Миграция российских банков на новые сертификаты происходит неравномерно. T-Банк, известный ранее как Тинькофф, перенёс только домен tinkoff.ru, оставив tbank.ru на сертификате Let’s Encrypt из США. Левобережный банк переключился только для бизнес-банкинга, а Альфа-Банк сделал переход на прошлой неделе.
Ни один из основных браузеров не доверяет корневому сертификату Министерства, поэтому оно просит пользователей установить его вручную, описывая этот шаг как “безопасный” и не влияющий на работу устройств.
После установки корневой сертификат может подтверждать любой домен — будь то банк, который пользователь хотел посетить, или Gmail, iCloud, мессенджер, новостной сайт. Браузер принимает результат без вопросов, потому что пользователь сам дал на это разрешение. А агентство, делающее запрос, уже контролирует сеть, по которой проходит трафик: оборудование глубокого анализа пакетов (TSPU) установлено на российских провайдерах, а государственные DNS-резолверы могут перенаправить доменное имя на сервер по своему выбору.
Государственный корневой сертификат существует с марта 2022 года, после того как DigiCert и Thawte начали отказывать в обслуживании санкционированным российским клиентам. Однако из-за широкого недоверия его внедрение шло медленно (Казахстан пробовал подобное в 2019 году, но Apple, Google и Mozilla заблокировали сертификат из-за угрозы перехвата данных пользователей).
Сначала банки перешли на GlobalSign в 2022 году. В июне этого года GlobalSign начал отзывать сертификаты у санкционированных российских компаний, и они обратились к HARICA, греческой академической организации.
Месяц назад HARICA отказалась отзывать сертификаты: их выдача происходит на основе самообслуживания и проверки доменов, и они идентифицируют только домен, аргументируя, что они не являются “компетентным органом для выполнения этих юридических атрибуций”. Однако 27 июля надзорный орган Греции eIDAS подтвердил отзыв спорных сертификатов и передал дело в национальное управление финансовых санкций. В течение нескольких дней пострадавшие компании снова сменили сертификат, теперь на китайский TrustAsia.
Российские банки уже четыре года ведут подобную игру против Apple. В 2022 году Apple закрыла аккаунты разработчиков Сбербанка, Альфа-Банка, ВТБ, Промсвязьбанка, Совкомбанка и других из-за западных санкций и удалила их приложения по всему миру. Банки вернулись под прикрытием, переупаковав свои приложения как трекеры купонов, онлайн-игры или советники по подаркам, публикуемые отдельными разработчиками и рекламируемые среди клиентов для быстрой установки до их удаления.
