Speaker A
Сегодняшний ролик, без преувеличения, можно назвать самым важным на нашем канале. Дело в том, что государство наконец-то нашло идеальный способ лишить всех обитателей рунета анонимности.
Разбор госсертификата Минцифры: как он работает, почему опасен для приватности и безопасности пользователей, и как его удалить с устройства.
Key Takeaways
- Госсертификат Минцифры, если установлен как доверенный корневой, теоретически позволяет перехват HTTPS-трафика.
- Доверие в интернет-инфраструктуре основано на репутации удостоверяющих центров и независимом аудите.
- Пользователям стоит проверять, какие корневые сертификаты установлены на их устройствах, и удалять незнакомые.
- Реклама VPN-сервиса в ролике требует критического отношения и проверки заявленных возможностей.
What the video covers
- Видео утверждает, что установка госсертификата Минцифры позволяет государству перехватывать и расшифровывать HTTPS-трафик пользователей.
- Объясняется роль TLS-сертификатов и корневых удостоверяющих центров как системы доверия между сайтами и браузерами.
- Приводится пример инцидента с DigiNotar (2011), когда взлом удостоверяющего центра привёл к его краху и исключению из браузеров.
- Сертификат Минцифры не включён в доверенные хранилища Apple, Google и Microsoft из-за отсутствия независимого аудита и конфликта интересов.
- Говорится, что почти 30% приложений в RuStore содержат этот сертификат, что позволяет ему попадать на устройство в обход браузеров.
- Упоминается казахский национальный сертификат, перехват трафика по которому привёл к занесению в чёрный список на уровне кода.
- Даются пошаговые инструкции по удалению сертификата на Android, iOS/iPhone и macOS.
- Рекомендуется смена паролей и завершение активных сессий в соцсетях после установки сертификата.
- Видео продвигает VPN-сервис Happ, утверждая, что он обходит блокировки и не виден провайдеру, и предлагает пробный период за 3 рубля.
- Оценка объективности: часть технических объяснений корректна, но утверждения о полном доступе силовиков и масштабах угрозы преувеличены, а рекламная интеграция не раскрыта как спонсорская.
Chapters
- 00:00Вступление: зачем государству анонимность пользователей
- 01:00Санкции и отзыв сертификатов GlobalSign
- 02:08Как устроен интернет и зачем нужен HTTPS
- 03:04TLS-сертификаты и доверие удостоверяющим центрам
- 04:09Почему госсертификат Минцифры опасен
- 05:32Казахский сертификат и приложения в RuStore
- 06:40Инструкции по удалению сертификата и смене паролей
- 08:00Реклама VPN-сервиса Happ
Full Transcript — Download SRT & Markdown
Speaker A
Причём провернуло оно это настолько тихо и изящно, что большинство ничего и не поняло. Да, сегодня мы детально разберём так называемый госсертификат от Минцифры. Знаете, когда нам навязывали мессенджер Max или замедляли YouTube, весь интернет стоял на ушах. А тут
Speaker A
Причём провернуло оно это настолько тихо и изящно, что большинство ничего и не поняло. Да, сегодня мы детально разберём так называемый госсертификат от Минцифры. Знаете, когда нам навязывали мессенджер Max или замедляли YouTube, весь интернет стоял на ушах. А тут практически полная тишина.
Speaker A
гораздо страшнее. Если вы уже установили себе этот сертификат или начали пользоваться российскими браузерами вроде Яндекса и Атома, ваши пароли скомпрометированы. Силовики могут в любой момент получить полный доступ к вашим соцсетям, банку и личным перепискам. А учитывая, как легко базы
Speaker A
И всё потому, что люди банально не понимают, как работает эта технология и в какую ловушку они идут. Сегодня мы попытаемся это исправить. Речь идёт не о том, что условный товарищ майор просто посмотрит историю вашего браузера. На сей раз всё гораздо страшнее.
Speaker A
Формальная причина - санкции. В середине июня двадцать шестого года западный центр GlobalSign начал массовый отзыв сертификатов у российских компаний. А уже вечером третьего августа сайты крупнейших банков перестали открываться в зарубежных браузерах. И под предлогом спасения ситуации и бесперебойного
Speaker A
Если вы уже установили себе этот сертификат или начали пользоваться российскими браузерами вроде Яндекса и Атома, ваши пароли скомпрометированы. Силовики могут в любой момент получить полный доступ к вашим соцсетям, банку и личным перепискам. А учитывая, как легко базы данных утекают в даркнет, масштабы катастрофы просто невообразимы.
Speaker A
проводу. Но в реальности интернет устроен иначе. Ваш запрос идёт через длинную цепочку посредников: роутер, оборудование провайдера, государственные ТСПУ и магистральные линии связи. Это как передать секретное письмо через 10 незнакомых курьеров. Если сайт работает без защиты по протоколу HTTP, вы
Speaker A
[музыка]
Speaker A
Например, адрес сайта, к которому вы подключаетесь, количество трафика и всё такое. Это как курьер, он не знает, что находится внутри вашей посылки из розового кролика, но он догадывается, что это не конструктор LEGO. Неприятно, но терпимо. В целом HTTPS выглядит
Speaker A
Для начала ответим на вопрос, почему об этом все заговорили именно сейчас. Формальная причина — санкции. В середине июня двадцать шестого года западный центр GlobalSign начал массовый отзыв сертификатов у российских компаний. А уже вечером третьего августа сайты крупнейших банков перестали открываться в зарубежных браузерах. И под предлогом спасения ситуации и бесперебойного доступа Минцифра подсунула нам систему тотального контроля.
Speaker A
Давайте-ка сюда свои пароли". Как вашему компьютеру понять, что перед вами мошенник, а не реальный сайт? Вот для этого и создали TLS сертификат. По сути, это официальный цифровой паспорт сайта.
Speaker A
Чтобы осознать масштаб угрозы, нужно начать издалека. Вот допустим, вы сидите с ноутбуком в кафе и пытаетесь зайти на свою почту Gmail. Со стороны кажется, будто ваш компьютер напрямую связывается с сервером Google по одному невидимому проводу. Но в реальности интернет устроен иначе. Ваш запрос идёт через длинную цепочку посредников: роутер, оборудование провайдера, государственные ТСПУ и магистральные линии связи. Это как передать секретное письмо через десять незнакомых курьеров.
Speaker A
Ну, вы понимаете, да? Ещё раз, сертификатов два. Один у сайта, это его паспорт, и второй у вас на устройстве, это список доверенных лиц. Весь паспорт можно подделать, поэтому важно не само наличие документа, а то, кем он выдан и
Speaker A
Если сайт работает без защиты по протоколу HTTP, вы буквально отдаёте курьерам открытую почтовую открытку. Любой посредник по сути может её прочитать или сфотографировать. Именно поэтому придумали шифрование HTTPS. Теперь ваша информация упаковывается в тяжёлый бронированный сейф. Хотя минимальные метаданные провайдер всё-таки видит. Например, адрес сайта, к которому вы подключаетесь, количество трафика и всё такое. Это как курьер: он не знает, что находится внутри вашей посылки из розового кролика, но он догадывается, что это не конструктор LEGO. Неприятно, но терпимо.
Speaker A
году взломали нидерландский центр DigiNotar и выпустили через него левые сертификаты для Google, то компанию вышвырнули из всех браузеров, а она обанкротилась буквально за пару недель.
Speaker A
В целом HTTPS выглядит довольно надёжной системой, не правда ли? Но тут возникает главная проблема. Представьте, что на середине пути, прямо на серверах провайдера, встаёт мутный тип, который перехватывает ваш сейф и говорит: «Привет, я настоящий Google. Давайте-ка сюда свои пароли». Как вашему компьютеру понять, что перед вами мошенник, а не реальный сайт?
Speaker A
у него нет независимого аудита, нет прозрачности, а главное, есть жёсткий конфликт интересов. Удостоверяющим центром управляет то же самое государство, которое управляет блокировками и требует доступа к вашему трафику. Причём угроза приходит не только через кнопку установить на Госуслугах. Исследователи проекта ФКАИ
Speaker A
Вот для этого и создали TLS-сертификат. По сути, это официальный цифровой паспорт сайта. При подключении сервер обязан предъявить браузеру этот документ, а у вас на устройстве, в свою очередь, есть ещё один корневой сертификат. В нём записано, кому именно можно доверять. Ну, вы понимаете, да? Ещё раз: сертификатов два. Один у сайта — это его паспорт, и второй у вас на устройстве — это список доверенных лиц.
Speaker A
И тут вы опять же спросите, зачем мне этот сертификат, который что-то там проверяет? Я же своими глазами вижу, что вбил в адресной строке google.com. Вот в этом скрывается главная иллюзия. Ваш компьютер не понимает букв. Он ищет сайты по IP-адресам. Когда вы вбиваете
Speaker A
Весь паспорт можно подделать, поэтому важно не само наличие документа, а то, кем он выдан и подтверждён. Решают, каким паспортным столам можно верить, такие гиганты индустрии, как Apple, Google и Microsoft, и они годами проверяют удостоверяющие центры. А те, в свою очередь, проходят жесточайшие независимые аудиты и ведут публичные логи. Цена ошибки там — смерть бизнеса. Например, когда в 2011 году взломали нидерландский центр DigiNotar и выпустили через него левые сертификаты для Google, компанию вышвырнули из всех браузеров, и она обанкротилась буквально за пару недель.
Speaker A
туда, получит точную визуальную копию Google, а в адресной строке напишет заветный google.com. Вы введёте пароль и всё моментально улетит силовику. И вот как раз-таки, чтобы такой ерунды не происходило, ваш браузер требует паспорт. Сервер силовиков показывает левый документ. Ваш браузер сверяет его
Speaker A
Так что доверие в этой сфере висит на тонкой ниточке репутации. И вот в эту строгую систему врывается сертификат Минцифры. За годы работы ни Apple, ни Google не включили его в свои системы. И почему? Не из-за русофобии, а потому что у него нет независимого аудита, нет прозрачности, а главное, есть жёсткий конфликт интересов. Удостоверяющим центром управляет то же самое государство, которое управляет блокировками и требует доступа к вашему трафику.
Speaker A
госсертификат. Устанавливая этот файл, вы отдаёте им мастер-ключ от вашей цифровой квартиры. Вы приказываете своему устройству: "Доверяй всему, на чём стоит печать Минцифры". И когда силовики подсунут вам левый сервер с поддельным паспортом, ваш браузер радостно скажет: "Ого, печать Минцифры?
Speaker A
Причём угроза приходит не только через кнопку «установить» на Госуслугах. Исследователи проекта ФКАИ выяснили, что из 1394 приложений в отечественном магазине RuStore почти 30%, а это почти 400 программ, уже содержат внутри себя этот самый сертификат. То есть он проникает на ваше устройство даже в обход браузеров.
Speaker A
национальный сертификат. Исследователи тут же зафиксировали реальный перехват трафика к Facebook, Twitter и Google. В ответ мировые IT-гиганты просто внесли казахский сертификат в чёрный список на уровне кода. Почему так не могут сделать с сертификатом Минцифры? Ну, вообще-то могут. Как только силовики перейдут
Speaker A
И тут вы опять же спросите: зачем мне этот сертификат, который что-то там проверяет? Я же своими глазами вижу, что вбил в адресной строке google.com. Вот в этом скрывается главная иллюзия. Ваш компьютер не понимает букв. Он ищет сайты по IP-адресам. Когда вы вбиваете адрес, комп спрашивает у провайдера, по какому IP находится Google. Если на линии стоит оборудование силовиков, а системы глубокого анализа трафика ТСПУ уже стоят у всех провайдеров РФ, они могут перехватить этот вопрос и подсунуть вам адрес своего собственного сервера.
Speaker A
было у Казахстана. Казахи реально действовали топорно и в лоб. Они попытались перехватить трафик сразу всей страны, поэтому их моментально спалили.
Speaker A
Ваш браузер послушно зайдёт туда, получит точную визуальную копию Google, а в адресной строке напишет заветный google.com. Вы введёте пароль, и всё моментально улетит силовику. И вот как раз для того, чтобы такой ерунды не происходило, ваш браузер требует паспорт. Сервер силовиков показывает левый документ. Ваш браузер сверяет его со своим списком доверия, то есть корневым сертификатом. Видит, что печать фальшивая, бьёт по тормозам и выдаёт что-то типа: «Стоять, паспорт поддельный, я не пущу тебя на этот сайт».
Speaker A
Им не нужно топорно подменять весь трафик подряд и привлекать внимание мировых IT-гигантов. Они могут делать свои махинации максимально аккуратно и точечно. Например, пере хватывать данные только на определённых сайтах, только в нужных им регионах или вообще активировать слежку исключительно за
Speaker A
А вот поэтому государству и нужно, чтобы вы установили их корневой госсертификат. Устанавливая этот файл, вы отдаёте им мастер-ключ от вашей цифровой квартиры. Вы приказываете своему устройству: «Доверяй всему, на чём стоит печать Минцифры». И когда силовики подсунут вам левый сервер с поддельным паспортом, ваш браузер радостно скажет: «Ого, печать Минцифры? Ну, тогда заходим». Замочек в адресной строке будет зелёным, а ваш трафик полностью расшифрованным. И тогда они увидят всё: логины, пароли, куки сессий, переписки, почту, что угодно.
Speaker A
Логичный вопрос. Если всё так строго, то почему прекрасно работают фишинговые сайты типа google.ru? Совершенно другой тип атаки. Ваш встроенный сертификат проверяет только совпадает ли имя в паспорте с тем адресом, куда вы пришли.
Speaker A
Думаете, это фантастика? В 2019 году власти Казахстана заставили граждан поставить похожий национальный сертификат. Исследователи тут же зафиксировали реальный перехват трафика к Facebook, Twitter и Google. В ответ мировые IT-гиганты просто внесли казахский сертификат в чёрный список на уровне кода.
Speaker A
невидимого технического перехвата, когда вы ввели google.com, но вас перенаправили к фейковому сайту товарища майора или мошенника. Но они не спасают от человеческой невнимательности. Если вы сами перешли по ссылке mamont.ru, поэтому от фишинга защищают только ваши глаза.
Speaker A
Почему так не могут сделать с сертификатом Минцифры? Ну, вообще-то могут. Как только силовики перейдут красную черту и начнут массово перехватывать трафик серверов самих Google, Apple или Meta, их сертификат точно так же вышвырнут из системы. Но тут нужно понимать одну критически важную вещь. У российского государства гораздо больше ресурсов и возможностей скрывать грязь, которую они творят, чем было у Казахстана. Казахи действовали топорно и в лоб. Они попытались перехватить трафик сразу всей страны, поэтому их моментально спалили.
Speaker A
управление устройством, найти профиль с названием Russian Trusted CA, смело нажать Удалить профиль и подтвердить действие вводом кода-пароля. На компьютерах Mac нужно зайти в утилиту Связка ключей. В строке поиска вбить слово Russian. На экране появятся две строчки с пометкой Russian Trusted Root
Speaker A
В России же всё устроено гораздо хитрее. Как мы уже говорили, у каждого, даже самого мелкого провайдера в стране, физически стоят государственные чёрные ящики. ТСПУ — это оборудование, которое позволяет силовикам работать ювелирно. Им не нужно топорно подменять весь трафик подряд и привлекать внимание мировых IT-гигантов. Они могут делать свои махинации максимально аккуратно и точечно. Например, перехватывать данные только на определённых сайтах, только в нужных им регионах или вообще активировать слежку исключительно за конкретным списком пользователей. Засечь такую хирургическую скрытую атаку снаружи будет невероятно сложно, и в этом кроется главная опасность.
Speaker A
Откроется управление сертификатами. Разверните папку доверенные корневые центры сертификации Trusted Root Certification Authorities. Внутри найдёте уже знакомый нам файл Russian Trusted Root CA. Жмёте правый клик и удаляете. На Андроиде единого стандарта нет. Каждый производитель лепит интерфейс по-своему, но примерный путь
Speaker A
Логичный вопрос: если всё так строго, то почему прекрасно работают фишинговые сайты типа google.ru? Совершенно другой тип атаки. Ваш встроенный се
Speaker A
Открываем меню надёжные сертификаты и переходим на вкладку пользователь. Находим творение Минцифры и нажимаем кнопку удаление. Если меню отличается, просто загуглите короткий гайд конкретно под модель вашего телефона. А после этого срочно меняйте абсолютно все пароли, которые вводились на устройстве,
Speaker A
и завершайте активные сессии в настройках социальных сетей. Но что делать, если нужно зайти в российский банк, куда классический сертификат больше не пускает? Решение это карантин.
Speaker A
Используйте для этого Яндекс.Браузер или Атом. В них сертификат Минцифры вшит изначально. Да, силовики смогут читать то, что происходит внутри этого браузера, но это лучше, чем ставить сертификат на всю операционную систему целиком. Пусть Яндекс будет исключительно для российских сайтов, а
Speaker A
для личной жизни используйте Safari, Brave или Firefox. На Android обязательно прячьте Яндекс во второе пространство или папку Knox, чтобы он не мониторил весь ваш телефон. Можно ещё завести второй телефон специально для всяких Яндекс-штук и прочего Макса.
Speaker A
Нажав кнопку установить сертификат, вы отдаёте государству мастер-ключ, а оборудование ТСПУ для перехвата уже стоит у каждого провайдера. Половина ловушки готова. Они ждут только вашего добровольного согласия. А теперь давайте немного порассуждаем, к чему вообще нас готовят и как изящно нам это продают.
Speaker A
Смотрите, какой злой и страшный Роскомнадзор. Рубильником блокирует очередной сайт и всё понятно. Народ чётко видит, кто виноват и на кого вымещать гнев. Но с сертификатом схема просто гениальна своей циничности. Злые западные корпорации отключают наши бедные банки, поэтому нам, скрепя
Speaker A
сердце, пришлось сделать свой собственный сертификат. Установите, пожалуйста, ради вашего же блага. И большинство людей, не понимая технических деталей, радостно это делают. А привести это может к блокировкам такого уровня, что нынешние потуги Роскомнадзора покажутся нам детским утренником. Представьте, вы
Speaker A
установили этот злосчастный сертификат Минцифры. А завтра государство решает, что настоящий YouTube это фальшивый сайт. И всё, ваш собственный телефон откажется вас туда пускать. И никакой, даже самый дорогой и качественный VPN, вам никак не поможет, потому что тут именно само устройство будет отторгать
Speaker A
сайт. Для обывателя это даже не будет выглядеть как цензура. Новостей о блокировках нет. Человек подумает: "Ну, бывает, сломался этот ваш YouTube". И откатить эту историю назад будет невероятно сложно. Поверьте нашему опыту. К нам часто обращаются пожилые люди, для которых даже установить наше
Speaker A
простейшее, буквально однокнопочное приложение VPN, это уже стресс и технологический подвиг, что нормально для их возраста. А теперь представьте, что вам нужно объяснить бабушке, как залезть в глубокие системные настройки смартфона, найти директорию доверенных корневых центров и удалить нужный файл.
Speaker A
Даже просто нереально. Для огромной части населения установка этого сертификата это билет в один конец. И вообще, кто мешает государству пойти дальше? Злой сотрудник из Минцифры с таким инструментом на руках может устроить тотальную движуху. Может объявить настоящие Google, Facebook и
Speaker A
YouTube фейками, наклепать их точных визуальных клонов, посадить на другие IP-адреса и спокойно собирать логины и пароли всей страны. Ваш телефон будет свято верить, что это оригинальные сайты. Печать-то от Минцифры стоит.
Speaker A
Короче, полёт фантазии для товарища майора тут просто безграничный. В теории это настолько страшное оружие, что обычные блокировки мы ещё будем вспоминать с ностальгией. Но даже без сертификата вы в опасности. Как вы знаете, недавно в России ввели закон, по
Speaker A
которому на вас могут завести дело просто за то, что вы искали что-то из списка экстремистских материалов. А там давно уже не только жесть, но и просто всякие песни, мемы, исторические тексты и стендапы. Знать весь список досконально невозможно, поэтому вы легко
Speaker A
можете случайно что-то не то вбить в поиске. И вот на вас уже заводят дело.
Speaker A
Так что очень важно шифровать свои данные и трафик. И в этом вам поможет наш Хеп VPN. Более 16 серверов по всему миру, минимальный пинг в играх и фирменное приложение, которое подключается в один клик, а количество устройств не ограничено. Но самое
Speaker A
главное, Хеп работает так, что для всех выглядит как Яндекс, поэтому его точно не заблокируют. Попробовать можно всего за 3 рубля на 3 дня. Ссылка в описании.
Topics:госсертификатМинцифраTLS сертификатHTTPSприватностьинтернет-цензураVPNкибербезопасностьRuStoreHapp VPN
