enterprise_roots.enabled = false — иначе Firefox начнёт подтягивать корневой сертификат из системного хранилища, и смысл разделения профилей пропадёт
2 - security.certerrors.mitm.auto_enable_enterprise_roots = false - чтобы предотвратить автоматический импорт сертов, добавленных в операционную систему, каждый раз при перезапуске Firefox

Если пользователь может гарантированно исключить какую-либо неконтролируемую установку сертов Минцифры в ОС, то параметры можно оставить в true.....

 

[камо]

нужен еще "промежуточный" выпускающий russian_trusted_sub_ca_2024.cer

Я добавил в браузер три серта. Корневой и оба sub.

 

[And86]

Если пользователь может гарантированно исключить какую-либо неконтролируемую установку сертов Минцифры в ОС, то параметры можно оставить в true.....

Но теперь это проверяется на практике. при сомнениях, что в систему мог прописаться корневой сертификат минцифры и основной профиль файрфокс его подтянул, всегда можно просто попытаться открыть любой сайт госбанков. Если он не открываться, значит и нет корневого сертификата.

Подмена будет в свойствах браузера, но замочек будет зелёным! Вы же сами разрешили Минцифры подтверждать подлинность ЛЮБЫХ сайтов.

Просто интересно, если такое гипотетически могло случится, подменить сертификат, к примеру гугла, таким образом было бы можно. Но там будет все таки при наведении мыши сертификат какой? Нельзя же подменить и подписать его обратно Google Trust Services?