К встрече с Путиным готов: Яндекс.Браузер подключил шифрование по ГОСТу, как в госбраузере «Спутник»

Развитие событий: Один из тысяч сотрудников Яндекса: «на мою работу [приехал] Путин, а я в каких-то фсошных черных списках» (21 сентября)

Windows-версия Яндекс.Браузера, по желанию пользователя или администратора, научилась делать попытки соединения с сайтами, использующими шифрование по ГОСТу, с помощью SSPI (интерфейс в Windows между программами и провайдерами безопасности). Ранее Яндекс.Браузер, без отечественного шифрования, попал на компьютеры Правительства Москвы и «Сбербанка», а о работе с отечественным шифрованием заявляли только конкуренты «Яндекса» — авторы ростелекомовского браузера «Спутник». В 2016 «Ростелеком» сфокусировал «Спутник» на услугах для для государственных и окологосударственных структур, а летом 2017 президент «Ростелекома» Михаил Осеевский уточнил, что «Спутник» могут сделать обязательным к использованию в государственных ведомствах и компаниях, так как вся альтернативная продукция — западная (отечественный браузер «Яндекса» до настоящего момента тоже мог использовать исключительно стандартное шифрование, то есть заведомо не российское) и потенциально удобна для шпионажа:

«Мы обсуждаем сейчас использование в первую очередь браузера для нужд государственных органов и органов государственных корпораций. И это, в том числе, связано с вопросами информационного суверенитета страны, поскольку все браузеры западные и вся информация о том, кто куда заходит и какую информацию получает, она в общем оказывается за пределами Российской Федерации», — сообщил в июне журналистам Осеевский, отвечая на вопрос RNS.

Включение необязательного шифрования по ГОСТу в настройках Яндекс.Браузера версии 17.9.0.2081 под Windows (по умолчанию выключено)

Включение необязательного шифрования по ГОСТу в настройках Яндекс.Браузера версии 17.9.0.2081 под Windows (по умолчанию выключено)

В 2017 году авторы Яндекс.Браузера и их партнёры из «ЛАНИТ-Интеграции» среди прочих разновидностей начали распространять корпоративную версию приложения — её выпуск подтолкнуло Правительство Москвы, которое с февраля централизованно переходит на отечественный продукт. В апреле Яндекс.Браузер стал корпоративным браузером «Сбербанка» (банк — близкий бизнес-партнёр поисковика: 1, 2, 3).

Годом ранее в мае 2016 представитель «Яндекса» заявил «Коммерсанту», что компания не создаёт версию Яндекс.Браузера, где применяются российские алгоритмы, согласованные с Минкомсвязью и ФСБ. В свою очередь принадлежащий «Ростелекому» поисковик «Спутник» тогда подтвердил создание браузера с шифрованием по ГОСТу.

В конце августа 2017 года глава ростелекомовского проекта «Спутник» Максим Хромов рассказал «Известиям», что их браузер поддерживает отечественные SSL-сертификаты и готов к пилотному тестированию.

Госоператор проверит работу системы безопасности на собственном поисковом, новостном и картографическом сайтах: «Если браузер [посетителя сайта] поддерживает отечественное шифрование, то будет использовано оно. В противном случае будет подключение через иностранные SSL-сертификаты», — объяснил ближайшие планы Хромов. Советник президента РФ Герман Клименко добавил тогда, что пилотные испытания российского шифрования пройдут и на несопоставимо более популярном, чем собственные сервисы «Ростелекома», портале Госуслуг (разработку портала координируют структуры того же «Ростелекома»).

Путин впервые посетит офис «Яндекса»

Технически Яндекс.Браузер и ростелекомовский «Спутник», для поддержки ГОСТа, используют похожую связку систем. Один из руководителей разработки Яндекс.Браузера Роман Иванов объяснил:

В Яндекс.Браузере нет встроенного шифрования по ГОСТу, но мы тестируем в бета-версии экспериментальную поддержку SSPI-провайдера ГОСТ-шифрования, если он установлен на данном компьютере с ОС WIndows. В релизной версии это отключено.

Более простыми словами: если у пользователя на компьютере установлен, скажем, «Крипто Про», а также необходимые сертификаты соответствующих российских УЦ, то при включении поддержки SSPI ГОСТ в Яндекс.Браузере можно будет пользоваться сайтами, которые предпочитают шифрование по ГОСТ SSL.

У «Спутника» использовалась похожая схема — но в ней провайдер SSPI «Крипто Про» сразу включён в инсталятор специализированной версии браузера.

На завершающейся неделе два человека, по заверениям «Дождя» близких к кремлевской администрации, и один сотрудник «Яндекса», рассказали телеканалу, что офис «Яндекса» якобы посетит президент Путин. По их словам визит президента запланирован в преддверии празднования 20-летия «Яндекса» (23 сентября). Весной 2014 года Путин рассказал, что по его представлениям «Яндекс» создавался под давлением американцев и европейцев, а не как обыкновенная российская компания. Офис разработчиков популярной поисковой машины и экзотического пока браузера с редким подключением к шифрованию по российскому ГОСТу Путин посетит впервые. Широкого анонса шифрованию по ГОСТу «Яндекс» пока не делал.

Лучшие комментарии

  • Контекст комментария

    Станислав Кузнецов

    Сейчас задачи распространить ГОСТ и не стоит. Стоит задача все это запустить и отладить.Только полгода назад начали выдавать подписанные головным удостоверяющим центром через УЦ 1 ИС ГУЦ сертификаты.

    Да и как ты видишь ГОСТ-сертификаты на сайтах при том, что на данный момент ни один браузер (не считая спутника, но его доля на уровне погрешности) не поддерживает этот самый ГОСТ? Что ты там собрался распространять и с какой целью? Чтобы ГОСТ стал популярен — нужен крипропровайдер ГОСТ, нужен браузер, который умеет в ГОСТ и нужны пользователи, которые будут пользоваться этим браузером. А пока все работает на старом — никто не будет слезать с привычного хрома.

    Поэтому тут вилка — или все это оставят только в госучреждениях для госсайтов, или постепенно начнут закручивать гайки, прямо запрещая использование тех же госуслуг (где сейчас зарегистрирован каждый второй пользователь рунета) через хромофоксоперу с альтернативой в виде я.браузера или спутника. Плюс всем пользователям надо раскидать корневой, это надо как-то решать с MS. И вот только после того, как соберется критическая масса пользователей с поддержкой ГОСТ и ГОСТовским корневым — возможно, появится спрос на ГОСТ-сертификаты.

Добавить 10 комментариев

  • Ответить

    Я пробовал на днях спутник — качество выдачи ужасно. Единственное что годного они сделали — это собрали прилично openstreetmap карты в свой картографический сервис. Вот что им только не дает сделать свой спутниковый слой на отечественных спутниках — благо отечественные аналоги уже лет 5 есть.

  • Ответить

    Однажды «Яндекс» уже предположил, что он имеет право взять за основу излюбленные в Google продукты (распространяемые, якобы, свободно), и сделать нечто своё на основе популярных в google кодов. Появилась отдельная версия «Android без Google» (Яндекс.Кит), сервисы «Яндекса» и поиск начали предустанавливаться на телефоны. Прошло немного времени (3 месяца) и…

    Из Google постучали по голове производителям (окрик из Google похоже даже помог выйти из бизнеса компании Explay, которая первой решилась попробовать Яндекс.Кит в 2014. Прибыльная в 2014 Explay с ростом год к году в 33%, оборотом в 11 миллиардов рублей компания, уже в 2015 году не выпустила на рынок ничего, никаких телефонов-планшетов, что с Google, что без Google — а в 2016 остатки бизнеса спихнули в Fly).

    Можно думать, что Google — это компания, которая даст спокойно жить достаточно популярному браузеру, который обзавёлся аж системами безопасности, которые никак не контролируются из Калифорнии. И можно вспомнить, что в прошлый раз, когда «Яндекс» создал что-то подчёркнуто своё на излюбленных в Google кодах, последовало быстрое и жёсткое наказание.

  • Ответить

    Если хотят увидеть распространение шифрования по ГОСТ необходимо сделать для этого доступный механизм получения сертификатов, как LetsEncrypt, а не всякие устаревающие КриптоПро, изображающие «безопасность». Получал тут сертификат — с ними работать очень сложно. О какой массовости может идти речь? Используют только те, кого заставили.

  • Ответить

    Сейчас задачи распространить ГОСТ и не стоит. Стоит задача все это запустить и отладить.Только полгода назад начали выдавать подписанные головным удостоверяющим центром через УЦ 1 ИС ГУЦ сертификаты.

    Да и как ты видишь ГОСТ-сертификаты на сайтах при том, что на данный момент ни один браузер (не считая спутника, но его доля на уровне погрешности) не поддерживает этот самый ГОСТ? Что ты там собрался распространять и с какой целью? Чтобы ГОСТ стал популярен — нужен крипропровайдер ГОСТ, нужен браузер, который умеет в ГОСТ и нужны пользователи, которые будут пользоваться этим браузером. А пока все работает на старом — никто не будет слезать с привычного хрома.

    Поэтому тут вилка — или все это оставят только в госучреждениях для госсайтов, или постепенно начнут закручивать гайки, прямо запрещая использование тех же госуслуг (где сейчас зарегистрирован каждый второй пользователь рунета) через хромофоксоперу с альтернативой в виде я.браузера или спутника. Плюс всем пользователям надо раскидать корневой, это надо как-то решать с MS. И вот только после того, как соберется критическая масса пользователей с поддержкой ГОСТ и ГОСТовским корневым — возможно, появится спрос на ГОСТ-сертификаты.

  • Ответить

    >И можно вспомнить, что в прошлый раз, когда «Яндекс» создал что-то подчёркнуто своё на излюбленных в Google кодах, последовало быстрое и жёсткое наказание

    Что за бред? Xiaomi, например, спокойно себе продает андроид телефоны без гуглосервисов. Как это гугл наказал Яндекс?

  • Ответить

    Гугл наказал Яндекс распрекрасно. Как вы наверное слышали, в долгом расследовании ФАС и паре последующих судов было доказано, что Гугл Ирландия и Гугл США наехали на производителей электроники, сотрудничавших с Яндексом, и под угрозой отключения их устройств от Google Play Services (такие устройства превращаются в тыкву) настояли, чтобы никакого духа Яндекса на телефонах не было (включая даже запрет приложений Яндекса для которых никаких аналогов Google не выпускает, то есть не борется за долю того или иного рынка). В своё время на рынке было около 50 моделей смартфонов и 120 моделей планшетов с этикеточкой на коробке «Яндекс Внутри». После того, как гугл подёргал за ниточки — таких устройств стало ноль. Нормальное такое возмездие. Называется — тотальное.

  • Ответить

    Внедрение шифрования ГОСТ и поддержка отечественных УЦ как еще один шаг к товарищу майору. Следующий шаг — использовать российский УЦ для MitM атаки на HTTPS сайты.

  • Ответить

    Что мгновенно блокирует этот УЦ, как ненадёжный и сделает его бесполезным. Какой смысл им это делать?

    А вот использовать все методы шифрования на случай взлома одного из методов — очень даже полезно и повышает общую надёжность и защищённость.

    Вот пример из DNSSEC: https://portal.rootcanary.org/rcmstats.html