Это сайт Сбербанка или мошенники? Объясняем, стоит ли ставить сертификат безопасности
С прошлого года при заходе на сайт Сбербанка большинство пользователей стали видеть предупреждение о небезопасности, в тоне: «Осторожно, у вас могут украсть деньги». Сам Сбер в качестве решения проблемы предлагает установку сертификатов Минцифры (которые иностранные браузеры считают небезопасными). Что это все значит и насколько безопасно пользоваться сайтом Сбербанка с такими сертификатами?
Что случилось с сайтом Сбера
«Подключение не защищено. Не сообщайте этому сайту конфиденциальную информацию. Например, пароли и номера банковских карт. К ней могут получить доступ злоумышленники». Такой формулировкой описывает сайт sberbank.ru самый популярный в интернете браузер Chrome. Но ведь мы на сайт Сбербанка заходим именно чтобы ввести пароль и данные карт! Поэтому предупреждение звучит крайне угрожающе. Так в чем же дело?
Немного краткой теории. Соединения с сайтами бывают двух основных видов: защищенное (начинается на https, см. в адресной строке) и незащищенное (начинается на http). Разница между ними простая: в первом случае данные шифруются, во втором — нет. Чем это грозит на практике?
Допустим, вы в кафе подключились к открытому Wi-Fi. Рядом сидит злоумышленник, который ловит ваш трафик — все то, чем вы обмениваетесь с интернетом (в случае с открытым Wi-Fi с этим справится и школьник). Что он увидит, если соединение зашифровано? Ничего. Максимум — IP-адреса сайтов. Но что вы там передаете и что смотрите, останется для него загадкой. Причем заглянуть в ваш трафик не сможет даже ваш провайдер. Куда трафик идет — видно, а что там внутри — нет.
Если же соединение не зашифровано, то злоумышленник будет видеть весь ваш трафик с этим сайтом как на ладони. И провайдер тоже.
Конечно, если точка доступа Wi-Fi закрытая (а значит, соединение само по себе закрыто от злоумышленника за соседним столиком) или вы вообще подключены по проводу, вероятность того, что провайдер будет лезть в ваш трафик и искать там пароли, крайне мала. Но гарантии безопасности уже нет. О чем браузер и предупреждает.
Но почему сайт Сбера отказался от защищенного соединения? Все дело снова в санкциях. Для шифрования трафика сайт должен иметь специальную вещь — сертификат безопасности. Это такой цифровой паспорт, который подтверждает, что трафик идет именно с того сайта, который вы запрашивали. Ваш браузер отправляет запрос: «Это точно сайт Сбера?» Тот отвечает: «Да, я точно сайт Сбера, вот мой пасп… сертификат!»
Но сертификаты (как и паспорта) не выдает кто попало. Это делают специальные удостоверяющие центры — аналоги паспортных столов. И в каждом устройстве/браузере зашит список центров, которым устройство/браузер доверяет. То есть наличие сертификата в конечном счете означает, что удостоверяющий центр, которому можно доверять, гарантирует: это тот самый сайт.
Вот тут и появилась проблема для попавшего под санкции госбанка. Доверенные удостоверяющие центры сплошь иностранные, да еще и из стран, которые российские власти называют недружественными. Отечественный сертификат Минцифры планировали включить в список доверенных, да не успели.
«Иностранные центры отказываются выдавать новые/продлевать старые SSL-сертификаты. Из „неприятности“ это превращается в реальную проблему. Срок действия многих ранее выданных сертификатов начинает истекать, и соединение перестает быть безопасным», — объясняет заместитель директора компании «Цифроматика» Артур Батуллин.
Сертификат Минцифры: спасение или новая опасность
Хотя… Выход, говорят госбанкиры, есть! Достаточно вручную указать устройству, что сертификату Минцифры можно доверять — и защищенное соединение снова заработает. Это называется «установка корневого сертификата», и именно это предлагает Сбер.
Однако если начать устанавливать корневой сертификат по инструкции, можно увидеть еще одно предупреждение безопасности. Это еще что?
Дело в том, что установка корневого сертификата в систему — это очень ответственный шаг, почти как вступление в брак. Вы даете разрешение сертификату подтверждать вообще всё. И это создает теоретическую возможность для расшифровки вашего трафика даже на сайтах, которые используют любые другие сертификаты.
Дмитрий Кузеванов, технический директор компании «Азбука Вкуса»:
— Важно понимать, что владелец корневого сертификата, которому вы доверяете, способен выпустить любой сертификат на имя любого сайта, и ваше устройство будет ему доверять и не выдавать никаких предупреждений.
И вот в этом моменте возможно злоупотребление — выпуск сертификата-двойника без ведома владельца ресурса и дальнейшее его использование в атаке «man-in-the-middle». Атакующий получает доступ для просмотра расшифрованного трафика между пользователем и сайтом, который может содержать: логины или пароли, тексты комментариев, любую другую конфиденциальную информацию.
Атака довольно сложная и, естественно, незаконная: для нее требуется, чтобы сам удостоверяющий центр Минцифры вдруг выдал поддельный сертификат для нужного сайта. Иначе не получится.
Дмитрий Гачко, основатель ГК ITglobal.com:
— Понятно, что можно злоупотребить, выдав сертификат, например, для YouTube, и ваш браузер не будет об этом сигнализировать, но злоупотребить может и любой другой из существующих владельцев корневых сертификатов. Пойдет ли кто-то на такой шаг и по какой причине — вот в чем вопрос.
Трафик с сайтов, которые используют сертификаты от Минцифры, расшифровать проще — надо только получить в этом поддержку самого Минцифры.
Как наиболее безопасно открыть сайт Сбера
Так что же делать-то? Не установишь сертификат Минцифры — соединение с сайтом Сбера станет небезопасным. Установишь — безопасность соединений с другими сайтами может нарушиться. Выход — использовать российский браузер, который сам по себе доверяет отечественным сертификатам. Нам известно о двух таких — «Яндекс.Браузер» от одноименной компании и «Атом» от VK.
Владимир Пузанов, директор бренда BQ:
— Глобально устанавливать любые корневые сертификаты небезопасно, независимо от страны происхождения. При этом национальные сертификаты используют общепринятую открытую криптографию и работают по стандартным правилам (это обычный RSA с длинным ключом, ровно такой же, какой выписывают другие центры сертификации). Если пользователь пользуется российскими браузерами, то дополнительно ничего устанавливать нет необходимости.
При этом разработчики «Яндекс.Браузера» уверяют, что допускают использование сертификата Минцифры только на сайтах из специального списка. То есть если «Яндекс.Браузер» увидит, что сертификатом Минцифры подписан, например, Google, то он все равно такой подписи доверять не станет. Можно просто использовать «Яндекс.Браузер» или «Атом» только на сайтах, которые подписаны Минцифрой, если сомневаетесь в этих российских разработках.
А вот перед владельцами iPhone дилеммы вообще не стоит: из-за ограничений системы у них браузеры могут доверять только корневым сертификатам из самой iOS. Так что вариант с российским браузером тут не поможет. Либо устанавливать корневой сертификат для Сбера в систему и учитывать все риски, либо пользоваться небезопасным соединением с онлайн-банком (и тоже учитывать все риски).
Как установить Сбер, ВК и другие «удаленные» приложения на iPhone
Зарубежные компании продолжают буйствовать на фоне санкций и удаляют самые удобные и популярные программы, которыми пользуются жители РФ. И, если с Android в этом плане все просто, то вернуть банковские клиенты и другие плюшки на айфон оказывается чуточку сложнее. Но пользователи становятся все хитрее и находят методы борьбы с этим вандализмом. Существует несколько способов установить «запрещенку» на свой айфон — рассказываем и показываем.
iMazing — быстро и бесплатно
Самый быстрый и простой — с помощью утилиты iMazing. Для работы понадобится минимальный набор — само устройство, кабель, компьютер на Windows или macOS, а также программа iMazing и еще одно «условие». Как раз наличие этого условия и гарантирует нам успешность манипуляции. Это Apple ID, с помощью которого ранее уже загружались необходимые для установки программы. Например, «Сбер», «ВКонтакте» или 2ГИС.
При этом учетная запись Apple может быть привязана как к новому устройству, так и к любому другому. Нам необходимо знать только данные для авторизации — логин и пароль. В таком случае существует два варианта развития ситуации.
Ситуация №1
У вас уже был iPhone и перечисленные программы, но вам нужно «переехать» на новый девайс и перенести на него весь софт. В таком случае смело отправляемся по ссылке за программой iMazing. Это крайне полезная софтина, которая поможет нам с установкой программ. На самом деле она платная, но ее «триала» будет достаточно для наших задач.
Скачиваем, устанавливаем и открываем программу. Перед использованием подтверждаем работу в пробном режиме и попадаем в главное окно.
Подключаем новый айфон к компьютеру. Устройство необходимо «подружить» с системой — разблокировать и нажать «Доверять».
Вводим пароль на смартфоне, пропускаем предложение создать резервную копию в iMazing и попадаем в меню управления устройством.
Теперь переходим в раздел «Управление приложениями» и вводим пару логин/пароль от нашего Apple ID. Если вы ранее уже заходили в эту программу и вводили данные, раздел откроется сразу. Переключаем вверху вкладку с «Устройство» на «Медиатека».
Здесь отображается список приложений, установленных на подключенном смартфоне сейчас, а также тех, которые когда-то были загружены из App Store и сохранились в медиатеке. Установленные программы обозначены галочкой. Вбиваем в поиск название софта, который необходимо установить, и нажимаем кнопку «Установить».
Произойдет загрузка, затем начнется распаковка приложения.
Дожидаемся сообщения об успешном завершении операции и идем на рабочий стол iPhone, чтобы проверить, установилось ли приложение.
Это способ работает не только с программами «Сбера», но также позволяет восстановить любой удаленный из App Store софт. Например, 2ГИС, клиенты других банков, «ВКонтакте» и так далее.
Иногда программы могут быть скрыты в медиатеке. В таком случае необходимо подключить старое устройство, на котором эти приложения уже установлены, перейти в раздел «Управление приложениями», затем найти установленную программу и нажать «Загрузить в библиотеку» в выпадающем меню.
После этого можно подключать новый айфон и устанавливать софт описанным выше способом.
Ситуация №2
Вы впервые в жизни купили iPhone и хотите установить нужный софт. Это немного сложнее, так как придется найти человека, который доверит нам личный девайс и аккаунт на время.
Активируем новое устройство, создаем аккаунт Apple ID и зовем в гости доброго товарища. Подключаем его айфон к своему компьютеру и проделываем уже знакомые действия — нажимаем «Доверять» и в окне программы iMazing водим логин и пароль от его учетной записи.
В рамках статьи «айфоном друга» станет все тот же iPhone 13 Pro Max из примеров выше, а «новым» будет iPhone Xs из коллекции автора. Он сейчас активирован под свежим Apple ID, поэтому на него нельзя установить заблокированные программы из медиатеки — их там просто никогда не было. Для примера перенесем на него недавно удаленный из App Store городской справочник 2ГИС.
Находим на айфоне-доноре приложение в разделе «Медиатека», нажимаем значок облака справа, затем переходим в контекстное меню и нажимаем «Экспорт .IPA».
Это сохранит установочный файл с расширением IPA на компьютер.
Теперь айфон друга можно отключить и подключить свой для установки 2ГИС из этого файла. Только не спешите отпускать товарища домой — он нам еще понадобится.
Подключаемся к iMazing, выходим из учетной записи друга в программе и вводим свои данные. После этого переходим во вкладку «Управление приложениями» и открываем «Устройство».
Теперь нам нужно установить тот файл, который мы только что скачали с айфона. Для этого нажимаем на стрелочку в правом нижнем углу и выбираем «Установить файл .IPA». Подсовываем программе установочный файл 2ГИС и ждем окончания процесса.
После завершения установки переходим к настройке iPhone. Его, кстати, можно отсоединить от компьютера. Находим на рабочем столе айфона значок только что установленной программы. В нашем случае — 2ГИС. Тапаем по нему и получаем запрос на авторизацию с тем аккаунтом Apple ID, с помощью которого это приложение когда-то было загружено из App Store.
Вот тут наш любезный друг и понадобится нам еще раз — просим его ввести логин и пароль, затем подтверждаем авторизацию и вуаля! Всеми любимый справочник российских городов теперь работает без проблем даже после выселения из App Store.
Таким образом можно перенести любое другое приложение. При этом безопасность учетных записей и устройств не нарушается — данные вводятся единожды при авторизации. В самом приложении владелец iPhone будет использовать собственную учетную запись Apple ID и личные данные банковских карт.
А есть другие способы?
Несмотря на все запреты Apple, существуют и другие способы установки приложений в обход App Store. Это различные сервисы, позволяющие зарегистрировать iPhone или iPad в качестве устройства для разработчика приложений под iOS. В таком случае индивидуально для каждого девайса выдается сертификат, с помощью которого пользователь может подписать софт. Изначально это сделано для того, чтобы разработчик мог установить на айфон собственные программы и тестировать их на ошибки.
Правда, возможности сертификата не ограничены «самописным» софтом, поэтому с помощью него можно подписать любое другое приложение. Включая даже то, которое создано для джейлбрейкнутых девайсов. Например, YouTube-клиент с премиум-подпиской и без рекламы.
Поэтому, получив такой сертификат, пользователь может загрузить приложение банка или «ВКонтакте» в виде IPA-файла, подписать и установить на iPhone, просто открыв в файловом менеджере.
Правда, за возможность устанавливать приложения напрямую из IPA как в Android придется заплатить порядка одной тысячи рублей. И не забываем про риски — сертификаты выдает Apple, которая в любой момент может отменить его действие, а вместе с этим нарушит работу всех подписанных и установленных с помощью него программ.
Как установить сертификаты НУЦ Минцифры
Скачайте или загрузите по прямой ссылке сертификаты для MacOS.
Добавьте их в хранилище доверенных сертификатов.
Пути к хранилищу немного различаются для разных видов Linux:
в Ubuntu и Debian это /usr/local/share/ca-certificates/;
в Red Hat — /etc/pki/ca-trust/source/anchors/;
в Arch Linux — /etc/ca-certificates/trust-source/anchors/.
Например, сертификат можно скопировать в хранилище командой суперпользователя (Ubuntu)
Обновите хранилище. Для этого от имени суперпользователя выполните команду:
Как установить «Сбербанк Онлайн» на iPhone: инструкция 2022 для «чайников»
Напомним, что недавно Сбер выпустил для Iphone приложение СБОЛ, которое полностью повторяло функции основного, но его заблокировали спустя несколько дней. Многие пользователи уже успели скачать, но кто-то оставался в неведении и пропустил всю информацию.
Самый легкий способ попасть в «Сбербанк Онлайн» и другие банки в сентябре 2022
Получить доступ к личному кабинету банка можно через любой мобильный браузер – сайты оптимизировали под телефоны, поэтому они стали очень даже удобными в этом плане.
Как вернуть удаленное приложение «Сбербанк Онлайн», «ВТБ Онлайн» и «Альфа-Банк»
Вернуть удаленное приложение на свой Iphone на базе iOS можно в обход App Store благодаря утилите iMazing – это аналог iTunes, который позволяет восстановить приложение, если оно когда-то в прошлом было установлено на ваше устройство.
Скачайте iMazing себе на компьютер. Установите его, запустите и подключите iPhone к ПК. Согласитесь на использование пробного периода или оплатите полный. Нажмите на кнопку «Управление приложениями», а затем — «Медиатека». Дождитесь загрузки и в поисковой строке введите название нужного банка.
Нажмите на него правой кнопкой мыши и выберите «Установить». Дождитесь окончания загрузки и отключите свой телефон от компьютера.
В результате проделанных манипуляций приложение снова появится на вашем айфоне – такое можно провернуть с любым банком. Если разобраться конкретнее, то iMazing использует установку посредством IPA (аналог APK на Android), поэтому он никак не связан с магазином приложений.
Есть и минусы такой «установки» приложений Сбербанк Онлайн и других, потому что обновляться они не будет. В связи с этим, если у вас возникнет какая-то ошибка или что-то будет не так работать – это никто не исправит.
Несмотря на то, что этот способ установки приложений существует уже очень давно, большинство пользователей его игнорируют – они боятся устанавливать стороннюю утилиту на свой компьютер, потому что думают, что не справятся. Но на самом деле тут нет ничего сложного. Все операции по восстановлению удаленного проводятся всего в несколько действий, которые не требуют от вас сверхъестественных умений и навыков.
Установка приложения «Сбербанк Онлайн», «ВТБ Онлайн» и «Альфа-банк» на IOS
Владельцы iPhone с джейлбрейком [пиратский взлом] могут установить любое приложение в формате *.ipa. Сделать это можно следующим образом, но есть минус, что такая прошивка доступна только для телефонов с IOS 14 и ниже – свою версию можно проверить в настройках телефона.
Загрузите утилиту для подписи приложений. Подойдет Sideloadly! или Cydia Impactor. Найдите установочный файл приложения Сбер в формате *.ipa на любом посвященном приложениям форуме. Установите приложение через утилиту на компьютере, подписав ключом для своей учетной записи.
Дальше придется установить любой твик, скрывающий взлом на устройстве – SberbankBypass, Liberty, KernBypass, Shadow.
Владельцы аккаунта разработчика могут точно так же найти нужное приложение в формате *.ipa и установить его на устройство, подписав собственным сертификатом – это необходимо не всем пользователям, но стоит сказать, что сделать это можно через Xcode.
Если у вас нет аккаунта разработчика, можно установить приложение через AltStore, но снова потребуется установочный *.ipa-файл и сторонний магазин приложений.
Специалист по ремонтам телефонов марки Apple рассказал Atas.info, что установить любое приложение через сторонний магазин можно скачав AltServer на Macbook или Windows, а затем через меню приложения установить плагин для приложения почта в MacOS. Следующим этапом станет подключение кабеля к компьютеру и выдача необходимых разрешений.
В меню AltServer установите сторонний магазин AltStore на Iphone – нужно будет ввести ваш Apple ID и пароль.На смартфоне нужно установить профиль для запуска программы в VPN и управлении устройством. Последним шагом является загрузка на смартфон файла и установка на телефоне.
Есть минусы и такой установки – нужно переустанавливать приложение раз в неделю. Однако, если вы постоянно это будет делать с одного компьютера, то все манипуляции будут происходить автоматически при подключения кабеля.
Стоит отметить, что если у вас смартфон на Android, то вам придется немного проще, потому что Сбер опубликовал APK-версию Сбербанк Онлайн на своем официальном сайте, а установка происходит в два клика.