Разъяснение фейка о взломе компьютеров через Яндекс Браузер

В соцсетях начало распространяться сообщение, что Госдума якобы может взламывать компьютеры россиян с помощью Яндекс Браузера. Утверждается, что данный браузер начал автоматически устанавливать в Windows государственный корневой сертификат Russian Trusted Root CA без уведомления пользователей, что позволяет государственным системам перехватывать и расшифровывать защищенный HTTPS-трафик без предупреждений браузера.

Автор канала «Пакет безопасности» в соцсети для нетворкинга «Сетка» разъяснил ситуацию, указав, что это так не работает. «Ключевая ошибка автора — он смешал в одну кучу две разные вещи: системный trust store Windows и изолированное хранилище доверия внутри браузера. Это не одно и то же, и вся «сенсация» рассыпается ровно на этом месте», — написал он.

Объясняя иными словами, автор канала добавил, что браузер «не лезет» в системное хранилище операционной системы (ОС) — Яндекс Браузер не вносит изменения в системный список доверенных корневых сертификатов Windows и не трогает PKI-модель ОС. «Национальные сертификаты живут как отдельный, изолированный trust domain внутри самого браузера. На другие приложения, на системные криптоконтексты, на ваш условный Chrome или почтовый клиент это не влияет вообще никак. Та самая инструкция из поста с certmgr.msc проверяет именно системное хранилище — где браузер ничего не прописывает», — разъясняется в посте.

Там также говорится о том, что контуры доверия разделены. Системный (ОС) и браузерный (нацсертификаты) являются двумя отдельными доменами. Транзитивного расширения доверия нет: поддержка нацсертификатов в браузере не переопределяет и не расширяет общесистемную криптополитику. Никакого «теперь винда доверяет всему подряд» не происходит, подчеркивает автор.

«А вообще, лучше гляньте, как нагло ведет себя Chrome, на котором сидят все. И да, всегда проверяйте то, что вам пишут в интернетах. В том числе на матчасть», — заключил он.

Кроме того, сами по себе корневые сертификаты Минцифры (Russian Trusted Root CA) не опасны. Они вызываются браузером по мере необходимости — в те моменты, когда сервер показывает свой сертификат, подписанный тем или иным удостоверяющим центром.

Международный стандарт Certificate Transparency позволяет фиксировать сертификаты в публичных логах и проверять их при каждом подключении к сайту — если сертификат отсутствует или не соответствует требованиям, соединение блокируется. В такой архитектуре сценарии MITM с использованием поддельных или «скрытых» сертификатов технически исключены.

Передаваемые данные при этом защищены стандартным TLS-шифрованием и остаются в зашифрованном виде». Сертификат обеспечивает шифрование между двумя точками, соответственно на сайте должен быть сертификат, выпущенный удостоверяющим центром Russian trusted root, других ресурсов это не касается.

Также известно, что корневой сертификат устанавливается не в Windows, а в браузер. Если пользоваться теми же Chrome, Edge или Firefox, то они выдают предупреждение о невозможности соединения с сайтами, требующими российского корневого сертификата. Это в том числе касается попытки войти в «Личный кабинет налогоплательщика».

При этом сертификаты Russian Trusted Root CA необходимы для защищенного доступа к российским сайтам и онлайн-сервисам, их корректной работы и шифрования трафика между сайтом и браузером. Они служат отечественной заменой иностранным в случае их отзыва или окончания срока действия.

Сертификаты НУЦ Минцифры открывают доступ к сайтам и сервисам российских банков, ведомств и других организаций. Можно пользоваться браузером с поддержкой российских сертификатов или установить сертификаты в операционную систему вручную. Они уже встроены в Яндекс Браузер, благодаря чему ручная установка нужна только для других браузеров и для работы сторонних программ.

Так, нужны два типа сертификатов – корневые (Russian Trusted Root CA) и выпускающие, они же промежуточные (Russian Trusted Sub CA). В наборе несколько файлов: варианты на алгоритмах RSA и ГОСТ, устанавливать нужно каждый из них. RSA-сертификаты работают в обычных браузерах после добавления корня; ГОСТ-сертификаты используются для соединений по ГОСТ-шифрованию и поддерживаются не везде, например, их не поддерживает Safari. Такие сертификаты доступны для Windows, macOS, Linux, Android и iOS.

Данные о том, что Госдума якобы может взламывать компьютеры россиян с помощью Яндекс Браузера, не распространились в российских СМИ.