В августе люди начали натыкаться на одно и то же: заходишь в интернет-банк, а браузер пишет, что соединение не защищено и сайту доверять нельзя. Сбер, ВТБ, Т-Банк. И почти везде дальше один совет: установи сертификат Минцифры, и всё заработает.
Ко мне с этим пришли дважды, оба раза с одним вопросом: это вообще безопасно ставить или нет.
Я сел и проверил - по документации и руками, а не по пересказам. Ниже что здесь правда, что преувеличение, и главное - что с этим делать, потому что вариантов не два, а четыре.
И сразу развилка, чтобы не держать тебя зря. Если ты пришёл только за тем, чтобы снести эту штуку и пойти дальше - тебе нужна не статья, а пошаговая инструкция под свою систему: проверка, удаление, ловушки, порядок со сменой паролей. Она открытая, лежит здесь: 👉 https://tevgenich.com/instrukciya/
А статья - про то, почему это вообще важно и где в панике перегибают.
13 июня 2026. GlobalSign начал массово отзывать TLS-сертификаты у российских компаний. Затронуто порядка 15-20 тысяч доменов. Причина скучная и не про политику напрямую: с 4 мая заработали новые правила обязательной сверки клиентов с санкционными списками, GlobalSign провёл аудит и отозвал. На нём в коммерческом сегменте держалось около 90% западных сертификатов.
Вечером 3 августа 2026. Сбер, ВТБ, Россельхозбанк, Т-Банк, Уралсиб, Промсвязьбанк и банк «Санкт-Петербург» перешли на сертификаты Национального удостоверяющего центра Минцифры. И перестали открываться в Chrome, Safari, Firefox и Opera. Один и тот же банк мог работать в одном браузере и не работать в другом - зависело от того, что где закешировалось.
Вот отсюда и выросла кнопка «установите сертификат». Не из желания всех прослушать, а из вполне бытовой ситуации: людям надо в банк, банк не открывается.
Это, кстати, важно для понимания всей истории. Ловушка получилась не потому, что кто-то её хитро расставил, а потому что сложилось. И это делает её сильнее, а не слабее.
Штука там простая, её просто никто не объясняет.
У каждого сайта есть паспорт - тот самый TLS-сертификат. Когда ты заходишь на сайт, он этот паспорт предъявляет.
А у тебя на устройстве лежит список тех, кто имеет право такие паспорта выдавать. Вот этот список и есть корневые сертификаты. Их там сотни, они приехали вместе с системой, и ты о них никогда не думал.
Когда ты жмёшь «установить сертификат Минцифры», ты дописываешь в этот список ещё одну строчку. И всё, что подписано этой строчкой, твоё устройство принимает без единого вопроса. Замок в адресной строке будет зелёный. Предупреждения не будет. Никогда.
Дальше нужно второе условие: чтобы кто-то физически стоял между тобой и сайтом. В России операторы связи по закону обязаны ставить у себя оборудование фильтрации трафика (ТСПУ), управляется оно централизованно. Публичной статистики фактического охвата нет, но требование закона есть.
Итого: одна половина конструкции уже собрана и не тобой. Вторую половину ставишь ты сам, своими руками, когда жмёшь кнопку. Вот это и называется мастер-ключ.
Главная страшилка звучит так: «если вы установили сертификат, ваши пароли скомпрометированы, силовики могут в любой момент получить доступ к вашим соцсетям, банку и перепискам».
Вот это - неправда. Точнее, это подмена возможности фактом.
Ни одного зафиксированного случая перехвата трафика с сертификатом Минцифры в открытых источниках не описано. Ни одного. Я искал специально.
Для сравнения, как выглядит зафиксированный случай. Казахстан, 17 июля 2019 года: власти через провайдеров обязали граждан поставить корневой сертификат Qaznet Trust Network. Исследователи довольно быстро поймали реальный перехват минимум по 37 доменам - Google, Facebook, Mail.ru. Это опубликовано, с методикой, в рецензируемом исследовании ACM. 21 августа 2019 Mozilla и Google одновременно объявили, что их браузеры не примут этот сертификат вообще, даже если пользователь поставит его руками. Потом подтянулись Apple и Microsoft.
Вот так выглядит доказанный перехват. У нас такого нет.
Есть и второй случай, менее известный, и он даже интереснее. Маврикий, 2021. Регулятор ICTA опубликовал документ, где схема описана открытым текстом: весь трафик соцсетей заворачивается на прокси, расшифровывается, архивируется и шифруется обратно, а граждане обязаны поставить государственный сертификат. Против выступили Mozilla, EFF, Google, Facebook и Internet Society, петиция собрала около 23 тысяч подписей. Предложение отозвали, до внедрения оно не дошло.
Держу это в голове как напоминание: схему обычно описывают открыто, и её иногда останавливают.
И последнее про доказательства, это пригодится в спорах. Фраза «перехват TLS» в популярных текстах почти всегда означает не то, что кажется: обычно это обрыв соединения по имени сайта, ДО обмена сертификатами. Так работает Иран после 2011, так работает Южная Корея, так работает наш ТСПУ. Если кто-то приносит «вот же перехват в стране X» - спрашивай отпечаток сертификата. В настоящем перехвате отпечаток есть всегда, его снимают и публикуют.
Разница простая, и она принципиальная:
Тебя не взломали. Ты отдал ключ.
Воспользуются им или нет - ты снаружи никак не проверишь, в этом и есть неприятная часть. Но «отдал ключ» и «обокрали» - это разные новости, и путать их не надо.
Ещё пара мест, где обычно перегибают:
«Твой телефон откажется пускать тебя на YouTube». Так не работает. Корневой сертификат даёт возможность ПОДМЕНИТЬ сайт, а не заблокировать его. Блокировки делает ТСПУ, и он прекрасно работает независимо от того, стоит у тебя сертификат или нет. Это две разные технологии, а их постоянно склеивают в одну.
«Apple и Google отказались его включить». Формально неточно. Никто не отказывался и не вносил его в чёрный список. Он просто никогда не проходил процедуру включения в корневое хранилище: для этого нужен независимый аудит, публичные логи прозрачности и отсутствие конфликта интересов. У НУЦ Минцифры владелец корня и регулятор блокировок - одно и то же государство. Поэтому цепочка отклоняется обычной проверкой, без всякого политического решения.
Сертификат приезжает к тебе, даже если ты никакую кнопку не нажимал.
Исследование FOCI: взяли 1394 приложения из RuStore и нашли Russian Trusted Root CA либо подчинённый ему сертификат в 399 из них. Это 28,6%. Причём повторяющиеся пути файлов намекают, что он расползается через общие SDK и библиотеки, то есть разработчики половины этих приложений скорее всего сами не в курсе.
Такое приложение доверяет сертификату собственным механизмом, в системное хранилище не смотрит, и удаление корня из системы на него не влияет никак.
Вот это, на мой взгляд, самая сильная часть всей истории, и её в заголовках нет.
Скажу сразу: способ, который показывают первым, - самый широкий из возможных, и показывают его человеку, которому просто надо в свой банк. Доказанного перехвата нет, повторю. Но возможность либо есть, либо её нет: поставил корень в систему - она есть, и проверить снаружи, пользуются ей или нет, ты уже не можешь. Снести эту штуку - нормальное решение, а не паранойя.
Вариантов не два, как в роликах, а четыре - от самого узкого доверия к самому широкому.
Отдельно про Android, это меняет дело. Там любой из вариантов можно закрыть в отдельное пространство: рабочий профиль (бесплатные Shelter, Island), «Второе пространство» на прошивке или «Личное пространство» в Android 15. У такой комнаты своё хранилище сертификатов и свои разрешения, наружу они не выходят. На iPhone этого нет, Apple вторых профилей не даёт - там остаётся урезать права самому приложению.
Чем варианты отличаются по риску и как настроить каждый: https://tevgenich.com/instrukciya/chetyre-sposoba/
Если сертификат у тебя уже стоит и ты хочешь его снести - в каждой системе своя ловушка. В Windows два хранилища сертификатов, и удаляют обычно не то. В Android кнопка «Очистить учётные данные» сносит заодно рабочий VPN и электронную подпись. На линуксе браузеры держат свой список корней отдельно от системного. Пошагово под каждое устройство: https://tevgenich.com/instrukciya/
Одно стоит знать до того, как что-то трогать. Порядок имеет значение: сначала удалить корень, потом завершить активные сеансы в сервисах, и только потом менять пароли. Если менять пароль, пока корень стоит в системе, ты отдаёшь новый пароль тем же самым каналом, которым мог утечь старый.
И ещё одно, о чём почти не пишут: аппаратные ключи и passkey от этого сценария не спасают. Их защита построена на привязке к домену, а при прозрачном перехвате домен как раз правильный - подпись проходит, сессия уезжает.
И ещё раз, чтобы меня правильно поняли. Доказанного перехвата у нас нет, я его не рисую и пугать никого не собираюсь. Речь о другом: дверь открыли, ключ попросили отдать самому и добровольно, а сказали при этом, что вариант один. Он не один.
Событий никто не выдумывал: сертификаты отозвали, банки слетели, кнопку подсунули, в 28% приложений RuStore эта штука уже лежит.
А вот вывод «вас уже слушают, срочно бегите» - это уже не факт, а раскрутка страха. Что не отменяет того, что мастер-ключ отдавать не стоит. Просто причина другая: не «тебя уже обокрали», а «зачем оставлять открытой дверь, которую можно не открывать».
И самое неприятное тут даже не сам сертификат. А то, что на непонимании людей кто-то без спроса получил доступ к любой информации о них - и достаётся она теперь сильно проще.
Инструкция как отключить на каждой из систем доступна по ссылке - https://tevgenich.com/instrukciya/
P.S. Пока проверял, поймал себя на том, что последний раз лазил в certmgr.msc года три назад и забыл, где он лежит. Полез гуглить как школьник) Так что если ты дочитал и подумал «я в этом ничего не понимаю» - нормально, я тоже больше половины освежал по ходу. Спасибо друзьям за задачку, размял мозги)
Источники: документация Apple, Microsoft, Google и Mozilla; исследование FOCI по приложениям RuStore; исследование ACM IMC по Казахстану 2019; документ ICTA по Маврикию 2021; сообщения CNews и «Медиазоны» по датам 13 июня и 3 августа 2026. Проверка живыми запросами openssl - моя.