Продолжить и попрощаться

Пожалуй, самая громкая история этой недели — зарубежные браузеры перестали открывать сайты российских компаний.

Краткое пояснение, для тех, кто не в курсе: международные удостоверяющие центры отозвали у сайтов российских компаний TLS-сертификаты. Из-за этого они перешли на национальные сертификаты Минцифры, которые Chrome, Safari, Edge и иже с ними не поддерживают.

Как итог — миллионы россиян не могут зайти на сайт, например, банка. Потенциально проблема может быть еще глубже: если, например, онлайн-касса или платежный сервис завязан на банковский домен, он тоже не будет работать.

В сети говорят о трех вариантах решения проблемы — два нормальных и один самоубийственный. Первый — самостоятельно поставить себе сертификаты НУЦ Минцифры. Способ рабочий, но с нюансом: корневой сертификат встает в систему и начинает действовать шире, чем на один сайт, так что подходить к нему стоит осознанно.

Второй — открыть сайт в браузере, где нужные сертификаты уже вшиты, например в Яндекс Браузере. Там они лежат в изолированном контуре и работают только для сайтов из официального списка — проверка подлинности при этом никуда не девается.

А теперь про самоубийственный, который в некоторых постах подают чуть ли не как самый удобный. Это — просто согласиться на «небезопасное соединение» и работать дальше. И вот тут пора объяснить, почему делать так на банковском сайте = выстрелить себе в ногу.

У TLS-сертификата две задачи: зашифровать канал и подтвердить, что сайт — настоящий, а не подделка. Красная плашка «подключение небезопасно» — это момент, когда браузер говорит: «я не могу подтвердить, что это реально ваш банк». Нажимая «продолжить», вы берете ответственность за свои действия на себя.

При таком раскладе несложно попасться на скам: пока проверка выключена, кто-то может встать посередине и подменить сайт на страницу-клон вашего банка, и все, что вы туда вводите — логины, реквизиты, переводы — течет через него. Причем шифрование ему даже ломать не пришлось: вы сами открыли дверь, отмахнувшись от предупреждения.

Учитывая то, что мошенники спят и видят, как придумать новые схемы — этим точно будут пользоваться. А может быть именно они и распространяют максимально вредный совет «игнорировать предупреждения».

НеКасперский