«Человек в сертификате». Что такое сертификат безопасности от Минцифры?

С начала августа у многих российских пользователей перестали открываться сайты крупнейших банков. Минцифры предложило обеспокоенным согражданам установить государственный сертификат безопасности, который позволяет сайтам, подписанным Национальным удостоверяющим центром, работать без проблем. Либо пользоваться отечественными браузерами, где такой сертификат уже имеется. Однако, отмечают эксперты, такие действия повышают риск атак, использующих принцип «человек посередине» — когда между пользователем и сайтом встраивается третья сторона, которая может расшифровывать и прочитать ваш трафик.

В чём вообще дело?

На самом деле ещё в 2022 году из-за санкций иностранные центры начали отзывать сертификаты у российских государственных сайтов и компаний. В ответ Минцифры запустило Национальный удостоверяющий центр (НУЦ) и начало выдавать сертификаты через портал «Госуслуги». Однако эти меры не получили широкого распространения: бизнес не спешил переходить на отечественные сертификаты, а пользователи были плохо информированы о нововведениях.

Но этим летом всё стало очень серьёзно. 3 июня бельгийско-японская компания GlobalSign, второй по величине удостоверяющий центр в мире по количеству действующих сертификатов, начала массово отзывать сертификаты у российских веб-сайтов. В результате было отозвано от 15 до 20 тысяч доменов, а вместе с поддоменами это затронуло сотни тысяч сертификатов. Однако, несмотря на это, бизнес не начал массово переходить на российские государственные сертификаты, поскольку сайты, подписанные этими сертификатами, не открывались в иностранных браузерах.

Российские компании сначала перешли к греческому центру HARICA и американскому Let’s Encrypt, а банки — к китайским сертификатам TrustAsia. Однако после 23 июля ЕС ввёл санкции против почти сотни российских банков, и TrustAsia тоже отозвал сертификаты. Утром 4 августа российские банки сдались и начали использовать сертификаты НУЦ.

Однако для того чтобы банковские сайты грузились в иностранных браузерах, банкам мало самим перейти на отечественные сертификаты — следует убедить пользователей установить корневые сертификаты НУЦ на свои устройства, что банки и делают, подчёркивая безопасность этой процедуры.

Сертификат на доверии

По мнению экспертов по кибербезопасности, предложение Минцифры в действительности только выглядит безобидно. Скачивание и установка файла с «Госуслуг» добавляет корневой центр доверия (НУЦ) в список корневых центров устройства. С этого момента браузер будет принимать сертификаты, выданные НУЦ, для любых доменов, включая иностранные, такие как веб-версия Telegram или Gmail, к обеспечению безопасности которых НУЦ не имеет отношения.

К тому же стандартные средства операционных систем и браузеров не позволяют рядовому пользователю ограничить действие НУЦ — например, для работы только с сайтами российских банков. Соответственно, после установки корневого сертификата доверие к НУЦ становится максимально широким. Устройство, операционная система и браузер начинают считать все сертификаты, подписанные этим центром, правильными и доверенными.

В итоге ситуация становится идеальной для проведения незаметных для пользователя атак на его устройства по типу «человек посередине» (man-in-the-middle, MITM). Суть подобных атак заключается в том, что между пользователем и сайтом внедряется третья сторона, которая перехватывает и расшифровывает трафик. Браузер показывает защищённое соединение, хотя фактически данные передаются через посредника.

В обычных условиях атака невозможна из-за отсутствия у злоумышленников подходящего сертификата. Международный центр не выдаст сертификат на чужой домен, так как проверяет права на него, и факт выдачи фиксируется в публичных журналах. Установка корневого сертификата устраняет это препятствие для всех сайтов на весь срок его действия.

Когда может произойти атака?

Для того, чтобы состоялась атака на ваше устройство, одной установки корневого сертификата ещё недостаточно. Чтобы им воспользоваться, кто-то должен выписать сертификат на чужой домен, и кто-то должен оказаться на пути трафика жертвы, между устройством и настоящим сервером сайта.

Корневой сертификат позволяет выпустить доверенный сертификат на любой сайт без дополнительных требований. Для этого достаточно, чтобы НУЦ об этом попросило лицо/организация, которому доверяет Цент, либо условный сотрудник Центра получил достаточную сумму, чтобы открыть дорогу злоумышленникам. Затем достаточно нажать пару кнопок.

Эксперты описывают два вероятных сценария атаки на устройства пользователей, которые могут использовать преступники или силовики.

В первом случае представители криминала с помощью взятки или шантажа добивается подписания сертификатов на банковские домены. А дальше либо врезают небольшое устройство в разрыв домашнего кабеля конкретной жертвы, либо нелегально устанавливают своё оборудование на всех абонентов сразу — и совершают операции от имени клиентов в тот момент, когда те заходят на сайты банков.

Во втором случае подписания сертификатов на нужные домены нужных сервисов могут потребовать представители силовых структур. Целями в этом случае могли бы оказаться уже не банки, а, например, мессенджеры или электронная почта, а жертвой — любой абонент оператора.

Казахстанские уроки

Возможностью получить доступ к данным пользователей в 2019 году уже пользовались спецслужбы Казахстана — где провайдеры по требованию властей рассылали абонентам инструкции по установке государственного корневого сертификата. Пользователи, установившие приложение, обнаружили, что их трафик в соцсетях расшифровывается. Тогда Google, Mozilla и Apple заблокировали казахстанский сертификат в коде Chrome, Firefox и Safari, сделав невозможным его ручное включение.

В России учли опыт Казахстана — у российского сертификата появилось «прибежище» в виде «Яндекс Браузера» и других национальных версий Chrome, которыми пользуется достаточное количество людей. В этих браузерах корневой сертификат НУЦ уже встроен. Мало того, на части платформ «Яндекс Браузер» добавляет его и не только в собственное хранилище, но и в системное — В этом случае доверие к НУЦ распространяется и на другие программы, а не только на сам браузер.

Как сохранить безопасность?

Надёжного способа сделать это не существует, говорят специалисты. Но есть несколько вариантов уменьшить угрозу.

Например, рекомендуется не добавлять сертификат Минцифры в доверенные на устройствах, где есть конфиденциальные разговоры или документы и, где важна приватность.

Специалисты советуют также завести отдельное устройство для всех российских сервисов и приложений, на которое уже можно относительно безопасно добавлять сертификат НУЦ. Можно также не ставить «Яндекс Браузер» на основное устройство.

Эксперты полагают, наконец, что вместо установки корневых сертификатов от НУЦ при загрузке сайта банка можно однократно проигнорировать предупреждение о том, что соединение может быть небезопасным. Но всё-таки рекомендуют по возможности использовать приложение или вообще дойти до отделения и решить все вопросы офлайн.

Подготовил Сергей Михайлов
СамолётЪ