Что будет, если поставить сертификаты Минцифры на iPhone, iPad и Mac

Накануне сайты крупных российских банков перестали открываться в Safari, Chrome и других иностранных браузерах, благо, по нашей инструкции вы можете все исправить. Один из рабочих способов вернуть доступ, установить на iPhone сертификаты Минцифры. И тут у многих возникает резонный вопрос: а не опасно ли это, не начнет ли кто-то читать переписку и следить за телефоном. Давайте разберемся спокойно и по фактам.

Теперь повсюду рекомендуют ставить сертификаты Минцифры, а стоит ли это делать?

ПОДПИШИСЬ НА КАНАЛ "СУНДУК АЛИ-БАБЫ" В МАКС, ЧТОБЫ НЕ ПРОПУСКАТЬ САМЫЕ ТОПОВЫЕ ТОВАРЫ С ALIEXPRESS ПО ЛУЧШИМ ЦЕНАМ

Что дает сертификат Минцифры на iPhone, iPad и Mac

Когда вы устанавливаете корневой сертификат Минцифры и включаете для него доверие, вы добавляете в систему еще один центр сертификации. Проще говоря, вы разрешаете устройству верить этому центру при проверке защищенных соединений.

Работает это так. Каждый сайт по HTTPS показывает браузеру свой сертификат. Устройство смотрит, кто его выдал, и проверяет, есть ли этот центр в списке доверенных. Раньше там были только Apple и международные центры, теперь к ним добавляется российский.

При установке сертификата вот такая ошибка появляться не будет

Что это дает на практике. Российские сайты с отечественными TLS-сертификатами начинают нормально открываться, и вам больше не нужны специальные браузеры или отключение проверки вручную. Если у вас российские сайты не открываются именно по этой причине, сертификат закрывает вопрос.

Механизм одинаковый на iPhone, iPad и Mac. Отличается только место, где включается доверие: на iPhone и iPad это профиль конфигурации и настройки доверия сертификатам, на Mac связка ключей. Суть везде одна, вы расширяете список тех, кому устройство верит.

Безопасно ли устанавливать сертификат Минцифры

Сразу главное: для большинства пользователей риск невысокий, но он есть, и его стоит понимать.

Начнем с того, чего сертификат точно не делает. Он не дает доступ к вашим данным: ни к фотографиям, ни к сообщениям, ни к паролям, Apple ID, файлам, микрофону или камере. Это вообще не про разрешения приложений, а исключительно механизм проверки HTTPS. Удаленное управление телефоном он тоже не включает.

Теперь про реальные риски. По сути их два.

1. Расширяется круг доверенных центров. В хорошей модели безопасности таких центров должно быть как можно меньше. Каждый новый, это теоретическая точка, которую могут скомпрометировать. Если такое случится, появляется возможность для атак с подменой соединения.
2. При совпадении нескольких условий чужой сертификат может помочь расшифровать часть трафика. Но именно при совпадении сразу нескольких условий: трафик идет через контролируемую сеть, устройство доверяет этому центру, для конкретного сайта выпущен подходящий сертификат, а приложение не использует дополнительную защиту. Сам по себе сертификат трафик не перехватывает и никуда его не перенаправляет.

Отдельно про приложения. Крупные банки, мессенджеры и многие сервисы используют certificate pinning, когда приложение проверяет не список центров, а конкретный сертификат своего сервера. Для них установка стороннего центра почти ничего не меняет. Кстати, Apple уже отзывала сертификаты подлинности у части российского ПО, так что тема доверия давно не абстрактная.

Может ли сертификат Минцифры читать переписку в Telegram

Это, наверное, главный страх, поэтому разберу подробно. Переписку в Telegram или другом мессенджере сертификат не откроет. Telegram не использует обычный HTTPS для сообщений, у него свой протокол MTProto. Сообщения шифруются между приложением и серверами, а секретные чаты защищены сквозным шифрованием. Добавление стороннего корневого сертификата не превращает ваши сообщения в открытый текст.

Внутри профиля нет ничего, что позволило бы получить доступ к вашим данным

С VPN похожая история. Сам факт, что вы пользуетесь VPN, оператор связи видит и без всякого сертификата: он замечает подключение к IP-адресу VPN-сервера, примерный протокол, объем данных и время. А вот содержимое внутри VPN ему недоступно. Установка сертификата Минцифры тут ничего не добавляет.

Полезно понимать, что оператор видит и так, без любых сертификатов. Обычно это IP соединения, время начала и конца, объем трафика и иногда доменное имя. А содержимое страниц, пароли, переписку в мессенджерах и содержимое HTTPS он не видит.

Мы уже разбирали похожий слух о том, что iPhone перестанет открывать российские сайты. Паники там оказалось заметно больше, чем реальных проблем. С сертификатом та же логика: он влияет на то, каким HTTPS-сертификатам доверяет устройство, а не на способность читать все подряд.

Хотите разбираться в таких темах глубже и без паники? Подписывайтесь на наши каналы в Telegram и МАКС, там мы объясняем сложное простыми словами.

Где скачать сертификат Минцифры для iPhone

Если российские сайты нужны вам постоянно, вот разумный подход. Ставьте только официальный сертификат. Скачивайте профиль напрямую со страницы gosuslugi.ru/crt и ниоткуда больше. Сторонние сертификаты из непонятных источников, вот это уже настоящая опасность.

Качайте сертификаты с Госуслуг и проблем точно не будет

Перед установкой откройте профиль и проверьте раздел Содержит. Там должны быть только сертификаты. Если внутри профиля указаны VPN, прокси, DNS, Web Clip или управление устройством, не ставьте такой профиль. Это уже совсем другая история с другими задачами.

Есть и второй путь, использовать браузер, который сам поддерживает российские сертификаты и не трогает системное хранилище. Тогда вы вообще не меняете список доверенных центров всего устройства. А если вам ближе идея ставить софт мимо привычных магазинов, у нас есть отдельный разбор, как установить приложения без App Store.

Практический вывод простой. Сертификат Минцифры не открывает доступ к вашему iPhone, iPad или Mac и не раскрывает переписку. Он добавляет еще один корневой центр, которому система будет доверять при проверке HTTPS. Плата за это в том, что доверенных центров становится больше, а это немного увеличивает теоретическую поверхность для атак. Для большинства людей, которым просто нужно зайти на госуслуги или в банк, это приемлемый компромисс, особенно если ставить сертификат осознанно и удалять, когда он не нужен.

Не смогли разобраться с настройками или что-то пошло не так? Пишите в наш чат в Telegram или МАКС, там подскажут.