Сертификаты Минцифры (читают 7)

[Ubbe Ragnarsson]

В Chrome без сертификатов Минцифры открывается

О, супер! В браузере Brave, он на базе Chrome, сайт прекрасно открылся. Спасибо за подсказку.

 

[F1eryHeart]

А попробуйте пожалуйста открыть сайт банка Русский стандарт.
У меня он не открывается ни в FireFox, с установленными для него 3-мя сертификатами Минцифры, ни в Яндекс браузере на телефоне.

Впрочем, сертификат у них от Hellenic Academic and Research Institutions CA, который FireFox и Яндекс браузер, по крайне мере мобильный, на компьютере не пробовал, считают недействительным.

Спрашивал в ветке про Русский стандарт, и у кого-то сайт открывается нормально.

пк, яндекс, касперский
при первом открытии орет матом, после игнорирования всех предупреждений от касперского открывается, при повторных открытиях уже не спрашивает

 

[lostintime]

У сайта банка Русский стандарт сертификаты отозваны. А российские банк не подготовил видимо. Файрфокс работает с сертификатами строго, отозван, значит опасен, поэтому и не открывает, а браузеры, основанные на Хромиуме, у тех отзыв сертификатов идёт с большой задержкой, поэтому пока с ошибками, но работает.

 

[Froz]

Файрфокс работает с сертификатами строго, отозван, значит опасен, поэтому и не открывает, а браузеры, основанные на Хромиуме, у тех отзыв сертификатов идёт с большой задержкой, поэтому пока с ошибками, но работает.

Да. У ФФ строгий OCSP-список. Серты "Hellenic..." некоторых РФ-сайтов в нём сейчас забанены - войти не даст.
Кроме банка Рус Станд забанен например серт сайта моих местных удмуртских платежей (он тоже на серте Hellenic) на который идёт ссылка с местной версии сайта "Мои документы".
По сайту платежей на моё объяснение ситуации в эл.почту и предложение передать просьбу админу сменить серт, ТП ответила "смените браузер", видимо админу даже не отправляли .

В десктоп-FF в about:config для входа на такие сайты можно временно отключить проверку CRL в security.pki.crlite_mode из 2 в 0, но это снизит безопасность.
Как отдельно отключить именно OCSP-список я пока не нашёл - отключение security.OCSP.enabled в 0 не помогает (FF 157).
Или создать отдельный "профиль-контейнер для РФ-сайтов" как описывали выше "с локальными, несистемными сертами минцифры" в котором заодним отключить и CRL.

Это не имеет отношения к сертам минцифры.

 

[Froz]

временно отключить проверку CRL в security.pki.crlite_mode из 2 в 0

В FF Mobile about:config находится тут:
chrome://geckoview/content/config.xhtml
но т.к. создания отдельного профиля в Mobile нет - лучше переключать из 2 в 0 только временно.

Не отключайте ФФ CRLite насовсем - в отличие от браузеров на Chromium с его выборочной защитой CRLSets "только критически-важные отозванные серты" (2-3% от всех отзывов), ФФ проверяет почти все отзывы в мире, и без CRLite (в базе около 88% всех отзывов) браузер будет слеп перед мошенническими сайтами со скомпрометированными сертами.

В посте выше я неверно назвал базу отзывов "OCSP-списком". OCSP это онлайн-запрос в сеть "действителен ли серт" (скорее всего по факту уже не используется), а в современных версиях ФФ сейчас всё решает CRLite - локальная база отзывов crlite.filter в папке security_state. Поэтому отключение security.OCSP.enabled не влияло, а помог только security.pki.crlite_mode в 0.