14 февраля ретейлеры начали предупреждать о проблемах с оплатой онлайн через «Сбер» с 15 февраля без TLS-сертификата Минцифры.

15 сентября Минцифры и "Сбер" сообщили, что онлайн-сервисы «Сбера» через несколько дней начнут переход на российские TLS-сертификаты. Фактически это означает, что облачные сервисы «Сбера» будут полноценно работать только в «Яндекс Браузере» и браузере «Атом» от VK без отдельной установки российских TLS-сертификатов в системах пользователей.

«Сбер» для безопасного доступа к сайтам банка после перехода на российские TLS-сертификаты предлагает всем пользователям установить корневой сертификат Russian Trusted Root CA с сайта "Госуслуги" или использовать "Яндекс Браузер".

19 сентября 2022 года Минцифры пояснило, зачем «Сбер» и многие другие компании переходят на российские TLS-сертификаты. Также ведомство рассказало, как пользователи с помощью информации на портале «Госуслуги» могут разобраться с установкой в своих системах корневого сертификата Russian Trusted Root CA или зачем им надо установить браузеры с поддержкой российских сертификатов. Это «Яндекс Браузер» или «Атом».

19 сентября 2022 года эксперты «Роскомсвободы» рассказали, что из-за возможности провести MITM-атаку после установки российских TLS-сертификатов, они рекомендуют использовать в случае крайней необходимости только «Яндекс Браузер», а не ставить сертификаты на свои ПК. «Сбер», наоборот, советует всем пользователям устанавливать сертификаты с сайта "Госуслуги" (Russian Trusted Root CA) на каждое рабочее устройство, чтобы после скорого перехода компании на российские сертификаты удостоверяющего центра «всё продолжало работать так же бесперебойно и безопасно».

26 сентября «Сбер» сообщил, что основной сайт финансовой организации (sberbank.ru) переводится на российские TLS-сертификаты.

После перевода на российские TLS-сертификаты основной сайт «Сбера» (sberbank.ru) открывается по http или блокируется иностранными браузерами как небезопасное подключение на ПК и смартфонах без установленного сертификата Russian Trusted Root CA в системе. В «Яндекс Браузере» или в браузере «Атом» сайт «Сбера» открывается в защищённом режиме по https.

7 октября 2022 года некоторые клиенты «Сбера» пожаловались на невозможность зайти в мобильное приложение банка из-за границы. Также у них есть проблемы с доступом к сайту организации. Система не даёт пользователям авторизоваться без установления соединения не через российский IP-адрес. Ситуация возникла у клиентов банка, находящихся сейчас в Армении, Узбекистане, Казахстане, Польше, Италии, Черногории и других странах.

«Сбер» в рамках перевода на российские TLS-сертификаты основного сайта и других своих порталов (веб-версии «Сбербанк Онлайн» и «СберБизнес») выпустил наглядные и простые видеоинструкции для пользователей по установке и настройке на ПК и мобильных устройствах сертификата Russian Trusted Root CA для платформ Android, iOS, macOS и Windows, а также для пользователей смартфонов Samsung.

1 ноября «Сбер» сообщил о начале перевода сайта SberPress на российские TLS-сертификаты, выпущенные Национальным удостоверяющим центром (НУЦ) Минцифры РФ.

В Госдуму внесён законопроект №244043-8 в рамках изменений в закон «Об информации, информационных технологиях о защите информации». Согласно документам проекта, в РФ предусматривается создание информационной системы Национального удостоверяющего центра (ИС НУЦ) Минцифры РФ, которая должна обеспечить сайты в российском сегменте сети «Интернет» специальными сертификатами безопасности для их доверенного использования пользователями.

В 2023 году Национальный удостоверяющий центр на базе НУЦ НИИ «Восход» в рамках двух госзакупок получит ПО информсистемы за 44 млн рублей и проведёт сервисное обслуживание оборудования Информационной системы «Национальный удостоверяющий центр» (ИС НУЦ) на 78 млн рублей.

«Сбер» намерен перевести информационный финансовый сервис, использующийся многими клиентами банка для оплаты услуг и товаров в интернет-магазинах, на российские сертификаты шифрования. Например, на сайтах «Детского мира», «Связного», «Делимобиля», «Леруа Мерлен» и «Онлайн Трейд.ру» при вводе данных банковских карт появилось предупреждением о том, что «для стабильной работы пользователям скоро потребуются сертификаты Минцифры».

В связи с тем, что после недавних событий стали как грибы после дождя плодиться топики о том, как настроить свой jabber-сервер, я решил перечислить некоторые основные ошибки и заблуждения тех, кто настраивает jabber-сервер в первый раз. Речь пойдет про:

• SRV-записи
• SSL-сертификаты
• Заблуждения о транспортах

После 11 лет разработки организация OpenSSL выпустила первую официальную версию этого криптографического пакета с открытым исходным кодом для работы с SSL/TLS. См. официальное сообщение.

OpenSSL позволяет создавать ключи RSA, DH, DSA и сертификаты X.509, подписывать их, формировать CSR и CRT. Также имеется возможность шифрования данных и тестирования SSL/TLS соединений. В новой версии исправлено множество недостатков 0.9.8n, а также добавлены новые фичи (например, поддержка BeOS и российских алгоритмов шифрования, закреплённых в ГОСТах). Полный список изменений см. здесь.

Пакет OpenSSL основан на технологии SSLeay, написанной Эриком Янгом (Eric A. Young) и Тимом Хадсоном (Tim Hudson), которые неофициально закончили работать над ней в декабре 1998 года, после чего перешли в RSA Security.

Доброго всем времени суток!

Сразу хотелось бы дать две ссылки на материалы, на основе которых составлена эта заметка. Можно ознакомиться непосредственно с источниками и не читать топик, представляющий из себя всего-навсего мой вольный перевод-пересказ основных моментов с небольшим количеством отсебятины.
BlackHat USA 2011: SSL And The Future Of Authenticity
Moxie Marlinspike :: Blog — SSL And The Future Of Authenticity

В этой статье прекрасно описана конфигурация FreeRADIUS для WPA2 Enterprice, по ней я успешно сконфигурировал связку FreeRADIUS2 + WPA2 + EAP-TLS (аутентификация пользователя по WIFI WPA / WPA2 Enterprise, при помощи сертификатов). По этому утруждать ни себя ни вас, переводом я не стану.
Тем не менее в статье не хватает информации о тонкостях конфигурирования клиентов Android, Nokia Symbian, iPhone и Windows 7, для вышеописанной связки.
Что я и собираюсь сделать в этой дополняющей статье.

Передаваемые по SSL-соединению данные можно расшифровать! Для этого Джулиану Риццо и Тай Дуонгу удалось использовать недоработки в самом протоколе SSL. И пусть речь пока не идет о полной дешифровке трафика, разработанная ими утилита BEAST может извлечь из зашифрованного потока то, что представляет собой наибольший интерес, — секретные кукисы с идентификатором сессии пользователя.

Google первой среди крупных интернет-компаний внедрила на HTTPS-серверах функцию защиты от будущей потери секретного ключа (функция называется perfect forward secrecy или PFS). Для этого разработано open-source дополнение к OpenSSL, в частности, написан быстрый генератор ключей на эллиптических кривых P-224, P-256 и P-521. По ходу работы специалисты Google также исправили несколько багов в OpenSSL.

PFS означает, что даже в случае получения (взлома) секретного серверного ключа злоумышленник не сможет расшифровать ранее перехваченный и записанный HTTPS-трафик. Пример из реальной жизни: предположим, что какая-то организация на уровне провайдера записывает и хранит весь ваш HTTPS-трафик, а в случае необходимости получает на сервере секретный ключ (или через много лет мощности компьютеров хватит, чтобы его взломать простым брутфорсом), после чего без проблем читает всю накопленную переписку.

В случае с Google такой вариант не пройдёт. Теперь здесь используются недолговечные («эфемерные») сеансовые ключи, которые обмениваются по схеме ECDHE (аббревиатура ECDHE расшифровывается как «эфемерный алгоритм Диффи-Хеллмана с использованием эллиптических кривых»). После сеанса связи ключи уничтожаются, и даже владелец сервера не сможет расшифровать сессию, которую его сервер зашифровал прошлым ключом.