- Специальный корреспондент
Начиная с середины 2022 года крупнейшие удостоверяющие центры прекратили выпуск и продление сертификатов для доменных зон .ru и.рф, а также сайтов российских компаний. Некоторые уже выданные сертификаты были отозваны. Теперь у пользователей при переходе на такие сайты каждый раз появляется предупреждение о том, что лучше туда не ходить. Компании тоже теряют часть трафика.
Почему сайты перестали быть «безопасными»
Итак, владельцы и посетители некоторых сайтов оказались в непростой ситуации. Браузеры блокируют переход по ссылке, выдают предупреждения и каждый раз требуют согласия на рискованные действия. Можно было бы и смириться, ведь это не самое страшное. Признавайтесь, игнорировали хоть раз такие предупреждения?
Тут есть проблема: люди привыкают к тревожному баннеру и теряют возможность отличать подлинные ресурсы от фишинговых. Бизнес тоже получает очередной удар — как ни крути, а такая заслонка безжалостно режет значительную часть с таким трудом полученного трафика. Что делать?
Безопасность подключения HTTPS (Hyper Text Transfer Protocol Secure) обеспечивается использованием TLS (Transport Layer Security) — протокола, который защищает обмен данными по сети. Он решает несколько важных задач: проверяет подлинность ресурса, управляет сессиями, заботится о шифровании всей передаваемой информации с помощью набора современных криптографических алгоритмов.
Ключевой элемент аутентификации сервера — TLS-сертификат. Это электронный документ, который содержит адрес ресурса, данные его владельца и закрепленный за ним открытый криптографический ключ. Достоверность заявленной информации подтверждается третьей стороной — выпустившим сертификат специальным доверенным центром (Certification Authority, CA).
Самые распространенные браузеры — Chrome, Firefox, Safari — предупреждают российских пользователей каждый раз при попытке зайти на сайты. Предостережение говорит, что ресурс не является доверенным, его посещение небезопасно. На самом деле, причина лишь в том, что браузер не может автоматически проверить подлинность предъявленного сертификата.
Происходит это потому, что разработчики операционных систем и браузеров помещают в специальный список лишь корневые сертификаты крупнейших глобальных центров. Все изданные на их основе сертификаты публикующих центров также автоматически считаются доверенными, а сайты, которые их используют, — безопасными. Недостающие сертификаты не устанавливаются автоматически (а по‑другому и быть не может). Пользователи должны добавлять дополнительные сертификаты самостоятельно.
Доверие к издателю TLS-сертификата — важное условие безопасного подключения. Наиболее известные и авторитетные центры — Sectigo, Digicert, Globalsign, Let’s Encrypt. Именно они формируют глобальную инфраструктуру открытых ключей (Public Key Infrastructure, PKI) и обеспечивают защищенность соединений по всему миру.
Дополнительный сертификат
С 2022 года часть популярных сайтов потеряла действительные сертификаты. Выход — создать новый корневой сертификат, который был бы признан всеми участниками пострадавшего сегмента сети.
Но вот незадача. Мировые удостоверяющие центры, перечисленные выше, возникали и росли вместе с тогда еще молодым интернетом, конкурировали между собой, боролись за доверие, приобретали известность. Они отошли в сторону. Нравится нам это или нет, но сегодня единственный способ получить подлинный TLS-сертификат — обратиться к услугам государственного удостоверяющего центра (точнее профильного министерства — Минцифры).
С технической точки зрения такие сертификаты ничем не отличаются от привычных. И те и другие соответствуют стандартному формату X.509, поддерживают одинаковый набор криптоалгоритмов, совместимы со всеми современными устройствами и браузерами. Владельцы ресурсов, которые лишились возможности подтверждать безопасность соединений, получают возможность делать это снова. Пользователи перестают сталкиваться с бесконечными предупреждениями и снова начинают обращать внимание на тревожные сигналы браузеров.
Давайте посмотрим, что произойдет, если вы решите использовать TLS-сертификат от Минцифры.
Что меняется для пользователей
Очевидное изменение — при посещении действительно безопасных страниц пропадет назойливое предупреждение о том, что что-то пошло не так.
Будьте осторожны! Как мы знаем, спрос рождает предложение и мошенники уже раздают липовые сертификаты. Пример такой ситуации — оправданное, казалось бы, требование сайта установить сертификат для продолжения работы с ним. Если у вас нет полной уверенности в подлинности ресурса, лучше на такие предложения не соглашаться. Высок риск, что ссылка приведет к получению поддельного сертификата, после чего браузер будет считать доверенными любые ресурсы злоумышленника.
Чтобы обезопасить себя, следуйте простым правилам.
Скачивайте сертификаты из доверенного источника. Помните, что для работы необходима установка только двух электронных документов — от корневого (Russian Trusted Root CA) и публикующего (Russian Trusted Sub CA) центров сертификации Минцифры. Если и после их получения сайт настаивает на выполнении каких‑то действий для продолжения работы — это почти наверняка уловка злоумышленников.
Не игнорируйте предупреждения безопасности, даже если адрес и внешний вид сайта не вызывают подозрений. Браузер выполняет автоматическую проверку сайта по нескольким критериям с учетом данных о доверенных центрах сертификации.
Не разрешайте установку сертификатов посторонним. Вы не можете быть уверенными в их достаточном понимании процессов для правильных действий, не говоря уже о намерениях.
Избегайте скачивания ненужного ПО и расширений браузера. Если в процессе установки выводится запрос на принятие сертификата, будьте предельно осторожны. Появились подозрения в безопасности каких-либо операций — обратитесь за помощью к компетентному специалисту.
Что меняется для владельцев веб-сайтов
Российским сайтам необязательно обращаться именно к удостоверяющему органу Минцифры. Если зарубежный аккредитованный центр исправно выдает и продлевает TLS‑сертификаты, то и нет необходимости разрывать с ним отношения, особенно когда онлайн‑ресурс востребован пользователями из‑за рубежа. Однако нужно учитывать риск внезапного отзыва сертификата, что сразу сделает подключение к сайту небезопасным для пользователей.
А вот если вы как владелец сайта все же решили использовать базовый (DV) или стандартный (OV) TLS-сертификат с Госуслуг, придется попросить пользователей установить сертификаты Минцифры. Только в этом случае они перестанут наблюдать предупреждение браузера.
Для повышения уровня доверия посетителей лучше использовать стандартный сертификат (OV) — при его выдаче проводится более тщательная проверка заявителя и предоставленных им данных. Необходимо также ограничить доступ к контейнеру закрытого криптографического ключа в соответствии с руководством разработчика веб-сервера или межсетевого экрана, который используется в качестве TLS-шлюза.
Сертификация и криптография
Не требуется никаких дополнительных средств для работы с TLS-сертификатами, выпущенными удостоверяющим центром Минцифры. Все необходимые криптоалгоритмы уже встроены во все современные операционные системы и браузеры.
Заключение
Переход к использованию российских TLS-сертификатов — вынужденная мера. Сегодня редко можно встретить сайт, который не поддерживает безопасное подключение по HTTPS.
Для обычных пользователей интернета, которые работают в популярных браузерах вроде Chrome, Firefox или Safari, изменения покажутся наиболее чувствительными. Вместо привычных сайтов будет возникать не всем понятное предупреждение об открытии небезопасной страницы. Для кого‑то даже простые действия по скачиванию сертификатов могут стать серьезным испытанием.
Владельцы интернет‑ресурсов самостоятельно принимают решение о переходе на российские сертификаты. Они вынуждены учитывать аудиторию пользователей и возможность обслуживания зарубежным центром сертификации. В случае необходимости системным администраторам не составит труда выполнить несложные действия.
Кроме однократной установки никаких дополнительных шагов не потребуется. При этом все вопросы безопасного посещения привычных ресурсов благополучно разрешатся.
