Новости
1K

Банки попросили сделать обязательной установку сертификатов Минцифры на смартфоны россиян

11
Аватар автора

Джамиль Махмутов

следит за новостями

Страница автора

Ассоциация банков России предложила сделать обязательной предустановку российских TLS-сертификатов на смартфоны россиян, пишет РБК.

Письмо с таким содержанием АБР отправила главе Минцифры Максуту Шадаеву. Его подлинность подтвердили в АБР, а в Минцифры заявили, что получили заявление, но решений пока не приняли.

В письме речь идет о российских сертификатах безопасности, которые выпускает Национальный удостоверяющий центр. Банки считают, что это расширит использование сертификатов среди россиян. Без сертификатов НУЦ у пользователей сейчас при входе на сайт появляется предупреждение «Подключение не защищено».

При этом в АБР предлагают разработать удобный установщик сертификатов для популярных ОС, включая Windows и Linux.

Банки также считают, что в Минцифры могли бы реализовать выдачу сертификатов по одной кнопке в Госуслугах, добавить автоматическую проверку и актуализацию уже выданных сертификатов и создать сеть международных удостоверяющих центров в «дружественных» странах.

Российские сертификаты существуют с сентября 2022 года, но многие компании начали переходить к ним только летом 2026. Из-за этого у россиян перестали открываться сайты российских банков в зарубежных браузерах. Дело в том, что иностранные браузеры используют свои сертификаты безопасности, а российские они по умолчанию считают небезопасными.

Новости, которые касаются всех, — в нашем телеграм-канале. Подписывайтесь, чтобы быть в курсе происходящего: @t_jrnl

интернетденьгибанкиэкономика
Джамиль МахмутовЧто думаете об инициативе российских банков?
  • Все еще в Т—ЖА разве «Подключение не защищено» это не так? Если нет независимого аудита, то доверия центру сертификации особо нет. Лучше использовать отдельный браузер и не "зашивать" сертификаты в доверенные на устройстве.13
  • Иван"Симантек ... всё также продолжает оказывать услуги "рукопожатного" ЦС." - ты сознательно недоговариваешь и подтасовываешь факты. После того как это вскрылось, браузеры исключили корневые сертификаты семантека. А потом он вообще обанкротил и закрыл это направление бизнеса, него нет больше таких центров.3
  • Boris KölnВсе, в ЯндексБраузере этот сертификат уже зашит, пусть там и остается3
  • Михаил ВикторовичBoris, кстати да. Яндекс Браузер предустановлен во ввозимых в Россию смартфонах, так что формально сертификаты есть.0
  • Все еще в Т—ЖAlexander, не в курсе этих кейсов, но как это повысит степень доверия к Мин. Цифры?0
  • соевый окатышВ заголовке про смартфоны, в самой новости про Windows/Linux, что за конченная манера писать так статьи?1
  • AlexanderМинцифры процедурно выдаёт DV-сертификаты примерно также как и любой другой УЦ -- после проверки контроля домена. (при этом вероятно целевая схема по доменам RU/РФ будет через госуслуги только фактическому администратору домена который его через ЕСИА подтвердил). Что самое худшее может случиться если МЦ выдаст единичные серты без ведома администратора домена для целей перехвата трафика? Просто опишите эту ситуацию. В современном мире никто не мешает разработчикам прибить гвоздями конкретный сертификат (хоть самоподписанный на 20 лет) для использования в бекенде мобильных приложений ("cert pining"), а для использования на сайте через браузер средствами HSTS и hsts-preload-list. И это вообще говоря не все методы (ещё есть DNS-SVCB, пусть спорный). Если разработчик сделает эти в целом несложные действия, то любые левые не аппрувнутые оператором ресурса серты в массовых импортных браузерах работать не будут. Все технологии для защиты от MITM подменой серта у разработчиков в наличии. Если МЦ будет выдавать такие серты массово для целей DPI это будет зашквар, но это невозможно сделать скрытно и доказательства формируются в 2 клика.0
  • AlexanderИван, Угу, переименовался в DigiCert , а Comodo в Sectigo те же API для партнёрского провижена, те же люди на Linkedin Первый инцидент был в 2015(тут решили что "один раз не писиэс7"), второй в 2017, а реальный полный отзыв чуть ли не в октябре 2018. три года всё ок у ребят было и только когда они в конец охренели было наконец какое-то решение. откройте виндовый список доверенных CA, один из корней симантек до сих пор там, в списке отзыва CRL не значится. интеерсно что прямо над ним Starcom, он норм, отозвагым отмечается.0
  • Alexanderсоевый, чтобы всех держать тревожными булочками "а власти скрывают"0
Вот что еще мы писали по этой теме
Сообщество