Сертификаты Минцифры (читают 4)

[Ubbe Ragnarsson]

В Chrome без сертификатов Минцифры открывается

О, супер! В браузере Brave, он на базе Chrome, сайт прекрасно открылся. Спасибо за подсказку.

 

[F1eryHeart]

А попробуйте пожалуйста открыть сайт банка Русский стандарт.
У меня он не открывается ни в FireFox, с установленными для него 3-мя сертификатами Минцифры, ни в Яндекс браузере на телефоне.

Впрочем, сертификат у них от Hellenic Academic and Research Institutions CA, который FireFox и Яндекс браузер, по крайне мере мобильный, на компьютере не пробовал, считают недействительным.

Спрашивал в ветке про Русский стандарт, и у кого-то сайт открывается нормально.

пк, яндекс, касперский
при первом открытии орет матом, после игнорирования всех предупреждений от касперского открывается, при повторных открытиях уже не спрашивает

 

[lostintime]

У сайта банка Русский стандарт сертификаты отозваны. А российские банк не подготовил видимо. Файрфокс работает с сертификатами строго, отозван, значит опасен, поэтому и не открывает, а браузеры, основанные на Хромиуме, у тех отзыв сертификатов идёт с большой задержкой, поэтому пока с ошибками, но работает.

 

[Froz]

Файрфокс работает с сертификатами строго, отозван, значит опасен, поэтому и не открывает, а браузеры, основанные на Хромиуме, у тех отзыв сертификатов идёт с большой задержкой, поэтому пока с ошибками, но работает.

Да. У ФФ строгий OCSP-список. Серты "Hellenic..." некоторых РФ-сайтов в нём сейчас забанены - войти не даст.
Кроме банка Рус Станд забанен например серт сайта моих местных удмуртских платежей (он тоже на серте Hellenic) на который идёт ссылка с местной версии сайта "Мои документы".
По сайту платежей на моё объяснение ситуации в эл.почту и предложение передать просьбу админу сменить серт, ТП ответила "смените браузер", видимо админу даже не отправляли .

В десктоп-FF в about:config для входа на такие сайты можно временно отключить проверку CRL в security.pki.crlite_mode из 2 в 0, но это снизит безопасность.
Как отдельно отключить именно OCSP-список я пока не нашёл - отключение security.OCSP.enabled в 0 не помогает (FF 157).
Или создать отдельный "профиль-контейнер для РФ-сайтов" как описывали выше "с локальными, несистемными сертами минцифры" в котором заодним отключить и CRL.

Это не имеет отношения к сертам минцифры.

 

[Froz]

временно отключить проверку CRL в security.pki.crlite_mode из 2 в 0

В FF Mobile about:config находится тут:
chrome://geckoview/content/config.xhtml
но т.к. создания отдельного профиля в Mobile нет - лучше переключать из 2 в 0 только временно.

Не отключайте ФФ CRLite насовсем - в отличие от браузеров на Chromium с его выборочной защитой CRLSets "только критически-важные отозванные серты" (2-3% от всех отзывов), ФФ проверяет почти все отзывы в мире, и без CRLite (в базе около 88% всех отзывов) браузер будет слеп перед мошенническими сайтами со скомпрометированными сертами.

В посте выше я неверно назвал базу отзывов "OCSP-списком". OCSP это онлайн-запрос в сеть "действителен ли серт" (скорее всего по факту уже не используется), а в современных версиях ФФ сейчас всё решает CRLite - локальная база отзывов crlite.filter в папке security_state. Поэтому отключение security.OCSP.enabled не влияло, а помог только security.pki.crlite_mode в 0.

 

[YuriS]

Нужны конкретные сайты, гадать по фото не наш стиль. Но скажу, что у меня на Файрфоксе с сайтами на российских сертификатах проблем пока не бывало. Главное, чтобы все три сертификата были установлены.

Например сайт банка Русский стандарт и Примсоцбанк. Могу их открывать только в браузере Microsoft Edge, что по умолчанию стоит в Win11, а в FF вот так только, как на скрине.

Спойлер: скрин

но раньше помню, что-то там писало’ мол на свой страх и риск можно было стр-цы такие открывать, а сейчас ничего не предлагает и только обратно можно на предыдущую страницу откатиться и вернуться назад.
Может кто в курсе, как сделать так, чтобы можно было дальше пройти по ссылке, может через незащищенное соединение или как-то по другому, сделать такие стр-цы, как исключение?

 

[Ubbe Ragnarsson]

Примсоцбанк

Эти ребята в Лисенке (+3 сертификата от Минцифры) открываются. Проверьте, что у вас установлены все три сертификата от Минцифры. Для Лисенка берем сертификаты из раздела «для Linux».
https://www.gosuslugi.ru/landing/crt

А про Русский стандарт с их отозванными греческими сертификатами выше уважаемые господа разъяснили (пользуемся Хромом, тут сертификаты Минцифры не нужны).

 

[Froz]

как сделать так, чтобы можно было дальше пройти по ссылке, может через незащищенное соединение или как-то по другому, сделать такие стр-цы, как исключение?

После версии ФФ гдето 14Х - никак, и кнопки "принять риск и продолжить" для отозванных сертов SEC_ERROR_REVOKED_CERTIFICATE теперь нет. Скорее всего и для BAD_SIGNATURE тоже. Добавление таких сайтов вручную в "доверенные сертификаты" не поможет. Решения и суть разницы в списках отзыва сертов Gecko и Chromium я объяснил двумя постами выше.

 

[YuriS]

Эти ребята в Лисенке (+3 сертификата от Минцифры) открываются. Проверьте, что у вас установлены все три сертификата от Минцифры. Для Лисенка берем сертификаты из раздела «для Linux».
https://www.gosuslugi.ru/landing/crt

А зачем мне устанавливать серты «для Linux», и я там вроде для виндов всё уже установил ещё раньше, если у меня другие сайты открываются, которые раньше не открывались. Сейчас ещё проверю ради интереса тогда.

 

[Okachimachi]

У ФФ строгий OCSP-список. Серты "Hellenic..." некоторых РФ-сайтов в нём сейчас забанены

в фф есть несколько каналов обновления списков отзыва сертификатов (настройка security.pki.crlite_channel)
в канале compat, установленном в андроиде, сертификат HARICA для https://www.rsb.ru/ пока не отозван