Тарас Евгенич

Linux: проверить и снести сертификат Минцифры

Если ты на линуксе, ты и сам справишься - здесь просто собраны команды под два семейства дистрибутивов и одно место, о котором забывают чаще всего: браузеры со своим хранилищем.

Общий контекст и почему сертификата два - на главной: https://tevgenich.com/instrukciya/

Шаг 1. Проверить

Debian, Ubuntu и производные:

ls /usr/local/share/ca-certificates/ | grep -i russian
grep -ri "Russian Trusted" /etc/ssl/certs/ca-certificates.crt

Fedora, RHEL, CentOS и производные:

ls /etc/pki/ca-trust/source/anchors/ | grep -i russian
trust list | grep -i -A2 -B2 russian

Пусто - в системном хранилище чисто. Но это ещё не всё, см. шаг 3.

Шаг 2. Удалить из системного хранилища

Debian, Ubuntu:

sudo rm /usr/local/share/ca-certificates/russian_trusted_root_ca.crt
sudo update-ca-certificates --fresh

Имя файла может отличаться - смотри, что выдал ls из шага 1, и удаляй обе штуки, корень и подчинённый.

Fedora, RHEL:

sudo rm /etc/pki/ca-trust/source/anchors/russian_trusted_root_ca.crt
sudo update-ca-trust extract

Шаг 3. Хранилища браузеров - про них забывают

На линуксе Chrome, Chromium и Firefox держат свой список корней в базе NSS, отдельно от системного. Удалил из системы - в браузере может остаться.

Посмотреть, что лежит в пользовательской базе NSS:

certutil -d sql:$HOME/.pki/nssdb -L | grep -i russian

Удалить оттуда:

certutil -d sql:$HOME/.pki/nssdb -D -n "Russian Trusted Root CA"

(это утилита certutil из пакета libnss3-tools, не путать с одноимённой виндовой)

У Firefox своя база на каждый профиль:

certutil -d sql:$HOME/.mozilla/firefox/<профиль>.default-release -L | grep -i russian

Удаление там же ключом -D -n "имя". Либо мышкой: about:preferences → Приватность и защита → Сертификаты → Просмотр сертификатов → вкладка «Центры сертификации» → найти, удалить.

Шаг 4. Проверить, что ушло

Прогнать команды из шага 1 и из шага 3 ещё раз - везде должно быть пусто. Браузеры перезапустить полностью.

Что здесь идёт не так

1. Чистят систему и забывают NSS. Самое частое. Система чистая, Chrome доверяет. 2. Удаляют один сертификат из двух. Ищи по russian, не по полному имени. 3. Забывают update-ca-certificates --fresh / update-ca-trust extract - без этого пересборка связки не произошла, файл удалён, а в общем ca-certificates.crt он остался. 4. Ставили руками в /etc/ssl/certs - тогда смотри и там, симлинк придётся убрать вручную.

Что дальше

  1. Пароли и сессии - в правильном порядке: https://tevgenich.com/instrukciya/paroli/
  2. Как заходить в банк дальше - четыре способа: https://tevgenich.com/instrukciya/chetyre-sposoba/

Разбор всей истории с датами и источниками: https://tevgenich.com/sertifikat-mincifry/