Сертификаты Минцифры (читают 5)

[lostintime]

в фф тоже открывается:

Зачем вы искусственно снижаете безопасность браузера?

 

[lostintime]

А нет ли соображений, почему?

Затем, что далеко не у всех пользователей на сегодняшнее время установлены российские сертификаты и далеко не все пользуются ЯБраузером. Пока зарубежный сертификат не отозван, то его и используют.

 

[камо]

Как работает сертификат -
https://club.dns-shop.ru/blog/t-326...ifikat-prosto-o-zaschite-dannyih-v-internete/

 

[Baki]

OCSP это онлайн-запрос в сеть "действителен ли серт" (скорее всего по факту уже не используется)

У меня установлен кастомный DNS, который фиксирует все запросы в сеть с моих устройств. Так вот, после установки сертов Минцифры в отдельный Firefox на компьютере, появились регулярные запросы:





Интересно получается: браузер стучит в удостоверяющий центр адреса ресурсов, которые именно я (со своего IP) посещаю? Никто об этой уязвимости протокола особо не говорит.

Я у себя в сети заблокировал любые запросы на voskhod.ru, и ничего не сломалось.

 

[Baki]

Побочный эффект - потребовалось очистить кэш Хрома, и слетели все авторизации

В следующий раз можно прицельно сбросить кэш именно сертификатов и параметров SSL.

В Хроме открыть chrome://net-internals/ -> Вкладка Domain Security Policy -> ввести адрес, нажать кнопку -> при следующем заходе можно будет обойти ошибку сертификата (если он не установлен)

 

[Froz]

https://t-capital-funds.ru - сертификат отозван

Уточняю - сертификат "Actalis" (Итальянский удостоверяющий центр) этого сайта досрочно отозван в базе "CRLite" Firefox.
В намного более мелкой базе "CRLSets" семейства Chromium-браузеров (MS Edge, Chrome, Я-Браузер и т.п.) - пока нет, там задержка до нескольких месяцев, или вообще до истечения срока того серта (31 Dec 2026).

Всё аналогично ранее описанной истории с Hellenic-сертами (Греческий УЦ) банка РСБ https://rsb.ru/ и сайта удмуртских платежей https://udmurtia.payregions.ru/ .

И опять же наличие или отсутствие сертов минцифры в системе или в браузере - здесь никак не влияет.


Решение по таким сайтам для ФФ (читать отсюда):

1. Или временно (угроза безопасности при посещении других сайтов) отключать список проверки CRLite в about:config - security.pki.crlite_mode - 0. (в FF Mobile: chrome://geckoview/content/config.xhtml)

2. Или в десктоп-версии ФФ создавать отдельный юзер-профиль с отключенной базой CRLite через "Меню" - "Создать новый профиль" и переключаться между ними.

3. Или долбать техподдержку такого сайта чтобы сисадмин проникся проблемой "FF CRLite" и сменил серт на незабаненный. Шаблон запроса:

"Добрый день. На вашем сайте [АДРЕС_САЙТА] аннулирован SSL-сертификат, выпущенный центром [НАЗВАНИЕ_ИЗДАТЕЛЯ]. Из-за этого в Firefox сайт перестал открываться с ошибкой SEC_ERROR_REVOKED_CERTIFICATE. В Chromium-браузерах (Chrome, Яндекс.Браузер, Edge) доступ пока сохраняется из-за задержки обновления списков отзывов CRLSets, но сайт заблокируется и там по мере их синхронизации. Передайте, пожалуйста, это сообщение системному администратору для перевыпуска SSL-сертификата."

Но на 99% ТП отмахнётся "смените браузер", а админ перевыпустит забаненный серт только по сроку его окончания.

 

[Froz]

ТП ответила "смените браузер", видимо админу даже не отправляли

По моей истории с Hellenic-сертом сайта платежей после повторной просьбы передать сисадмину с доп. аргументами, похоже первая линия ТП пробилась. Но ответ админа не радует (см спойлер) . Ну и фиг с ними.

Спойлер: Скрин

 

[lostintime]

Интересно получается: браузер стучит в удостоверяющий центр адреса ресурсов, которые именно я (со своего IP) посещаю? Никто об этой уязвимости протокола особо не говорит.

Firefox делает запросы к центрам сертификации по протоколу OCSP в реальном времени, что бы узнать статус сертификата сайта, который вы хотите посетить. Это называется стучит? Не хотите оперативно получать данные, отключайте этот механизм, раз в сутки или при запуске Firefox скачает базу CRLite и будет брать данные только оттуда.

 

[Froz]

Впору переименовывать тему в более обширное понятие типа "Сертификаты финтех-сайтов"

 

[cymax]

Все эти сертификаты отозваны с причиной (X509v3 CRL Reason Code) - superseded (0х04). Гугл в свои CRLSets не включает сертификаты с таким кодом отзыва по умолчанию. То есть в клонах Хрома эти сайты будут открываться вплоть до окончания срока действия сертификата. Но срок у них и заканчивается достаточно скоро.