В июле и августе некоторые сайты российских банков стали открываться с предупреждениями или перестали открываться в отдельных браузерах. Так, на момент публикации статьи сайт Россельхозбанка в Chrome помечается как небезопасный. Проблема вызвана тем, что международные удостоверяющие центры отозвали сертификаты безопасности для сайтов организаций из санкционного списка США. Что случилось и как сделать так, чтобы такие сайты открывались без ограничений, рассказываем в статье.
Почему некоторые российские сайты не открываются в привычных браузерах
Представьте, что у сайта есть цифровой паспорт (сертификат), который помогает подтвердить, что вы подключаетесь к настоящему сайту организации, а не к подделке. Раньше такие сертификаты российским сайтам выдавали в том числе иностранные удостоверяющие центры, которым по умолчанию доверяли популярные браузеры и операционные системы. Когда вы заходили на сайт, браузер сверял паспорт со своим списком доверенных организаций, видел совпадение и спокойно открывал страницу.
Но из-за санкций иностранные удостоверяющие центры начали отзывать уже выданные российским банкам сертификаты. После отзыва браузер больше не считает такой сертификат доверенным и может показать предупреждение. Браузер видит, что сертификат отозван, и блокирует доступ.
Чтобы решить эту проблему, банки начали получать сертификаты Национального удостоверяющего центра Минцифры России НУЦ (Минцифры). Сертификаты Минцифры обеспечивают защищенное соединение и позволяют подтвердить подлинность сайта. Но зарубежные браузеры (Chrome, Safari, Edge) по умолчанию не доверяют его корневому сертификату, потому что он не встроен в их список доверенных организаций.
Когда вы пытаетесь открыть сайт, браузер смотрит на сертификат, видит, что он подписан незнакомой ему компанией, и решает: «Я не знаю, кто этот российский центр, значит, не могу проверить, ваш ли это сайт. На всякий случай лучше не пускать». Так появляются страшные ошибки вроде «Подключение не защищено».
Такое предупреждение само по себе не означает, что сайт взломан. Оно говорит о другом: браузер не смог подтвердить доверие к сертификату и на всякий случай блокирует возможность посещения.
Есть два способа открывать такие сайты без предупреждений безопасности:
1. Установить сертификат Минцифры на свой смартфон или компьютер.
2. Использовать браузер с поддержкой сертификатов Минцифры.
Как установить сертификат Минцифры на компьютер или смартфон
Скачайте сертификат для вашей операционной системы на Госуслугах. Для корректной работы установите два типа сертификатов: корневые и выпускающие. Как это сделать, рассказываем далее.
Установка корневых сертификатов
Все корневые сертификаты устанавливаются одинаково — по схеме, описанной ниже для Russian Trusted Root CA.
- Скачайте архив с корневыми сертификатами для Windows с Госуслуг.
- Откройте папку «Загрузки» и распакуйте архив.
- Найдите файл Russian Trusted Root CA.cer, откройте его и нажмите кнопку «Установить сертификат...».
- В запустившемся мастере импорта выберите вариант «Текущий пользователь» и нажмите «Далее».
- Отметьте пункт «Поместить все сертификаты в следующее хранилище», затем нажмите кнопку «Обзор...».
- В появившемся списке выберите папку «Доверенные корневые центры сертификации» и нажмите «Далее».
- Нажмите «Готово», а затем подтвердите действие кнопкой «Ок».
- Если система покажет предупреждение безопасности, нажимайте «Да» — это часть штатной установки.
Повторите все шаги для каждого корневого сертификата из скачанного набора.
Установка выпускающих сертификатов
Выпускающие сертификаты устанавливаются чуть проще — автоматически, как показано на примере Russian Trusted Sub CA.
- Скачайте архив с выпускающими сертификатами.
- Распакуйте его в папке «Загрузки».
- Выберите файл Russian Trusted Sub CA.cer, откройте его и нажмите «Установить сертификат...».
- В мастере импорта оставьте выбранным «Текущий пользователь» и нажмите «Далее».
- Выберите «Автоматически выбрать хранилище на основе типа сертификата» и снова нажмите «Далее».
- Завершите установку кнопкой «Готово» и закройте окно, нажав «Ок».
Повторите действия для каждого выпускающего сертификата из архива.
Завершающий шаг — очистка кеша браузера
После того как все сертификаты установлены, очистите кеш браузера на том устройстве, с которого вы заходите на сайты. Это нужно, чтобы браузер «увидел» новые сертификаты и перестал выдавать ошибки на защищённых ресурсах. Очистить кэш можно в разделе истории поиска.
Эта инструкция для пользователей ноутбуков и компьютеров Apple.
Импорт сертификатов через «Связку ключей»
Все сертификаты импортируются одинаково — по схеме, описанной ниже для файла `RussianTrustedCA.pem`.
- Скачайте архив с сертификатами для macOS с Госуслуг и распакуйте его в папке «Загрузки».
- Найдите файл `RussianTrustedCA.pem` и откройте его — автоматически запустится приложение «Связка ключей».
- В появившемся окне введите имя пользователя и пароль от учётной записи компьютера, затем нажмите «Изменить связку ключей».
- После импорта перейдите во вкладку «Сертификаты» — в ней отобразятся все новые установленные сертификаты.
Повторите эти действия для каждого файла `.pem` из скачанного набора.
Настройка доверия для корневых сертификатов
Для всех корневых сертификатов нужно вручную разрешить доверие, как показано на примере `Russian Trusted Root CA`.
- В приложении «Связка ключей» выберите сертификат `Russian Trusted Root CA`.
- Раскройте раздел «Доверие» (находится в верхней части окна).
- В выпадающем меню выберите значение «Всегда доверять».
- Система попросит ввести имя пользователя и пароль — введите их и нажмите «Обновить настройки».
Настройте доверие таким же образом для всех корневых сертификатов из скачанного набора.
Настройка доверия для выпускающих сертификатов
Для выпускающих сертификатов порядок действий аналогичен — инструкция ниже дана для `Russian Trusted Sub CA`.
- В «Связке ключей» выберите сертификат `Russian Trusted Sub CA`.
- Откройте раздел «Доверие» и установите значение «Всегда доверять».
- Введите пароль администратора и нажмите «Обновить настройки».
Повторите эти действия для каждого выпускающего сертификата из скачанного набора.
Очистка кеша браузера
После того как все сертификаты установлены и для них настроено доверие, очистите кеш браузера на вашем Mac.
Установка корневых сертификатов
- Скачайте архив с корневыми сертификатами и распакуйте его.
- Откройте «Настройки» устройства, в строке поиска введите слово «Сертификат» и выберите пункт «Сертификат CA».
- Если появится предупреждение системы, нажмите «Всё равно установить» или «Установить в любом случае».
- Введите код-пароль (пин-код, графический ключ или пароль) от телефона и нажмите «Подтвердить».
- В открывшемся окне выберите папку «Загрузки» и найдите файл Russian Trusted Root CA.cer.
- Если система попросит указать название сертификата, введите Russian Trusted Root CA, выберите вариант «VPN и приложения» и нажмите «ОК».
- После успешной установки в нижней части экрана появится уведомление: «Сертификат ЦС установлен».
Повторите все шаги для каждого корневого сертификата из скачанного набора.
Установка выпускающих сертификатов
Выпускающие сертификаты устанавливаются аналогично — инструкция дана для Russian Trusted Sub CA.
- Скачайте архив с выпускающими сертификатами и распакуйте его.
- Откройте «Настройки», в поиске введите «Сертификат» и выберите «Сертификат CA».
- Если появится предупреждение, нажмите «Всё равно установить» или «Установить в любом случае».
- Введите код-пароль от устройства и подтвердите действие.
- В папке «Загрузки» выберите файл Russian Trusted Sub CA.cer.
- При необходимости укажите название Russian Trusted Sub CA, выберите «VPN и приложения» и нажмите «ОК».
- Дождитесь уведомления «Сертификат ЦС установлен» внизу экрана.
Повторите процедуру для каждого выпускающего сертификата из скачанного набора.
Проверка успешной установки
Чтобы убедиться, что сертификаты установлены правильно:
- Откройте «Настройки» и введите в поиске «Надёжные сертификаты» или «Надёжные учётные данные».
- Перейдите во вкладку «Пользователь».
- В списке должны отображаться все установленные сертификаты Минцифры — как корневые, так и выпускающие.
Очистка кеша браузера
После завершения установки обязательно очистите кеш браузера на телефоне или планшете. Это необходимо, чтобы браузер «увидел» новые сертификаты и перестал выдавать ошибки на сайтах, защищённых сертификатами Минцифры.
Какие браузеры поддерживают сертификаты Минцифры
Если не хотите устанавливать сертификаты Минцифры на свои устройства и готовы привыкать к новому браузеру, попробуйте «Яндекс Браузер» — российские сайты будут открываться без дополнительных действий.