Сбербанк России перешёл на российский сертификат

небольшие ЦА свои корневые сертификаты пропихнуть никуда не смогут, балабаса не хватит :)
поэтому они подписывают свои «рабочие» сертификаты у больших ЦА, которые уже пропиховывают свои корневые сертификаты в бравзеры и оси.
получается цепочка чуть длиннее. но полностью доверенная.

ты это к чему? я знаю (хотя бы «на пальцах») как это работает, хоть и не могу ответить также, как ответил в суде мистер Диффи :D

Firefox 91.9.0esr

не на честное слово, а на обоснованные и в достаточной степени прозрачные механизмы их работы. и не верю, вера для людей. шизовые газлайт тейки игнорируем.

Видимо, пришла пора разобраться что такое профили в FireFox.

Вот только я не понял такую вещь: независимо от того, в каком интерфейсе происходит управление профилями (встроенный в FireFox или по ключу -p), переключиться на другой профиль без перезапуска FireFox невозможно. Можно только установить профиль «по умолчанию», перезрузить FireFox, и тогда браузер начнет использовать заданный профиль.

Я правильно понимаю?

угу, все описанные механизмы красиво описаны.
но вот конкретно ты перепроверял сертификаты хоть раз по указанным параметрам ?? :) или хотя бы вникал в алгоритмы работы красивого описания
или просто веря на слово мозилле и ее аудиту просто берешь и ставишь сертификаты в систему ??
сильно думаю второе.

к этой фразе:

напрямую корневым подписывают только в колхозе

Если что-то подписывают, то это что-то (документ) подписывают цифровой подписью, которая есть математическая комбинация секретного ключа, публичного ключа (из сертификата) и хэша (подписываемого документа), чтобы подпись невозможно было подделать, расшифровав секретный ключ.

В цифровых сертификатах присутствует: имя владельца (основной атрибут), его публичный ключ, заверенный его же цифровой подписью (самоподписанный) или цифровой подписью удостоверяющего центра (CA), имя удостоверяющего центра и политику использования сертификата.

А как провайдер может?

Согласен, это большая проблема. Если сертификат будет скомпрометирован - любым способом — он не будет автоматически отозван. Ставили вручную, удаляйте вручную.

С другой стороны, угроза, при которой подобный сертификат, будучи установленный как корневой прямо у производителей браузеров, будет отозван просто потому что он русский, куда более вероятна.

P.S. Думаю, новость о компрометации появится на ЛОРе в числе первых, и мы в безопасности. Также в безопасности те, кто ставит сертификат через механизмы дистрибутивов, отзыв или замена прилетят автоматически.

Замечательно!

Вот только я не понял такую вещь: независимо от того, в каком интерфейсе происходит управление профилями (встроенный в FireFox или по ключу -p), переключиться на другой профиль без перезапуска FireFox невозможно. Можно только установить профиль «по умолчанию», перезрузить FireFox, и тогда браузер начнет использовать заданный профиль.

Я правильно понимаю?

-new-instance

Open new instance, not a new window in running instance, which allows multiple copies of application to be open at a time.

firefox -new-instance -P "Another Profile"

https://wiki.mozilla.org/Firefox/CommandLineOptions#User_profile

https://support.mozilla.org/en-US/questions/1231994

Кроме того, следует учитывать, что

-no-remote and -new-instance are now largely pointless and may be removed at some point. See https://groups.google.com/forum/#!topic/mozilla.dev.platform/Vz-L_of5WZE

В Казахстане же пытался. Или где? Либо я вообще с чем-то другим путаю.

Если очень кратко - оборудование провайдера «перепаковывает» https-трафик.

https://habr.com/post/303736/

Как это устраивается с технической стороны - гугли «HTTPS MitM», например, можно у себя локально поиграться с https://earthly.dev/blog/mitmproxy/

Ага, только для этого провайдеру надо засунуть свой сертификат мне в доверенные. Я и спрашиваю: как?

Как в Казахстане: «мы начали MitM, если хотите дальше пользоваться интернетом, поставьте сертификат себе сами, иначе вам будет тяжко пользоваться интернетом».

Ну это слишком очевидно.

Тему не читал, а что уже есть фичреквест на «ручной» контроль сертификатов в браузере - подтверждать при первом обращении к ресурсу и при каждой смене ресурсом сертификата (как ssh)?

В топку вместе с Сбером, Яндыхом и прочим мусором…

Для добавления в сертификат браузера Opera (в gentoo, но скорее подойдёт и для других chromium-based браузеров), я сделал сделующее:

• скачал корневой сертификат russian_trusted_root_ca.cer с сайта госуслуг;
• сконвертировал его из бинарного в Base64: openssl x509 -inform DER -in russian_trusted_root_ca.cer -out russian_trusted_root_ca.crt;
• в настройках браузера opera://settings/certificates (chrome://settings/certificates) перешёл на вкладку Authorities и импортировал сконвертированный сертификат russian_trusted_root_ca.crt, выбрав для него опцию проверки сайтов.

В списке сертификатов на вкладке Authorities он отображается как

org-The Ministry of Digital Development and Communications
    Russian Trusted Root CA

Там же, при необходимости, его можно удалить.

P.S.
Возможно, конвертация и не нужна, не проверял.
Google Chrome после импорта через Opera тоже видит этот сертификат.

После конвертации сожержимое для корневого сертификата совпадает с содержимым из файла russiantrustedca.pem для MacOS, который заодно содержит «выпускающий сертификат» - кстати, для чего он нужен? При попытке импортировать .pem, содержащий оба сертификата, «выпускающий» не может быть импортирован, о чём вываливается ошибка, но «корневой» при этом импортируется успешно.

У меня приложение было установлено из play market. Какими-то образом я, проигнорировав первоначальное предложение обновить, позже нашёл в самом приложении нашёл предложение проверить обновление - скачалось с сайта. После этого приложение уже само обновляется без перехода на сайт в явном виде.