SSL-сертификат сайта Сбербанка истекает 28 сентября

Срок действия SSL-сертификата для сайта sberbank.ru с отпечатком 7D 28 4F C9 A0 71 C8 99 C8 16 BE 81 A9 0D 69 31 E9 FB DE 9B 2E 75 9D 18 D5 42 C4 06 97 A4 7C B6 (SHA-256) истекает в среду 28 сентября 2022 года в 15 часов 11 минут по московскому времени. После этого момента соединения с сайтом sberbank.ru будут невозможны на большинстве мобильных и настольных платформ, из браузеров Chrome, Firefox, Safari и других. Тот же сертификат используется и для других доменных имён:

• www.sbrf.ru
• sbrf.ru
• data.sberbank.ru
• www.sberbank.ru

Подключение к ним также будет невозможно — браузер сообщит об истекшем и не доверенном сертификате и разорвёт соединение.

С весны текущего года большинство удостоверяющих центров (УЦ) отказались выдавать сертификаты для доменов .RU и .РФ. Одним из немногих центров, продолжающих выпускать SSL-сертификаты для России, остался GlobalSign. Именно этим УЦ год назад был выпущен текущий сертификат банка. Вероятно, из-за санкций, наложенных на Сбербанк, SSL-сертификат в этом году отказался выпустить даже УЦ GlobalSign.

По сообщению Минцифры Сбербанк планирует перейти на российские сертификаты. Их по заявке юридических лиц, поданной через Госуслуги, бесплатно в течение пяти рабочих дней выдаёт Национальный удостоверяющий центр. Для подавляющего большинства пользователей это означает невозможность установления соединения с веб-ресурсами банка, так как поддержка сертификатов, выпущенных российским удостоверяющим центром, присутствует только в браузерах Яндекс.Браузер и Атом.

Статистика использования браузеров в мире на апрель 2022 по данным StatCounter выглядела так:

• Google Chrome – 66,64%
• Microsoft Edge – 10,07%
• Apple Safari – 9,61%
• Mozilla Firefox – 7,86%
• Opera – 2,43%
• Internet Explorer – 0,97%

В России по разным источникам доля Chrome колеблется от 40 до 71%, Яндекс.Браузер занимает долю от 12 до 29% (по данным самого Яндекса), а Атом не набирает и 0,3%.

Для продолжения доступа к сервисам Сбербанка после 28 сентября пользователям придётся либо использовать один из двух браузеров с поддержкой российской криптографии, либо установить в операционную систему корневой и выпускающий сертификаты Минцифры. Скачать их и установить пользователи Windows могут по ссылкам:

• корневой сертификат, срок действия до 28 февраля 2032 года;
• выпускающий сертификат, срок действия до 6 марта 2027 года.

Однако, в этом случае эксперты в области информационной безопасности предупреждают о потенциальной возможности перехвата трафика, атаки MITM (Man-In-The-Middle, человек посередине), которую будет невозможно заметить владельцу компьютера или смартфона. Три года назад власти Казахстана пытались обязать пользователей устанавливать аналогичный национальный корневой сертификат. Тогда Google и Mozilla отметили государственные сертификаты Казахстана как небезопасные и запретили их использование в своих браузерах.