>>188
>Расскажите человеку далекому от it вкратце что это за проблема и чем грозит нам?
Заходя на какой-нибудь сайт с ssl сертификатом, ты точно знаешь что зарешл именно на тот самый сайт и между тобой и ним нет слушателя, который может вмешиваться в трафик (смотри протокол Диффи-Хеллана). В каждом браузере, и операционной системе, есть корневые сертификаты организайций выдающих ssl сертификаты.
Если в трафик не вмешиваться схема работает так. Открываем в браузере сайт с ssl, получаем от него информацию по сертификаты и смотрим, есть ли корневой сертификат в браузере или операционной системе. Если есть корневой сертификат - все хорошо, создается защищенное соединение.
Если в трафик начинают вмешиваться, то тут интереснее. Например, провайдер хочет добавить на страницу сайта свой js скрипт с рекламой (как раньше делал билайн в аэропортах). Мы обращаемся к сайту, получаем от туда сертификат, провайдер перехватывает трафик и заменяет на свой серт, так как стоит по середине и может трафик проксировать, мы получаем, или сертификат от прокси (где указан сертификат не сайта, а какой-то левый), или измененные данные. И вот тут вступает Дифи-Хеллман протокол. В общем, данные не совпали и в браузере будет написано: что-то не так с сертификатом и не рекомендуем тут находиться.
Все эти ssl очень полезны для передачи чувствительной информации. Банковские карты, платежи и так далее. И если отозвать у банка сертификат, то у всех будет недоверенное подключение к банку.
Есть несколько способов решения.
1. Выписать сертификат у центра сертификации, который точно не отзовет серт по каким-то своим причинам (см. отзыв сертов втб24 в 22 году). И тут есть проблема. Корневые сертификаты этого центра должны быть установлены на устройстве/браузере пользователя. Как-то надо их передать и объяснить как устанавливать. И обновлять.
2. Выписать серт на левую компанию, или сертфикат со сроком жизни 1 месяц (например, let's encrypt. Они, кстати, тоже стали отзывать серты компаний из РФ). В случае первом пользователь просто не знает что это за левый сайт с сертом и почему должен доверять при открытии. В названии сертификата всегда указывается организация которой этот серт выдан.
И вот тут появляется государство и со словами "подержи мое пиво" предлагает всем решение установкой корневых сертификатов от минцифры. С одной стороны дело крайне полезное и правильное. Потому что серты выдаются внутри страны. По законам других стран серт отозван быть не может.
А вот с другой интереснее. При наличие такого корневого серта на устройстве можно весь трафик пользователя завернуть в проксю, подменить серт на свой и он будет доверенным, потому что корневой серт уже в системе. И как-то вмешиваться в трафик. Расшифровывать его и читать, добавлять что-то, убирать. Масса вариантов.
Поэтому и хочется какое-то решение чтобы точно знать - я пришел на сайт организации, а не на подставное решето. Но при этом не зависеть от центров сертификации.