Тарас Евгенич

Windows: проверить и снести сертификат Минцифры

Десять минут. Здесь лежит главная ловушка всей темы: можно нажать «Удалить», увидеть, что сертификат исчез, и при этом не удалить ничего. Разбор ниже, он короткий.

Общий контекст и почему сертификата два - на главной: https://tevgenich.com/instrukciya/

Шаг 1. Проверить

Самое быстрое - командой. Открой командную строку (Win + R → cmd) и вставь обе строки по очереди:

certutil -store Root | findstr /i "Russian"
certutil -user -store Root | findstr /i "Russian"

Пусто в обеих - сертификата нет, дальше можно не читать.

Мышкой то же самое: Win + R → certmgr.msc → «Доверенные корневые центры сертификации» → «Сертификаты» → пролистать до буквы R.

Ищи по слову Russian: их два, Russian Trusted Root CA и Russian Trusted Sub CA. Второй лежит в разделе «Промежуточные центры сертификации».

Шаг 2. Удалить. И вот тут внимательно

В Windows два хранилища сертификатов: машинное и пользовательское. И пользовательское наследует содержимое машинного - это написано в документации Microsoft, а не мой вывод.

Что происходит на практике: сертификат прописан на уровне компьютера, ты открываешь привычный certmgr.msc (это пользовательское хранилище), видишь его там, жмёшь «Удалить»

Отсюда растут все посты «он не удаляется, это вирус». Не вирус. Просто не то окно.

Правильный порядок

  1. Win + R → certlm.msc - это машинное хранилище, откроется с правами администратора.
  2. «Доверенные корневые центры сертификации» → «Сертификаты» → найти Russian Trusted Root CA → правый клик → «Удалить».
  3. Там же: «Промежуточные центры сертификации» → «Сертификаты» → удалить Russian Trusted Sub CA.
  4. Теперь то же самое в certmgr.msc (пользовательское хранилище) - на случай, если он стоит и там тоже.
  5. Закрыть браузеры полностью и открыть заново.

То же командами

Консоль от имени администратора:

certutil -delstore Root "Russian Trusted Root CA"
certutil -user -delstore Root "Russian Trusted Root CA"

Для подчинённого - то же самое с именем Russian Trusted Sub CA и хранилищем CA (промежуточные) вместо Root.

Шаг 3. Проверить, что ушло

certutil -store Root | findstr /i "Russian"
certutil -user -store Root | findstr /i "Russian"

Обе строки должны вернуть пусто. Вот это и есть доказательство, а не то, что пропала строчка в окне.

Ловушка про Firefox, из-за которой кажется, что не получилось

Про Firefox везде пишут: «у него своё хранилище, системное он не смотрит». Это неверно.

Дословно из справки Mozilla: по умолчанию Firefox на Windows, macOS и Android ищет и использует сторонние корневые сертификаты, добавленные в хранилище операционной системы.

Работает в одну сторону: положил в Firefox - в системе не появится; положил в систему - Firefox тоже начнёт доверять.

Практический вывод: если после удаления сайт всё ещё открывается в Firefox - это не значит, что ты плохо удалил, проверяй командой из шага 3. И наоборот: «в Firefox работает» ничего не доказывает.

Отключается: about:preferences → Приватность и защита → снять галочку «Разрешить Firefox автоматически доверять сторонним корневым сертификатам».

Что здесь идёт не так у людей

1. Удаляют в certmgr вместо certlm. Главная ловушка, разобрана выше. 2. Удаляют только Root CA, а Sub CA остаётся в «Промежуточных центрах». 3. Не закрывают браузер. Chrome и Edge держат результат проверки, пока процесс жив. 4. Проверяют «на глаз» по сайту банка, а не командой.

Что дальше

  1. Пароли и сессии - в правильном порядке: https://tevgenich.com/instrukciya/paroli/
  2. Как заходить в банк дальше - четыре способа: https://tevgenich.com/instrukciya/chetyre-sposoba/

Что сломается: сайты банков и часть госресурсов в Chrome, Edge и Opera - ошибка ERR_CERT_AUTHORITY_INVALID. Что не сломается: обновления Windows, магазин приложений, зарубежные сервисы - этот корень появился в 2022 и обслуживает только российские сайты, которые на него перешли.

Разбор всей истории с датами и источниками: https://tevgenich.com/sertifikat-mincifry/