В соцсетях распространяется информация, что Яндекс Браузер якобы начал скрытно устанавливать в Windows государственный корневой сертификат Russian Trusted Root CA. Утверждается, что это позволяет перехватывать данные пользователей без ведома браузера.
Как на самом деле
Это фейк. Пресс-служба Яндекса в комментарии для «Лапша Медиа» опровергла «скрытую» установку сертификата: «Яндекс Браузер не изменяет системное хранилище сертификатов при установке или обновлении. Поддержка сайтов с национальными сертификатами реализована внутри браузера и не влияет на список доверенных сертификатов операционной системы».
Скрытый перехват данных также невозможен. Благодаря международному стандарту Certificate Transparency все сертификаты фиксируются в публичных логах и проверяются при каждом подключении. Если сертификат отсутствует или не соответствует требованиям, соединение блокируется. Данные остаются под стандартной TLS-шифровкой, и расшифровать их нельзя.
Сертификаты Russian Trusted Root CA — это отечественная замена иностранным сертификатам, необходимая для защищенного доступа к российским сайтам и не затрагивающая другие ресурсы.
В Яндекс Браузер эти сертификаты просто уже встроены. В других же браузерах при попытке зайти, например, в «Личный кабинет налогоплательщика» они выдают предупреждение о невозможности соединения.
Панические сообщения о «тотальной слежке» и «MITM-атаках» распространяются для нагнетания страха и к реальной безопасности компьютера или данных не имеют никакого отношения.
Хотите опубликовать свой разбор на сайте «Лапша Медиа»? Как это сделать — подробно рассказываем здесь.
Источник опровержения
Код Дурова: Сертификаты Минцифры для браузеров и ОС: так ли они страшны? Ещё одно мнение
Конверста: Как установить корневой сертификат Минцифры?