сертификаты

Часть подсанкционных банков перешли на сертификаты Минцифры.

Значит, теперь их сайты можно открыть только через Яндекс.Браузер или установив корневые сертификаты Минцифры.

Проблема в том, что после этого Минцифры может выпустить сертификат для любого сайта, хоть gmail.com, хоть telegram.org и прослушивать всю переписку.

Вот и выбирай, житель России — иметь доступ к онлайн-банку или иметь тайну интернет-переписки.

Если таких пользователей наберется критическая масса — можно будет вообще все другие сертификаты на ТСПУ заблокировать и будет нам чебурнет.

Вообще, это поменяет правила игры, потому что можно будет, например, блокировать конкретные ютуб видео или статьи википедии, а не сайты целиком.

А там и другие государства подтянутся, даром что ли Казахстан и Бразилия тестировали свои корневые сертификаты ещё много лет назад.

И можно будет закон какой-нибудь принять, что все браузеры на территории страны должны эти госсертификаты содержать.

Вот она, полная потеря анонимности в интернете, когда государство будет видеть вообще всё и сможет блокировать всё. Влажная мечта силовиков во всех странах.

А благодарить нужно анонимных активистов, которые сметчили публичные логи выдачи сертификатов (господи, какая это красивая инфраструктура, служащая всему человечеству!) с санкционными списками и закидали всех жалобами, сгенерированными ChatGPT.

Читаю вот эту публичную дискуссию (атаку?) на Bugzilla CA Forum и у меня чувство, что на дворе сентябрь 90х, и в ранний интернет пришли новые люди с другими ценностями, только в этот раз они принесли юридическую дубинку. А интернет уже достаточно телесный, чтобы дубинка не прошла сквозь него как через призрак, как раньше.

Эпоха свободного, глобального интернета заканчивается прямо у нас на глазах.

Важное про сертификаты letsencrypt для технарей, чтобы сайт сегодня не превратился в тыкву: https://t.me/devfounder/116

В Казахстане правительство требует установить поддельный сертификат безопасности на свои компьютеры и телефоны всех жителей столицы. Сертификаты безопасности используются для шифрования соединений и установка такого поддельного корневого сертификата означает, что весь контент сайтов, которые будут посещать жители Астаны будет виден спецслужбам. Прямо совсем весь, включая пароли к фейсбуку, все сообщения в вацапе, письма в gmail и тд и тп. То, безопасность чего мы считаем непреложной истиной — более неверно.

Это пиздец. Примерно такой, как отдать ключи от своей квартиры КГБшникам, чтобы им было удобнее присматривать, что мы там делаем. И письма все отправлять незапечатанными, а то вдруг там чего плохого напишут. Нет, самым близким примером из реального мира будет встроить себе анальный детектор, который следит за всем нехорошим поблизости и передает информацию кому надо.

Самая жуть, что риторика-то знакомая: «В связи с участившимися случаями хищения персональных и учетных данных, а также денежных средств с банковских счетов казахстанцев был внедрен сертификат безопасности, который станет эффективным инструментом защиты информационного пространства страны от хакеров, интернет-мошенников и иных видов киберугроз.

Абзац выше — попытка налить мочи в уши. Ответственно говорю как эксперт: единственная реальная польза этого фарса — свободно блокировать неугодные сайты в интернете и получить неограниченный доступ ко всей личной информации жителей столицы 20-миллионной страны в 2019 году. Дикость и средневековье. Стыдно.

Если попытаться немного остыть, то интересны две вещи: 1) кто разрабатывает техническое решение: русские или китайцы? 2) как быстро роскомнадзор захочет скопировать «позитивный опыт»?

Ссылки для технически подкованных: 1, 2. Советских газет не читайте, никто в предмете не разобрался.

Отличная новость для системных администоров и всего интернета. Let's Encrypt начал поддерживать выпуск wildcard-сертификатов.

Что это значит?

Сертификаты безопасности (SSL/TLS-сертификаты) — магический математический артефакт. Он защищает сайты двумя способами: 1. шифрует соединение читателей с сайтом в интернете, так что никто* не может подсмотреть, какие страницы открывает человек или данные он передает через формы сайта 2. позволяет подтвердить**, что между сайтом и читателем не влез злоумышленник, который меняет часть сообщений на другие (например, без SSL злоумышленник мог бы перехватить и изменить ваше банковское поручение).

Система безопасности сейчас построена так, что для создания (выпуска) сертификата нужна третья сторона, так называемый центр сертификации (Certificate Authority). Это бизнес и чуваки собирают деньги за каждый сертификат. Вдобавок, каждый выпуск сертификата это ручной процесс (благо он происходит раз в год или реже).

Несколько лет назад группа людей и организаций (посмотрите About, там много звездных имен) решили, что для общей безопасности нам нужно сделать выпуск сертификатов бесплатным и автоматизированным. И это сработало! Вот безумный график их роста, а вот тут исследование показывает, что 30% пользователей COMODO перешли на Let's Encrypt.

Зачем нужны wildcard'ы?

Дело в том, что порой у сайтов есть много поддоменов (то, что перед именем сайта через точку, www.meduza.io, monitor.meduza.io, specials.meduza.io, например). Как защитить эти сайты? Можно выпустить по отдельному сертификату для каждого этого поддомена. Так многие и делают, но есть ситуации, когда гораздо лучше заказать один (wildcard) сертификат *.meduza.io, который можно использовать на любых поддоменах Медузы.

Раньше LE не умел выпускать wildcart-сертификаты, а теперь научился.

Это был один из последних*** сильных аргументов, чем коммерческие Certificate Authority лучше Let's Encrypt.

Ура!

* Ходят слухи, что у NSA есть способы
** У злоумышленников есть 101 способ обвести вас вокруг пальца. Математику мы делать научились, а интерфейсы, которые бы помогли не попасться на удочку мошенника — нет.
*** Есть ситуации, в которых сертификаты от LE не годятся, но если вы в этой ситуации — то скорее всего знаете, что делать.

Гениальный фишинг с использованием Extended Validation Certificates.

https://0.me.uk/ev-phishing/

Частенько вспоминаю, как получал этот самый EV для Букмейта и Медузы. Больше не буду этого делать. Только Let’s Encrypt, только хардкор.