В русскоязычном сегменте интернета распространилась страшилка: «Яндекс Браузер» якобы втихую вшивает в Windows государственный сертификат Russian Trusted Root CA, открывая спецслужбам доступ к паролям и переписке. Звучит убедительно. Но это неправда.
Что именно утверждают авторы вирусных публикаций
Суть обвинений проста: браузер при установке или обновлении будто бы без ведома пользователя добавляет в системное хранилище Windows сертификат Минцифры. Дальше - логика страшилки: кто контролирует корневой сертификат, тот может расшифровывать HTTPS-трафик на промежуточных серверах, то есть видеть логины, пароли и сессионные куки. В качестве «проверки» предлагалось открыть оснастку certmgr.msc и поискать Russian Trusted Root CA среди доверенных центров. Нашёл - срочно удаляй и меняй все пароли.
Паника понятна. Тема государственных сертификатов действительно чувствительная, и недоверие к ним имеет под собой исторический фундамент. Но конкретное обвинение в адрес браузера сформулировано с грубой технической ошибкой.
Где ошибка и как всё устроено на самом деле
В компании официально подтвердили: при установке и обновлении браузер не трогает системное хранилище сертификатов Windows. Поддержка российских сертификатов встроена исключительно во внутренние механизмы самого приложения - реестр доверенных корневых центров операционной системы остаётся нетронутым.
Разница принципиальная. Если бы сертификат попал в системное хранилище, любое приложение на компьютере могло бы выстраивать доверенные цепочки через него. Но этого не происходит. Браузер просто умеет работать с сайтами, которые используют национальные сертификаты, - и только в рамках своей собственной проверки подлинности.
Минцифры, кстати, открыто публикует список продуктов с поддержкой российских сертификатов. «Яндекс Браузер» в нём есть - никакого секрета.
Почему сценарий скрытого перехвата технически не работает
Браузер использует механизм Certificate Transparency - международный стандарт, при котором все выданные сертификаты фиксируются в публичных журналах. Если сертификат отсутствует в этих реестрах или не соответствует требованиям, соединение блокируется автоматически. Провернуть тихую атаку типа MITM с поддельным сертификатом в такой архитектуре крайне затруднительно - след неизбежно остаётся в публичных логах.
Сертификаты Национального удостоверяющего центра применяются исключительно к сайтам из опубликованного списка и служат для проверки подлинности ресурса, а не для расшифровки чужого трафика. Данные между пользователем и сайтом по-прежнему шифруются стандартными TLS-алгоритмами.
Итог: откуда берутся такие фейки
Вирусные публикации эксплуатируют вполне реальную тревогу - вопрос о том, кто стоит в цепочке доверия и насколько она независима, обоснован. Но конкретное утверждение о скрытой установке сертификата в систему не выдерживает проверки ни технически, ни документально.
- Системное хранилище Windows браузер не изменяет - это подтверждено официально.
- Поддержка российских сертификатов реализована на внутреннем уровне приложения.
- Certificate Transparency исключает скрытый перехват через поддельные цепочки.
- Минцифры открыто публикует список совместимых продуктов - никакой конспирологии.
Страх перед государственными сертификатами понять можно. Но распространять техническую неграмотность под видом разоблачения - значит лишь дискредитировать обоснованную критику.
