HTTPS y servidor web en la práctica: Parte 5 — ¿Qué es el certificado de MinTsifra (Russian Trusted Root CA) y cómo instalarlo?

El certificado del Ministry of Digital Development — certificado raíz del National Certification Authority (NUC) del Ministry of Digital Development of Russia, Russian Trusted Root CA. El centro funciona desde marzo de 2022: entonces los centros emisores extranjeros dejaron de emitir y renovar certificados para parte de las organizaciones rusas, y a los sitios les hizo falta una fuente de certificados dentro del país. Los certificados del NUC se han emitido a sitios de varios bancos, organismos gubernamentales y otras organizaciones. Los navegadores Chrome, Firefox y Safari no confían en esta raíz, por lo que esos sitios se abren con el error «Conexión no segura» hasta que el certificado raíz se instale manualmente. Más abajo — cómo comprobar si lo necesita y cómo instalarlo en diferentes sistemas. Cómo el navegador verifica certificados y la cadena de confianza — en el artículo «Qué es HTTPS y cómo funciona el apretón de manos TLS».

Qué certificados incluye el conjunto

• Russian Trusted Root CA — raíz: C=RU, O=The Ministry of Digital Development and Communications, CN=Russian Trusted Root CA, válida del 1 de marzo de 2022 al 27 de febrero de 2032. Es precisamente la que hay que añadir a las de confianza;
• Russian Trusted Sub CA y Russian Trusted Sub CA 2024 — intermedias, desde ellas se emitieron los certificados de los sitios. Un sitio bien configurado entrega la intermedia por sí mismo, pero en Gosuslugi las publican junto con la raíz, y su instalación no estorbará.

Fuente oficial — la página gosuslugi.ru/crt: allí están los archivos de los certificados y el instalador para Windows. Descargue los certificados solo desde allí: un certificado raíz de una fuente aleatoria le da a su autor la posibilidad de suplantar cualquier sitio en su equipo.

Comprobar el archivo descargado:

openssl x509 -in russian_trusted_root_ca_pem.crt -noout -subject -dates -fingerprint -sha256

Verifique la huella SHA-256 con la publicada en Gosuslugi.

Además de estos certificados basados en RSA existen raíces con los algoritmos rusos GOST. Son necesarias para sistemas que funcionan con GOST TLS y requieren un proveedor criptográfico separado; para sitios normales en el navegador no son necesarias.

¿Lo necesita usted?

Indicador: el sitio se abre en Yandex Browser o Atom (en ellos la raíz del Ministry of Digital Development está integrada), y en Chrome o Firefox aparece el error NET::ERR_CERT_AUTHORITY_INVALID o SEC_ERROR_UNKNOWN_ISSUER. En la información del certificado del sitio el emisor es Russian Trusted Sub CA.

Comprobación desde la línea de comandos:

openssl s_client -connect site.example.ru:443 -servername site.example.ru </dev/null 2>/dev/null \
  | openssl x509 -noout -issuer
# issuer=C=RU, O=The Ministry of Digital Development and Communications, CN=Russian Trusted Sub CA

Si usa esos sitios con poca frecuencia, la opción más sencilla es abrirlos en Yandex Browser o Atom y no instalar nada en el sistema.

Windows

1. Abra el archivo russian_trusted_root_ca.cer → «Instalar certificado».
2. Ubicación del almacén: «Usuario actual» (o «Equipo local» para todos los usuarios — se requieren permisos de administrador).
3. «Colocar todos los certificados en el siguiente almacén» → «Entidades de certificación raíz de confianza».
4. Confirme la advertencia del sistema de seguridad.

Lo mismo desde la línea de comandos como administrador:

certutil -addstore -f Root russian_trusted_root_ca.cer

Chrome y Edge en Windows confían en los certificados raíz instalados en el sistema. Firefox — no, ver más abajo.

macOS

1. Abra el archivo — se añadirá al Keychain, al llavero «Login» o «System».
2. Busque Russian Trusted Root CA, ábralo → «Confianza» → «Al usar este certificado: Confiar siempre».

Desde la terminal:

sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain russian_trusted_root_ca_pem.crt

Safari y Chrome usan el llavero del sistema.

Linux

Debian y Ubuntu — el almacén del sistema que usan curl, wget, Python, Git y la mayoría de programas:

sudo cp russian_trusted_root_ca_pem.crt /usr/local/share/ca-certificates/russian_trusted_root_ca.crt
sudo update-ca-certificates

El archivo en ese directorio debe tener la extensión .crt. En RHEL, Rocky y Fedora — el directorio /etc/pki/ca-trust/source/anchors/ y el comando sudo update-ca-trust.

Chrome en Linux toma certificados de su propia base NSS del usuario. Se puede añadir en la configuración de Chrome (Privacidad y seguridad → Seguridad → Gestionar certificados) o con el comando del paquete libnss3-tools:

certutil -d sql:$HOME/.pki/nssdb -A -t "C,," -n "Russian Trusted Root CA" -i russian_trusted_root_ca_pem.crt

Firefox

Firefox en todos los sistemas usa su propio almacén: Configuración → Privacidad y seguridad → Certificados → Ver certificados → Autoridades → Importar, marcar «Confiar para identificar sitios web».

En Windows y macOS se puede configurar Firefox para que use los certificados raíz del sistema: en about:config el parámetro security.enterprise_roots.enabled = true.

Android

Ajustes → Seguridad (o «Seguridad y privacidad») → Cifrado y credenciales → Instalar certificados → Certificado CA. La ruta exacta depende del fabricante.

Desde Android 7 las aplicaciones por defecto no confían en certificados instalados por el usuario, sino solo en los del sistema. El navegador Chrome acepta esos certificados, y las aplicaciones solo si el desarrollador lo permite explícitamente. A las aplicaciones bancarias no les hace falta: ellas mismas verifican los certificados de sus servidores.

iOS y iPadOS

1. Abra el archivo del certificado en Safari → permita la descarga del perfil.
2. Ajustes → General → VPN y administración del dispositivo → instale el perfil.
3. Ajustes → General → Información → Confiar en certificados → active la confianza completa para Russian Trusted Root CA.

Sin el tercer paso el certificado está instalado, pero no se utiliza para sitios.

Programas y servidores

Si su script o servicio accede a un sitio con certificado del Ministry of Digital Development, puede no instalar la raíz en el sistema y especificarla solo para esa llamada:

curl --cacert russian_trusted_root_ca_pem.crt https://site.example.ru/api/

import requests
requests.get("https://site.example.ru/api/", verify="/etc/ssl/russian_trusted_root_ca.pem")

Tenga en cuenta que verify con un archivo reemplaza el conjunto estándar de raíces: con este parámetro los demás sitios dejarán de verificarse. Para peticiones a distintos sitios compile un archivo común a partir del conjunto del sistema y la raíz del Ministry of Digital Development.

Java usa su propio almacén cacerts:

sudo keytool -importcert -cacerts -alias russian-trusted-root-ca \
  -file russian_trusted_root_ca_pem.crt -storepass changeit -noprompt

En una imagen Docker basada en Debian — los mismos pasos que para Linux, en el Dockerfile:

COPY russian_trusted_root_ca_pem.crt /usr/local/share/ca-certificates/russian_trusted_root_ca.crt
RUN update-ca-certificates

Regla general para cualquier certificado raíz

Cualquier certificado raíz en el almacén de confianza —no solo el ruso— da el derecho a firmar certificados para cualquier dominio. Por eso la regla general de seguridad es simple: instalar certificados raíz únicamente desde la fuente oficial y solo donde realmente se necesiten. Teóricamente el poseedor de la clave privada de cualquier raíz de confianza puede emitir un certificado para un sitio ajeno, y para raíces instaladas manualmente los navegadores no exigen entradas en los registros de Certificate Transparency. Esto es una propiedad general del diseño de TLS, no una particularidad de un centro específico; las mismas consideraciones se aplican a raíces corporativas y raíces de antivirus.

Si desea limitar el ámbito de actuación del certificado, hay opciones sencillas:

• no instalar la raíz en el sistema, y abrir los sitios necesarios en Yandex Browser o Atom, donde ya está incorporada;
• instalarla solo en un navegador o perfil separado, por ejemplo en Firefox con un perfil separado para esos sitios, sin tocar el almacén del sistema;
• en programas — indicar la raíz solo para llamadas concretas (--cacert), no para todo el sistema.

En equipos de trabajo la decisión sobre la instalación corresponde al departamento de seguridad informática de la empresa: es el que distribuye el certificado vía políticas de grupo, si se necesita.

Para propietarios de sitios

Las personas jurídicas obtienen el certificado NUC del Ministry of Digital Development a través de Gosuslugi; la emisión es gratuita. Si su sitio puede obtener un certificado de un centro público (Let’s Encrypt, Google Trust Services y otros funcionan con dominios rusos), úselos: con un certificado del Ministry of Digital Development los visitantes con navegadores habituales verán un error. El certificado del Ministry of Digital Development tiene sentido cuando los centros públicos rechazan a su organización. Sobre el proceso de emisión de certificados — en el artículo «Certificados Let’s Encrypt: ACME, verificaciones de dominio, CAA y Certificate Transparency».