Сбер предлагает поставить сертификат. Почему это опасно?

[polym0rph]

 

Сбер сообщает, что веб версия СберБанк Онлайн скоро будет недоступна без российских сертификатов и предлагает их установить. А я вам сейчас расскажу, что это и зачем. Скорее всего официальная версия будет похожей на такую: в иностранных операционках иностранные корневые сертификаты, они нас могут отключить, сервисы упадут, нам нужно свое, суверенное, с нашей отечественной криптографией типа кузнечика, где наши суверенные закладки, а не импортные, в иностранных алгоритмах, которые мы не знаем. И доля правды в этом есть конечно. Но интересно тут другое.

 

Большая часть сайтов сейчас используют зашифрованное подключение. Если простыми словами, то раньше у сайтов был http: в адресе, а теперь у почти всех https:, замечали? Это позволяет шифровать трафик между вашим устройством и сайтом, то есть даже если его перехватят, злоумышленники не смогут получить пароли, которые вы вводите, информацию, которую вы передаете, или которую передают вам. Еще эта штука позволяет определить, что вы на том сайте, куда хотели попасть, а не на каком-то другом. Раньше можно было подделать DNS ответ или маршрут и закинуть вас на другой, ложный сайт. А теперь есть всякие удостоверяющие центры и прочая инфраструктура, которая выдает сертификаты, а самоподписанные сертификаты особо не прокатывают. Вот это и хотят обойти своими "домашними" корневыми сертификатами.

 

Так чем же плоха идея установить сертификаты НУЦ Минцифры России, как советует Сбер? А тем что ваш трафик можно будет легло расшифровывать, получать все ваши данные, подменять на лету входящие и исходящие сообщения, блокировать неугодную информацию и осуществлять любую другую цензуру. В том числе ваши логины-пароли наверняка начнут собирать и бережно сохранять на всякий случай. Скажете, нельзя так? Не только можно, но и нужно, по закону из пакета Яровой. По нему операторы обязаны хранить всю проходящую через них информацию. Включая и эту. Сейчас этот закон по сути очередная мертворожденная влажная мечта Левиафана. Особого смысла хранить терабайты зашифрованного трафика нет, тем более что большую его часть составляют видео с котятами из ютуба. И все резко меняется, если трафик этот можно расшифровать, отсортировать, проанализировать. По сути это легальная MitM атака, которую разрешает сам пользователь. Можно все читать, править, перенаправлять пользователя на другие подменные сайты и делать вообще все, что сможете придумать.

 

Для криптанов тема особенно интересна по понятным причинам.

 

Ну и напоследок, если вы совсем не хотите ставить эти сертификаты, вам предлагают использовать Яндекс Браузер или Атом. Всем теперь понятно, что никакую ценную информацию через них передавать нельзя? Надеюсь, что да.

 

Были ли такие попытки от государств раньше? Да, конечно, иногда в более лайтовом режиме, иногда в более жестких. В Казахстане заставить людей устанавливать государственный корневой сертификат пытались даже внеся соответствующие правки в закон "О связи". К счастью, из-за реакции общества и понимания опасности такой практики, инициативы удалось откатить. Надеюсь, и в РФ эта опасная, без сомнения, практика, не получит развития. Имея уже весьма большой опыт, нетрудно догадаться, что вскоре после начала такого сбора можно будет приобрести на черном рынке все эти базы. Но паника начнется только когда начнут выкладывать личную переписку всяких депутатов, принимавших подобные законы, их логины и пароли к сервисам и т.п. Как озаботились сливами с камер, перемещений в транспорте и прочими базами, когда по ним начали вычислять наших силовиков и разбирать их операции.

 

А что делать, если реально перекроют доступ к необходимым ресурсам? Желательно в первую очередь найти им альтернативу. Подобные сервисы должны начать терять аудиторию, чтобы это было явным сигналом несогласия людей с подобной политикой.

Если же это по каким-то причинам невозможно, заведите отдельный смартфон или виртуалку только для доступа к таким сервисам, ни на какие другие с них заходить будет нельзя, это поможет вам сохранить те остатки приватности и безопасности, что еще остаются в рунете.

[Арчи]

Я смотрю дело пошло ... Раньше только я тут пороноил  а тут уже такие уважаемые люди подключились ) И вот нас уже двое 

 

Массы тупы , их убивают а они радуются . Сожрут , и даже фалоимитатор с чипом GPS  будут в заднице носить чтобы родное государство всегда их видело.

 

Остальные же не пользуются вышеозвученными сервисами и продолжают параноить .  Кстати вы далеко не весь комплекс  озвучили . 1с , антивирус Касперского , яндекс браузер , сбербанк сертификат .  Так будет правельнее.

Это из репрессивного .  Есть и мягкая сила которая просто годами и десятилетиями формирует повестку дня.   И если детей уже сейчас начать воспитывать с убеждением что афроамериканцев можно кушать , то через 25 лет они их реально будут кушать считая что так было всегда. 

 

Альтернатива есть всегда ,  но ради нее надо шевелится и что то делать мозгом .....