Сайты «Вкусвилла», DNS и «Афиши» с эквайрингом «Сбера» стали требовать скачать сертификаты Минцифры для платежей Статьи редакции
В банке утверждают, что дополнительные действия не нужны.
- На сайте онлайн-магазинов «Вкусвилл», DNS и в разделе покупки билетов на сайте «Афиши» появилась информация, что для оплаты надо скачать российский браузер или сертификат безопасности Минцифры, сообщило издание РБК. В сообщении указано, что новые правила действуют с 30 января.
- На сайте «Афиши» утверждается, что без этого оплата невозможна, на других — что могут возникнуть проблемы при оплате онлайн-заказа.
- В сообщении на сайте «Вкусвилла» говорится, что «зарубежные браузеры перестали получать» сертификаты безопасности для российских сайтов, поэтому «могут посчитать их подозрительными и запретить вход». Там же указаны варианты решения проблемы: TLS-сертификат Минцифры по умолчанию есть в браузере от VK «Атом» и «Яндекс.Браузере».
- При этом в «Сбере» прокомментировали, что клиенты, использующие его эквайринг, могут работать как на сертификатах Национального удостоверяющего центра Минцифры, так и на международных. «Объявления на сайтах партнёров — не рекомендация банка и создаются по их инициативе», — сказали изданию в компании. Банк не зафиксировал увеличения обращений клиентов из-за проблем с платежами на сайтах.
- После 24 февраля 2022 года иностранные центры, которые выдают сертификаты для защищённого соединения HTTPS, отказались работать с фирмами под санкциями — в том числе со «Сбером». Текущий сертификат банка от бельгийского центра GlobalSign истекает 15 февраля 2023 года.
- На российские сертификаты «Сбер» частично перешёл в сентябре 2022 года, переведя на них веб-версию «Сбербанк Онлайн». Из-за этого часть зарубежных браузеров блокирует к ней доступ.
- «Сбер» предупреждал, что для оплаты в интернет-магазинах через его эквайринг могут понадобиться сертификаты Минцифры ещё 15 декабря 2022 года. Тогда же банк начал размещать сообщение об этом на странице оплаты в интернет-магазинах и сервисах — сайтах «Детского мира», «Леруа Мерлен», «Связного», «Онлайн Трейд.ру» и «Делимобиля». Переход начался 30 января 2023 года.
4.9K
показов
8.7K
открытий
Все равно туплю и не понимаю зачем это
Сертификатом верхнего уровня можно подписать любой сайт, не только шлюз сбера. Т.е. товарищ майор сможет проксировать (читать и подменять) трафик условного гугла, обычным СОРМом. Браузер нарисует иконку "соединение защищено", хотя если посмотреть данные сертификата условного гугла — там будет стоять минцифра. Но кто это смотрит.
Ну а Вкусвилл, ДНС, Афишу используют чтобы выйти в массы, как раз на тех, кто не понимает.
ВПН сверху ставь и не еби нам мозги.
То читают, а это не могут, а это могут подменить тьфу. Завернул трафик в тунель и пошел дальше жить спокойной жизнью.
Типичное security through obscurity. Трафик от забугорного надежного впн к забугорному надежному серверу тоже через магистрали РФ может бегать.
И следующий шаг ркн будет такой: блочить или лимитировать весь трафик, что не с сертификатом минцифры. Хомячки уже всё установили, без впн ютуп и гугл докс у них же работает.
Хотя да, всё может быть ещё впереди
А VPN куда будет направлять трафик? На платежный шлюз. Минусы перечислены выше
Избегайте тогда платёжных шлюзёв :)
Комментарий недоступен
Для промышленного MitM уже существует некоторое количество аппаратно-программных комплексов (причем как от отечественных, так и от зарубежных организаций), позволяющих делать это практически на wire-speed