Сертификаты Минцифры (читают 4)

[Okachimachi]

Установить сертификаты в отдельный фф на Андроиде можно так: https://habr.com/ru/posts/1070576/

 

[user26286]

Установить сертификаты в отдельный фф на Андроиде можно так: https://habr.com/ru/posts/1070576/

Интересно, но сложно даже для среднего пользователя.

 

[One_Man]

Установить сертификаты в отдельный фф на Андроиде можно так: https://habr.com/ru/posts/1070576/

Найдутся ли на форуме люди, способные понять написанное и воплотить?
Какие-то у меня сомнения на этот счёт.

 

[frpac11]

Какие нехорошие последствия могут возникнуть от установки сертификатов в ОС Андроид?

Предположим, что закрытый ключ корневого сертификата мин_цифры стал доступен третьей стороне и рассмотрим 2 случая:
а) сертификат установлен в ОС, т.е. глобально для всех браузеров;
б) сертификат установлен в выделенный браузер. Для сайтов, не требующих этот сертификат, используется другой браузер (свободный от серт-ов цифры).

В первом случае: каким бы браузером вы ни пользовались, третья сторона сможет расшифровывать все данные, передаваемые между веб-браузером и веб-сайтом (организовав MiTM-атаку) ссылка.
Во втором – только данные, передаваемые между выделенным браузером и сайтом.
При этом несущественно, какой именно корневой сертификат использует оригинальный сайт (цифры или др) (т.к. вся цепочка доверия сертификатов будет подменена при данном виде атаки).

 

[Struzhkin]

В первом случае: каким бы браузером вы ни пользовались, третья сторона сможет расшифровывать все данные, передаваемые между веб-браузером и веб-сайтом (организовав MiTM-атаку) ссылка.
Во втором – только данные, передаваемые между выделенным браузером и сайтом.
При этом несущественно, какой именно корневой сертификат использует оригинальный сайт (цифры или др) (т.к. вся цепочка доверия сертификатов будет подменена при данном виде атаки).

Да-да. А ещё мы все умрём.
Но ведь тот самый "товарищ майор" он же за всеми следит, больше заниматься же нечем!

 

[frpac11]

Я бы не стал использовать на устройстве, где я провожу финансовые операции, неизвестные приложения неизвестного автора. Даже если считать, что в них нет скрытого функционала (а он может вылезти спустя длительное время после инсталляции приложения), то в них могут быть уязвимости, про которые автор даже и не подозревает.

Уязвимости присутствуют везде. Здесь важно то, насколько их быстро находят и исправляют. Это зависит в том числе от активности сообщества, развивающего Open Source.
Оба проекта: Хромиум и ФФ имеют открытый исходный код (что позволяет применить статический анализ кода для поиска уязвимостей) и поддерживаются сообществами.
Рутениум – это сборка Хромиум, с вытекающими отсюда особенностями.

Сильная сторона ФФ (и браузеров на его основе) – это приватность (особенно после соот-й настройки), а для банкинга нужно иное:
банки собирают массу характеристик и идентификаторов устройства, без этого часть функций может не работать. ФФ умеет скрывать/подменять часть характеристик, Хромиум-подобные выдают почти все.

Вполне возможно, что в обозримом будущем для "безопасной" работы с рос-и банками потребуется завести отдельный смартфон/планшет, причем на "отечественных" ARM-процессорах (например С_киф) и с "отечественной" ОС (например А_врора).

 

[frpac11]

Да-да. А ещё мы все умрём.
Но ведь тот самый "товарищ майор" он же за всеми следит, больше заниматься же нечем!

Если можно получить дополнительную безопасность небольшими усилиями, т.е. установить сертификат в отдельный браузер | профиль, то почему бы это не сделать?
Это рациональный подход и в рамках обсуждаемой здесь темы, поэтому ваша реплика неуместна.
Слово "предположим" в начале текста не заметили?

 

[frpac11]

Интересно, но сложно даже для среднего пользователя.

Согласен.
Перед этим нужно еще настроить работу ADB (Android Debug Bridge ссылка), чтобы команды консоли вида adb shell ... выполнялись. Для этого:
1) Установить USB-драйвер на ПК ссылка
2) Установить инструмент под названием "Platform Tools" на ПК
3) На смартфоне включить режим "Отладка по USB"

При большом желании можно разобраться. На 4пда есть соответствующие темы. В ветке для своего устройства еще можно глянуть и вопросы задать. А здесь, как я вижу, это не приветствуется и вызывает раздражение.

 

[One_Man]

@frpac11, спасибо за содержательные комментарии. Вы, похоже, в этом профессионально разбираетесь.

Мне даже после прочтения Ваших постов сложновато понять что написано в статье vividsnow на Хабре https://habr.com/ru/posts/1070576/
Какая-то смесь команд ADB и программного кода на языке Perl. Для этого кода ещё нужен транслятор с языка Perl?

Относительно Рутениума. Вы сами используете этот браузер для мобильного интернет-банкинга? И если нет, то можете написать по какой причине и каким браузером для этих целей пользуетесь?

А здесь, как я вижу, это не приветствуется и вызывает раздражение.

Если Вы про комментарий Стружкина, то не принимайте близко к сердцу.

 

[lostintime]

Мне даже после прочтения Ваших постов сложновато понять что написано в статье vividsnow на Хабре https://habr.com/ru/posts/1070576/
Какая-то смесь команд ADB и программного кода на языке Perl. Для этого кода ещё нужен транслятор с языка Perl?

Какой сакральный смысл в таком геморрое (кроме любопытства и желания узнать что то новое), когда существует Яндекс Браузер для Андроид, в котором российские сертификаты зашиты в код?

 

[Struzhkin]

Какой сакральный смысл в таком геморрое (кроме любопытства и желания узнать что то новое), когда существует Яндекс Браузер для Андроид, в котором российские сертификаты зашиты в код?

Наверное сакральный смысл в том, что есть некоторая паранойя что через Я браузер на ваш компьютер сможет пролезть "товарищ майор". Доказательств нет, но "хочется верить".

 

[One_Man]

Какой сакральный смысл в таком геморрое (кроме любопытства и желания узнать что то новое)

Неужели нужен непременно сакральный? Обычного смысла, казалось бы, вполне достаточно.
Ох уж эта наша привычка употреблять расхожие выражения.

Что касается Яндекс браузера, то, видимо, многие будут именно им пользоваться.

Но вообще этот программный продукт, насколько я понял, имеет довольно сомнительную репутацию среди профессиональных программистов и айтишников. Слишком он "любопытствующий". Причем результаты проявления своего "любопытства" он отправляет на внешние сервера. На Хабре исследовалось его поведение.
https://habr.com/ru/articles/1064698/
Потом были разъяснения Яндекса https://habr.com/ru/companies/yandex/articles/1067964/
На Ютьюбе были какие-то видео на эту тему. Кому надо - найдёт.
Пусть каждый решает сам использовать или нет Яндекс браузер и, если использовать, то в какой степени и для каких целей.

 

[frpac11]

One_Man, Рутениумом пользуюсь, но опыт использования непродолжительный, т.к. проект новый: в августа этого года первый релиз состоялся.
Аргументом может выступать открытость исходного кода и публичность автора:
те, кто создают вредоносные приложения, обычно не открывают исходный код и не публикуют инструкций для самостоятельной сборки на авторитетных платформах.

 

[Bikito]

Т-Банк сделал зеркало банковского сайта

На страничке http://status.tbank.ru указан адрес актуальной ссылки, которая ведёт на рабочий сайт:

https://2w.ru/tbank-actual-mirror/ »

https://www.tbank-online.com/

Из-за проблем с сертификатами клиенты видят ошибки доступа к сайту и получают уведомления о небезопасности подключения.

Дайджест

Ждём когда остальные банки также сделают!

 

[Struzhkin]

Ждём когда остальные банки также сделают!

У ВТБ давно есть зеркало которое работает у меня в Хроме без МЦ:
https://online.vtbsbp.ru/login

И ещё втб.рф

 

[Froz]

У ВТБ давно есть зеркало

ещё https://online.sbpvtb.ru/ и может ещё есть.

Но с развитием скамеров стало трудно понять кто настоящие.