HTTPS и веб-сервер на практике: Часть 5 — Что такое сертификат Минцифры (Russian Trusted Root CA) и как его установить

Сертификат Минцифры — корневой сертификат Национального удостоверяющего центра (НУЦ) Министерства цифрового развития России, Russian Trusted Root CA. Центр работает с марта 2022 года: тогда иностранные удостоверяющие центры перестали выпускать и продлевать сертификаты для части российских организаций, и сайтам понадобился источник сертификатов внутри страны. Сертификаты НУЦ выданы сайтам ряда банков, государственных и других организаций. Браузеры Chrome, Firefox и Safari этому корню не доверяют, поэтому такие сайты открываются с ошибкой «Подключение не защищено», пока корневой сертификат не установлен вручную. Ниже — как проверить, нужен ли он вам, и как установить его на разных системах. Как браузер проверяет сертификаты и цепочку доверия — в статье «Что такое HTTPS и как работает рукопожатие TLS».

Какие сертификаты входят в набор

• Russian Trusted Root CA — корневой: C=RU, O=The Ministry of Digital Development and Communications, CN=Russian Trusted Root CA, действует с 1 марта 2022 года по 27 февраля 2032 года. Именно его нужно добавить в доверенные;
• Russian Trusted Sub CA и Russian Trusted Sub CA 2024 — промежуточные, от них выпущены сертификаты сайтов. Правильно настроенный сайт отдаёт промежуточный сертификат сам, но на Госуслугах их публикуют вместе с корневым, и их установка не помешает.

Официальный источник — страница gosuslugi.ru/crt: там файлы сертификатов и установщик для Windows. Скачивайте сертификаты только оттуда: корневой сертификат из случайного источника даёт его автору возможность подменять любые сайты на вашем компьютере.

Проверить скачанный файл:

openssl x509 -in russian_trusted_root_ca_pem.crt -noout -subject -dates -fingerprint -sha256

Отпечаток SHA-256 сверьте с опубликованным на Госуслугах.

Помимо этих сертификатов на алгоритмах RSA есть корни на российских алгоритмах ГОСТ. Они нужны для систем, которые работают по ГОСТ TLS, и требуют отдельного криптопровайдера; для обычных сайтов в браузере не нужны.

Нужен ли он вам

Признак: сайт открывается в Яндекс Браузере или Атоме (в них корень Минцифры встроен), а в Chrome или Firefox — с ошибкой NET::ERR_CERT_AUTHORITY_INVALID или SEC_ERROR_UNKNOWN_ISSUER. В сведениях о сертификате сайта издатель — Russian Trusted Sub CA.

Проверка из командной строки:

openssl s_client -connect site.example.ru:443 -servername site.example.ru </dev/null 2>/dev/null \
  | openssl x509 -noout -issuer
# issuer=C=RU, O=The Ministry of Digital Development and Communications, CN=Russian Trusted Sub CA

Если вы пользуетесь такими сайтами редко, самый простой вариант — открывать их в Яндекс Браузере или Атоме и ничего не устанавливать в систему.

Windows

1. Откройте файл russian_trusted_root_ca.cer → «Установить сертификат».
2. Расположение хранилища: «Текущий пользователь» (или «Локальный компьютер» для всех пользователей — нужны права администратора).
3. «Поместить все сертификаты в следующее хранилище» → «Доверенные корневые центры сертификации».
4. Подтвердите предупреждение системы безопасности.

То же из командной строки администратора:

certutil -addstore -f Root russian_trusted_root_ca.cer

Chrome и Edge в Windows доверяют корневым сертификатам, установленным в систему. Firefox — нет, см. ниже.

macOS

1. Откройте файл — он добавится в «Связку ключей», в связку «Вход» или «Система».
2. Найдите Russian Trusted Root CA, откройте его → «Доверие» → «При использовании этого сертификата: Всегда доверять».

Из терминала:

sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain russian_trusted_root_ca_pem.crt

Safari и Chrome используют системную связку ключей.

Linux

Debian и Ubuntu — системное хранилище, которым пользуются curl, wget, Python, Git и большинство программ:

sudo cp russian_trusted_root_ca_pem.crt /usr/local/share/ca-certificates/russian_trusted_root_ca.crt
sudo update-ca-certificates

Файл в этом каталоге должен иметь расширение .crt. В RHEL, Rocky и Fedora — каталог /etc/pki/ca-trust/source/anchors/ и команда sudo update-ca-trust.

Chrome в Linux берёт сертификаты из собственной базы NSS пользователя. Добавить можно в настройках Chrome (Конфиденциальность и безопасность → Безопасность → Управление сертификатами) или командой из пакета libnss3-tools:

certutil -d sql:$HOME/.pki/nssdb -A -t "C,," -n "Russian Trusted Root CA" -i russian_trusted_root_ca_pem.crt

Firefox

Firefox на всех системах использует собственное хранилище: Настройки → Приватность и защита → Сертификаты → Просмотр сертификатов → Центры сертификации → Импортировать, отметить «Доверять при идентификации веб-сайтов».

В Windows и macOS Firefox можно настроить на системные корневые сертификаты: в about:config параметр security.enterprise_roots.enabled = true.

Android

Настройки → Безопасность (или «Безопасность и конфиденциальность») → Шифрование и учётные данные → Установка сертификатов → Сертификат ЦС. Точный путь зависит от производителя.

С Android 7 приложения по умолчанию не доверяют сертификатам, установленным пользователем, — только системным. Браузер Chrome такие сертификаты принимает, а приложения — только если разработчик явно это разрешил. Банковским приложениям это не нужно: они проверяют сертификаты своих серверов сами.

iOS и iPadOS

1. Откройте файл сертификата в Safari → разрешите загрузку профиля.
2. Настройки → Основные → VPN и управление устройством → установите профиль.
3. Настройки → Основные → Об этом устройстве → Доверие сертификатам → включите полное доверие для Russian Trusted Root CA.

Без третьего шага сертификат установлен, но для сайтов не используется.

Программы и серверы

Если к сайту с сертификатом Минцифры обращается ваш скрипт или сервис, корень можно не ставить в систему, а указать только для этого вызова:

curl --cacert russian_trusted_root_ca_pem.crt https://site.example.ru/api/

import requests
requests.get("https://site.example.ru/api/", verify="/etc/ssl/russian_trusted_root_ca.pem")

Учтите, что verify с файлом заменяет стандартный набор корней: с этим параметром остальные сайты перестанут проверяться. Для запросов к разным сайтам соберите общий файл из системного набора и корня Минцифры.

Java использует своё хранилище cacerts:

sudo keytool -importcert -cacerts -alias russian-trusted-root-ca \
  -file russian_trusted_root_ca_pem.crt -storepass changeit -noprompt

В Docker-образе на Debian — те же шаги, что для Linux, в Dockerfile:

COPY russian_trusted_root_ca_pem.crt /usr/local/share/ca-certificates/russian_trusted_root_ca.crt
RUN update-ca-certificates

Общее правило для любых корневых сертификатов

Любой корневой сертификат в хранилище доверенных — не только российский — даёт право подписывать сертификаты для любых доменов. Поэтому общее правило безопасности простое: устанавливать корневые сертификаты только из официального источника и только там, где они действительно нужны. Теоретически владелец закрытого ключа любого доверенного корня может выпустить сертификат для постороннего сайта, а для корней, установленных вручную, браузеры не требуют записи в журналы Certificate Transparency. Это общее свойство устройства TLS, а не особенность конкретного центра; те же соображения относятся к корпоративным корням и корням антивирусов.

Если хочется ограничить область действия сертификата, есть простые варианты:

• не устанавливать корень в систему, а открывать нужные сайты в Яндекс Браузере или Атоме, где он уже встроен;
• установить только в отдельный браузер или профиль, например в Firefox с отдельным профилем для таких сайтов, не затрагивая системное хранилище;
• в программах — указывать корень только для конкретных вызовов (--cacert), а не для всей системы.

На рабочих компьютерах решение об установке — за службой информационной безопасности компании: она же распространяет сертификат через групповые политики, если он нужен.

Для владельцев сайтов

Сертификат НУЦ Минцифры юридические лица получают через Госуслуги, выпуск бесплатный. Если ваш сайт может получить сертификат публичного центра (Let’s Encrypt, Google Trust Services и другие работают с российскими доменами), используйте его: с сертификатом Минцифры посетители с обычными браузерами увидят ошибку. Сертификат Минцифры имеет смысл, когда публичные центры отказывают вашей организации. Об устройстве выпуска сертификатов — в статье «Сертификаты Let’s Encrypt: ACME, проверки домена, CAA и Certificate Transparency».