Сертификаты Минцифры: что это, зачем их устанавливать и где получить

Если при открытии веб-страницы российского банка или государственного сервиса появилось предупреждение о небезопасном соединении, это не всегда связано с работой сайта. Просто браузер не доверяет организации, которая выпустила сертификат безопасности. Для таких случаев существуют сертификаты Минцифры — рассмотрим, зачем они нужны обычному пользователю и где их скачать для ПК и смартфона.

Содержание

• Что такое сертификаты Минцифры
• Зачем нужны сертификаты Минцифры
• Обязательно ли их устанавливать и безопасно ли это
• Где скачать сертификаты Минцифры
• Как установить сертификаты Минцифры

• На Windows
• На macOS
• На Linux
• На iOS
• На Android

• Что делать, если сайт всё равно не открывается
• Как удалить сертификаты Минцифры

Что такое сертификаты Минцифры

Сертификаты Минцифры — это сертификаты безопасности Национального удостоверяющего центра (НУЦ) Минцифры. Они помогают браузеру проверить подлинность российских сайтов и установить с ними защищённое соединение. Не стоит путать сертификаты Минцифры электронной подписью — она нужна для подписания документов.

Чтобы браузер мог доверять сайту, он проверяет цепочку из нескольких звеньев. Владелец сайта устанавливает TLS-сертификат для своего домена, а пользователь добавляет на своё устройство корневой и выпускающий сертификаты. Браузер обращается к ним, чтобы проверить, каким удостоверяющим центром подтверждён сайт и можно ли ему доверять.

Читайте также:

TLS: что это за протокол и как он работает

Когда пользователь открывает сайт, браузер проверяет цепочку доверия: от TLS-сертификата сайта через выпускающий сертификат до корневого. Последний должен находиться в доверенном хранилище ОС или браузера. Если цепочка подтверждается, соединение считается безопасным. Если нет, браузер показывает предупреждение или ошибку.

Зачем нужны сертификаты Минцифры

Хотя сертификаты Минцифры выдают с 2022 года, вопрос их подключения стал особенно актуальным этим летом. Международный удостоверяющий центр GlobalSign начал принудительно отзывать ранее выданные сертификаты для российских компаний, попавших под санкции. Уже в августе многие крупные банки в России перешли на решения Минцифры и больше не зависят от зарубежных удостоверяющих центров.

У этой тенденции есть и обратная сторона: пользователи Chrome, Safari и Edge столкнулись с тем, что сайты российских банков перестали открываться. По умолчанию эти браузеры не доверяют российскому НУЦ, поэтому не могут подтвердить безопасность соединения. Чтобы подобные сайты открывались, а подключение оставалось защищённым, Минцифры рекомендует пользователям установить на устройства сертификаты НУЦ.

Обязательно ли устанавливать сертификаты Минцифры и безопасно ли это

Обычному пользователю устанавливать сертификаты Минцифры не обязательно. Они понадобятся, если нужные сайты перешли на решения НУЦ, а ваш браузер не может подтвердить их подлинность.

Можно обойтись и без установки — например, открыть сайт в «Яндекс Браузере», который поддерживает российские сертификаты по умолчанию.

Если вы пользуетесь Chrome, Edge, Safari или другим браузером без такой поддержки, можно установить сертификаты Минцифры на компьютер или смартфон. После этого система сможет доверять сайтам, которые используют сертификаты НУЦ.

Безопасны ли сертификаты Минцифры

Сам по себе сертификат Минцифры не относится к ПО. Он не работает в фоновом режиме и у него нет доступа к файлам пользователя. Но установка корневого сертификата меняет настройки безопасности ОС и расширяет круг центров, которым система доверяет при проверке HTTPS.

Теоретически риск возникает, если такой центр скомпрометируют и он выдаст действительный TLS-сертификат домена постороннему лицу, а злоумышленник при этом сможет перехватить соединение пользователя. В таком случае браузер может не распознать подмену. Подобные случаи ошибочной выдачи происходили и у иностранных удостоверяющих центров.

Разница в том, что многие зарубежные корневые сертификаты уже входят в хранилища доверия ОС и браузеров, а НУЦ нужно добавлять вручную. При этом сама установка не даёт кому-либо автоматического доступа ко всему интернет-трафику пользователя: для перехвата нужны дополнительные условия и активное вмешательство в соединение.

Поэтому корневые сертификаты относятся к чувствительным настройкам безопасности, и устанавливать их стоит только из официального источника.

Где скачать сертификаты Минцифры

Сертификаты Минцифры можно скачать на отдельной странице «Госуслуг». Там находятся все необходимые файлы и инструкции — в том числе в формате видео — по установке на ОС Windows, macOS, Linux, а также iOS и Android.

Если же нужен TLS-сертификат для домена, НУЦ бесплатно выпускает сертификаты типов DV и OV для российских сайтов. Их могут получить физлица, юрлица или ИП, заполнив заявление на «Госуслугах». OV-сертификат безопасности действует 365 дней с даты выдачи, DV — 90 дней. По истечении срока нужно подать новое заявление, чтобы снова сформировать сертификат.

Как установить сертификаты Минцифры

Способ установки зависит от операционной системы: для Windows, macOS и Linux порядок действий и устройства хранилищ различаются.

Установка на Windows

На странице «Госуслуг» находим вкладку Сертификаты для Windows. Нажимаем кнопку Скачать корневые сертификаты, распаковываем скачанный архив и запускаем файл russian_trusted_root_ca.cer. В окне нажимаем Открыть, далее — Установить сертификат….

В новом окне Мастер импорта сертификатов оставляем опцию Текущий пользователь и нажимаем Далее. Затем выбираем пункт Поместить все сертификаты в следующее хранилище, нажимаем Обзор…, отмечаем категорию Доверенные корневые центры сертификации — Далее. На последнем этапе нажимаем Готово, а затем в окне предупреждения системы безопасности — Да. После уведомления о том, что импорт выполнен, установите аналогичным способом второй сертификат russian_trusted_root_ca_gost_2025.cer.

Далее устанавливаем выпускающий сертификат. Нажимаем кнопку Скачать выпускающие сертификаты, распаковываем архив, открываем russian_trusted_sub_ca.cer. Нажимаем Открыть, далее — Установить сертификат…. Как и в случае с корневым сертификатом, оставляем Текущий пользователь и нажимаем Далее, но в окне Мастер импорта сертификатов уже отмечаем Автоматически выбрать хранилище на основе типа сертификата. Завершаем установку.

Чтобы сайты с российским TLS-сертификатом корректно работали после установки, «Госуслуги» рекомендуют очистить кэш браузера. Однако на некоторых сайтах защищённое соединение устанавливается и без этого.

Установка на macOS

Заходим на страницу «Госуслуг» и выбираем вкладку Сертификаты для macOS. Затем нажимаем кнопку Скачать сертификаты, распаковываем архив, открываем russiantrustedca.pem через приложение Связка ключей и добавляем сертификат в хранилище, нажав Изменить связку ключей. Далее в Связке ключей выбираем Вход и переходим во вкладку Сертификаты. Выбираем Russian Trusted Root CA и во вкладке Доверие выбираем Всегда доверять. По этому же принципу настраиваем доверие для Russian Trusted Sub CA, а также для других сертификатов в архиве.

Установка на Linux

Способ установки в Linux зависит от дистрибутива и браузера. Системные хранилища и команды для их обновления различаются, поэтому единой инструкции нет. После загрузки файлов с «Госуслуг» дальнейшие шаги будут зависеть от вашей системы.

Например, в Debian и Ubuntu используют следующие команды:

sudo cp russian_trusted_root_ca.pem /usr/local/share/ca-certificates/russian_trusted_root_ca.crt
sudo cp russian_trusted_sub_ca.pem /usr/local/share/ca-certificates/russian_trusted_sub_ca.crt
sudo update-ca-certificates

На странице «Госуслуг» есть полная инструкция для систем Red Hat Enterprise. В любом случае общий принцип сводится к тому, чтобы добавить новые сертификаты в хранилище, а затем обновить его.

Установка на iOS

Откройте страницу «Госуслуг» с сертификатами через Safari. Найдите вкладку Сертификаты для iOS и нажмите Скачать профиль. Далее нажмите Разрешить. После уведомления Профиль загружен перейдите в Настройки, откройте Профиль загружен (под именем пользователя) и нажмите Установить. Далее в окне Профиль установлен нажмите Готово.

Теперь перейдите в Настройки — Основные — Об этом устройстве — Доверие сертификатам и подключите Russian Trusted Root CA, а затем нажмите Продолжить.

Как установить сертификаты Минцифры на Android

Как и в случае с iOS, на Android сертификаты устанавливают через системные настройки смартфона. Точный путь к разделам зависит от версии Android и оболочки производителя, поэтому названия опций на Samsung, Xiaomi, Honor, Huawei и других устройствах могут различаться.

В браузере смартфона откройте страницу сертификатов на «Госуслугах», затем вкладку Сертификаты для Android и нажмите Скачать корневые сертификаты. Распакуйте архив любой программой-архиватором. Далее перейдите в Настройки / Settings и наберите Сертификат в поиске. Найдите Сертификат CA / CA certificate, опцию установки CA-устройства и введите пин-код. Перейдите в папку с распакованными файлами и выберите russian_trusted_root_ca.cer. В нижней части экрана появится уведомление о том, что сертификат установлен. Процедуру нужно повторить и для второго корневого сертификата.

Установка выпускающего сертификата происходит аналогичным способом. Только в этот раз среди распакованных файлов в первую очередь выбираем russian_trusted_sub_ca.cer, а затем устанавливаем и остальные.

В зависимости от смартфона установленные сертификаты можно посмотреть в настройках — например, в разделе Сертификаты пользователя / User Sertificates.

Что делать, если после установки сайт всё равно не открывается

Если после установки браузер по-прежнему предупреждает о незащищённом подключении, вот несколько возможных причин.

Установлены не все нужные файлы. Для корректной работы нужны не только корневые, но и выпускающие сертификаты. Без промежуточного звена браузер не сможет построить полную цепочку доверия до сайта.

Браузер не перезапустили после установки. Также можно очистить кэш, чтобы приложение не использовало сохранённые данные страницы.

Не подключена опция Доверие / Доверие сертификатам на macOS и устройствах iOS. Добавления файлов в систему недостаточно.

Браузер использует собственное хранилище. Например, Firefox поддерживает автоматическое доверие сторонним корневым сертификатам из хранилища ОС только начиная с версии 120.

Проблема связана с конкретным браузером. «Госуслуги» предупреждают, что в некоторых браузерах, например в Firefox или Opera, ошибки могут сохраняться и после установки. В качестве альтернативы сервис рекомендует использовать «Яндекс Браузер».

Сайт не открывается и в «Яндекс Браузере». В таком случае причина может быть связана с самим сайтом или ошибкой подключения.

Как удалить сертификаты Минцифры

Если сертификаты больше не нужны, их можно удалить с устройства. Рассмотрим, как это сделать в Windows.

Комбинацией Win + R вызываем окно Выполнить и набираем certmgr.msc. Это вызовет диспетчер сертификатов текущего пользователя. Находим папку Доверенные корневые центры сертификации — Сертификаты и в списке ищем Russian Trusted Root CA. Нажимаем ПКМ и выбираем Удалить.

Далее переходим в папку Промежуточные центры сертификации, выбираем Сертификаты, находим и удаляем Russian Trusted Sub CA.

В случае с iOS необходимо открыть Настройки — Основные — VPN и управление устройством, затем профиль конфигурации Russian Trusted CA и нажать Удалить профиль.

На Android нужно перейти в раздел с сохранёнными конфигурациями, например Сертификаты пользователя / User sertificates, выбрать в списке один из сертификатов Минцифры и нажать Удалить / Remove. То же самое проделать с остальными.

После удаления сертификатов Минцифры из хранилища или профиля устройства на сайтах, которые работают через доверительную цепочку НУЦ, снова появится предупреждение о незащищённом подключении.