Десять минут. Android - самая мутная система в этой теме, потому что меню у каждого производителя своё, а часть проблемы удалением вообще не лечится. Об этом честно в конце.
Общий контекст и почему сертификата два - на главной: https://tevgenich.com/instrukciya/
Настройки → в поиске по настройкам набрать «сертификаты» → «Учётные данные пользователя» (у некоторых производителей - «Надёжные сертификаты» → вкладка «Пользователь»).
Смотри именно вкладку «Пользователь». Во вкладке «Система» лежат сотни предустановленных корней - они там были всегда, это нормально, туда лезть не надо.
Ищи по слову Russian: сертификата два, Russian Trusted Root CA и Russian Trusted Sub CA.
Оболочки у Samsung, Xiaomi, Huawei, Realme и «чистого» Android отличаются, и пункт может называться по-разному и лежать в разных разделах (обычно где-то в «Безопасность» или «Пароли и безопасность»). Выдумывать путь я не буду - надёжнее поиск по настройкам по слову «сертификаты», он есть на всех современных оболочках.
Не нашёл - напиши мне модель, разберёмся вместе.
Настройки → «Учётные данные пользователя» → вкладка «Пользователь» → удалить сначала Russian Trusted Sub CA, потом Russian Trusted Root CA.
Потом полностью закрыть браузер - не свернуть, а закрыть из списка запущенных приложений - и открыть заново. Лучше заодно перезагрузить телефон.
Эта кнопка выглядит как решение и сносит всё пользовательское хранилище разом. Если у тебя есть корпоративный Wi-Fi, рабочий VPN или электронная подпись - они улетят вместе с сертификатом, а восстанавливать это отдельное приключение.
Удаляй по одному, руками.
Вернись во вкладку «Пользователь» - там не должно остаться ничего со словом Russian. Если вкладка стала пустой и надпись «нет сертификатов» - готово.
1. Смотрят вкладку «Система» и пугаются. Там сотни корней, и это норма для любого телефона в мире. Нужна вкладка «Пользователь».
2. Удаляют один сертификат из двух. Sub CA находится реже, а без него цепочка может собраться заново.
3. Не закрывают браузер. Chrome держит соединение и результат проверки в памяти, пока процесс жив. Свернуть - не считается.
4. Жмут «Очистить учётные данные» и теряют рабочий VPN. См. выше.
5. Отдельный российский браузер продолжает открывать банк - и человек думает, что не удалил. У Яндекс Браузера и Атома поддержка этих сертификатов встроена, они работают независимо от системного хранилища. Это не ошибка удаления.
Сертификат приезжает на телефон, даже если ты никакую кнопку не нажимал.
Исследование FOCI: взяли 1394 приложения из RuStore и нашли Russian Trusted Root CA либо подчинённый ему сертификат в 399 из них. Это 28,6%. Судя по повторяющимся путям файлов, он расползается через общие библиотеки и SDK - то есть половина разработчиков этих приложений скорее всего сами не в курсе.
Такое приложение доверяет сертификату своим собственным механизмом. В системное хранилище оно не смотрит, в настройках телефона ты его не увидишь, и удаление корня из системы на него не влияет вообще никак.
Что с этим делать честно: системного решения нет. Только не держать чувствительное в приложениях, которым не доверяешь, и понимать границу: удаление корня закрывает браузеры и системные соединения, а не всё подряд.
Что сломается: сайты банков в Chrome. Что не сломается: приложения банков (у них свои сертификаты внутри), Яндекс Браузер и Атом, все остальные приложения и обновления.
Разбор всей истории с датами и источниками: https://tevgenich.com/sertifikat-mincifry/
Не нашёл нужный пункт в меню - напиши мне модель телефона, подскажу.