Сайты «Сбера» и еще шести российских банков перешли на небезопасный российский сертификат шифрования TLS

Сайты «Сбера», ВТБ, Россельхозбанка, Т-банка, «Уралсиба», Промсвязьбанка и банка «Санкт-Петербург» перешли на небезопасный российский сертификат шифрования TLS, обнаружила «Медиазона».

Еще в пятницу, 31 июля, эти сайты работали по китайскому сертификату TrustAsia.

Т-банк перевел на российский сертификат только свой домен tinkoff.ru, домен tbank.ru остается на сертификате от организации Let's encrypt. Еще один банк, Левобережный, перевел на сертификат Минцифры только банкинг для юридических лиц.

На прошлой неделе на этот же сертификат, выдаваемый Минцифры, перешел сайт «Альфа-банка».

Летом иностранные удостоверяющие центры стали массово отзывать сертификаты у подсанкционных российских госкомпаний. Также стало известно, что Минцифры рассылает рекомендации переходить на его сертификаты для «бесперебойного и безопасного доступа к отечественным ресурсам через иностранные браузеры».

Российские власти могут расшифровывать трафик любых сайтов, если на устройстве установлен сертификат Минцифры. Подобную атаку в 2019 году провели власти Казахстана. «Медиазона» рекомендует пользователям не устанавливать сертификат Минцифры.

Для доступа к сайтам, которые перешли на российский сертификат, лучше использовать отдельные браузеры, например — отдельную копию браузера Firefox, куда можно добавить любой сертификат. Этот браузер, в отличие от других, использует свое собственное хранилище сертификатов, а не общее для всей системы.

Кроме того, можно воспользоваться российским браузером с предустановленными сертификатами — но такой браузер безопасно использовать только для посещения российских сайтов.