HabréがSSL証明書とそれらが解決するタスクについて詳しく説明することはまずありませんが、念のため、主なものを簡単に思い出してください（動作原理について十分に理解している場合は、いくつかの段落をスキップできます）。 どのサイトでもブラウザーのアドレスバーで簡単にロックを解除できるようになったため、 Chromiumの対応するマーキングにもかかわらず、証明書は「信頼できる」サイトのサインではありません。 それにもかかわらず、データを傍受から保護する重要な機能があります。 ネットワーク管理者またはトラフィックへのアクセスを取得した攻撃者は、ストリームを復号化する方法を考え出す必要があります。これは通常、永続的な暗号化とキーの不在では実行が困難です。
ストリームを復号化できない場合は、自分でリダイレクトして、ブラウザーにサイトではなくサーバーとの接続を確立させることができます（中間者のような攻撃）。 たとえば、ユーザーのルーターをハックしてフィッシングサイトにリダイレクトし、DNSスプーフィングを使用してパスワードを盗むことができます。 経験豊富なユーザーがこれに遭遇する可能性は低く、愛する人はブラウザーで直接DNSCryptサポートを使用して代替DNSサーバーを構成できます。 しかし、攻撃者がさらに進んで、ユーザーとHTTPSサイトの間の仲介者として機能し始めた場合、別の証明書タスクにより認証が得られます。
ブラウザがサイトから証明書を受け取るとき、「中間者」ではなく、それが送信したサイトであることを確認する必要があります。 これは、オペレーティングシステムのストレージにあるルート証明書を使用して確認できます。 サイトが送信したとされる証明書について、確認ルートを見つけることができない場合、最新のブラウザは次のようなものを表示します。
このような保護を回避し、ユーザーのトラフィックへの干渉の事実をユーザーから隠すために、システム証明書にルート証明書を配置します。これにより、ブラウザーの目で彼が署名した攻撃者の証明書が合法化されます。 そして、どのアプリケーションでもこれを行うことができます。 また、ユーザーへの警告や質問がなくても、管理者権限があります。 人が疑わしいサイトからプログラムをインストールし、付属物でトラフィック盗聴を受信します。 そして、現代のブラウザはこれに反応しません。 同じ碑文「信頼できる」と緑色の錠が表示されます。 Firefoxの場合を除き、攻撃者はシステム証明書を使用しないため、このブラウザーのリポジトリにもルート証明書を追加する必要があります（ただし、これを行うのは難しくありません）。
プログラム（アンチウイルス、広告ブロッカー、フィドラー）および組織内の従業員によるこの機会の比較的合法的な使用の事例を除外すると、通常、この慣行により、訪問するページに衝撃的で危険な広告が表示されます。 ほとんどの場合、ユーザーは理由を知らず、サイトの所有者やYandex.Browserの開発者を責めます。 私たちのサポートチームが原因に到達し、人を助けることがどれほど難しいか想像できます。 しかし、問題は少なくとも顕著です。 しかし、場合によっては、外部の兆候が発生せず、データが単純に盗まれます。
さらに、攻撃者からの害は直接的（データの傍受と広告の形式）だけでなく、間接的でもあります。 通常の状況では、ロックをクリックして、どの認証局が証明書を発行したかを確認し、その信頼性を評価できます（ Yandex.Browserで 、この情報は他のブラウザーにしばしば隠されています）。 置換するとき、このデータは私たちから隠されます。 これらだけでなく、その他の接続の問題もあります。 サイトが誤った証明書を使用しているため、ブラウザで警告スタブが完全に表示される場合、証明書を置き換えると、ユーザーからこの問題が隠されます。通常の閉じたロックがアドレスバーに表示されます。 これはすべて、セキュリティの一般的な低下につながります。
暫定的な見積もりによると、Yandex.Browserの毎週のオーディエンスからの約40万人のユーザーは、すでにトラフィックの傍受に直面しています。 そして、これはアンチウイルスではありません！ だからこそ、私たちは問題を真剣に取り上げ、疑わしいルート証明書をシステムにインストールするという事実を特定する実験を始めました。 次のように機能します。 現在、Yandex.Browserは、システムストアからのルート証明書を盲目的に信頼するのではなく、有名な信頼できる認証局のリストと照合します。 また、ルート証明書がブラウザに馴染みがない場合は、ロックを開いて潜在的なリスクについて正直に通知します。
オープンロックを使用したソリューションは比較的ソフトです。ユーザーの反応を監視しました。 しかし、数日前に次のステップに進みました。 銀行、支払いおよび検索エンジン、人気のあるソーシャルネットワークなどの重要なサイトをダウンロードすると、脅威についての完全な警告が表示されます。
Yandex.Browserの警告は、問題の主な原因（ルート証明書をインストールするプログラム）に影響を与えないため、万能薬と呼ぶことはできません。 しかし、ユーザーに情報を提供することで、データ損失のリスクに注意を喚起するか、少なくとも診断を簡素化することを期待しています。 実際、この瞬間までの交通遮断の事実でさえ、人々から隠されていました。