Не открываются сайты банков и другие российские сервисы. Что делать?

Сайты крупных российских банков стали открываться в Chrome, Safari, Edge и Opera с предупреждениями о небезопасном соединении.

Иностранные центры сертификации защищённого соединения отзывают SSL-сертификаты российских компаний. Объясняем, что случилось и как вернуть привычный доступ к банкам и другим сайтам.

Что произошло

Ещё 13 июня GlobalSign, один из крупнейших удостоверяющих центров мира, начал отзывать SSL-сертификаты у части российских организаций. Сами сайты тут ни при чём. По обновлённым регламентам консорциума CA/Browser Forum, куда входят крупнейшие удостоверяющие центры и разработчики браузеров (Google, Apple, Microsoft, Mozilla), выдавать и обслуживать сертификаты компаний из санкционных списков теперь запрещено.

SSL-сертификат (технически правильнее говорить TLS-сертификат, но старое название прижилось) — это «цифровой паспорт» сайта. Он подтверждает, что вы открыли настоящий сайт банка, а данные по пути между вами и сервером шифруются. Когда сертификат отзывают, сайт продолжает работать, но браузер перестаёт ему доверять и предупреждает о небезопасном соединении.

С отзывом международных сертификатов российские компании впервые столкнулись ещё в 2022 году, поэтому запасной вариант у рынка давно готов: Национальный удостоверяющий центр (НУЦ) Минцифры бесплатно выпускает TLS-сертификаты для российских организаций. В конце июля и начале августа на них перешли крупные банки, оставшиеся без международных сертификатов.

Именно после этого клиенты и начали массово видеть предупреждения. Рунету в целом ситуация не угрожает: она касается только сайтов, работавших на сертификатах GlobalSign, остальные сервисы работают как обычно.

Почему у одних всё работает, а у других — нет

Всё зависит от браузера. Проверяя сертификат, он выстраивает цепочку доверия до корневого сертификата удостоверяющего центра: список таких корневых сертификатов встроен в браузер или операционную систему. У Chrome, Safari, Edge и Opera российского корневого сертификата в этом списке нет, поэтому сайт с сертификатом НУЦ они открывают с предупреждением «Ваше подключение не защищено» или требуют дополнительных действий.

Отсюда и разнобой: один и тот же сайт в одном браузере открывается как обычно, а в другом пугает предупреждением, хотя сам сайт и защита соединения не менялись. Разница только в том, какие сертификаты поддерживает конкретная платформа.

Способ 1. Открыть сайт в браузере с поддержкой российских сертификатов

Самый простой вариант — установить Яндекс Браузер: поддержка национальных сертификатов встроена в него по умолчанию с 2022 года, поэтому сайты банков и других российских компаний, перешедших на сертификаты НУЦ, открываются в нём без предупреждений, которые показывают Chrome или Safari. Закладки, пароли и историю при установке можно перенести из прежнего браузера.

В Яндекс Браузере корректно открываются все сайты российских организаций с национальными сертификатами.

Пользователи, судя по всему, так и делают: 4 августа приложение «Яндекс Браузер с Алисой AI» заняло первое место среди бесплатных приложений в российских App Store и Google Play. Сказался переход банков на национальные сертификаты: некоторые из них теперь сами рекомендуют клиентам этот браузер.

«Сайты российских банков продолжают открываться в Яндекс Браузере благодаря встроенной поддержке российских сертификатов безопасности. Пользователям не нужно ничего дополнительно устанавливать или настраивать — доступ к сайтам сохраняется как прежде. Соединение при этом остаётся защищённым: Яндекс Браузер поддерживает безопасное HTTPS-соединение с российскими сертификатами безопасности, а данные передаются в зашифрованном виде с использованием стандартного TLS-шифрования», — рассказали Код.ру в пресс-службе Яндекса.

Способ 2. Установить сертификаты Минцифры вручную

Если менять браузер не хочется, корневые сертификаты НУЦ Минцифры можно установить самостоятельно. Они бесплатно распространяются на «Госуслугах» по адресу gosuslugi.ru/crt, там же есть пошаговые инструкции для Windows, macOS, Linux, Android и iOS.

Несколько деталей, которые легко упустить:

• Сертификаты нужно установить на каждое устройство отдельно: на компьютер, смартфон и планшет.
• Chrome, Edge, Opera и Safari используют системное хранилище сертификатов, поэтому после установки в систему сайты заработают в них автоматически. У Firefox хранилище своё, сертификат придётся дополнительно добавить в настройках самого браузера.
• На iPhone после загрузки профиля с сертификатом нужно ещё вручную включить доверие к нему в настройках системы.

После установки перезапустите браузер и откройте сайт банка: предупреждение должно исчезнуть.

Что делать владельцам сайтов

Компании, у которых отозвали сертификат, могут выпустить новый в другом удостоверяющем центре или перейти на национальные сертификаты НУЦ. 

За выпуском таких сертификатов можно следить: все они записываются в публичные CT-логи (Certificate Transparency, открытые реестры выпущенных сертификатов). Сейчас такие логи ведут три организации, поэтому реестры не зависят ни от одного оператора, ни от самого удостоверяющего центра, а выпуск сертификата нельзя скрыть или подделать. В логах видно, когда и кем выпущен сертификат для конкретного домена: так владелец сайта может убедиться, что его сертификат подлинный, и вовремя заметить, если сертификат для его домена оформил кто-то посторонний.