Сбер бизнес невозможно установить безопасное соединение

С недавнего времени при заходе на сайт Сбербанка большинство пользователей стали видеть предупреждение о его небезопасности. Сам Сбер в качестве решения этой проблемы предлагает установку сертификатов Минцифры. Что это все значит и насколько безопасно пользоваться сайтом Сбербанка с такими сертификатами?

Что случилось с сайтом Сбера

«Подключение не защищено. Не сообщайте этому сайту конфиденциальную информацию. Например, пароли и номера банковских карт. К ней могут получить доступ злоумышленники». Такой формулировкой описывает теперь сайт sberbank.ru самый популярный в интернете браузер Chrome. Но ведь именно чтобы ввести пароль и данные карт, мы на сайта Сбербанка и заходим! Поэтому предупреждение звучит крайне угрожающе. Так в чем же дело?

Немного краткой теории. Соединения с сайтами бывают двух основных видов: защищенное (начинается на https, см. в адресной строке) и незащищенное (начинается на http). Разница между ними простая: в первом случае данные шифруются, во втором — нет. Чем это грозит на практике?

Допустим, вы в кафе подключились к открытому Wi-Fi. Рядом сидит злоумышленник, который ловит ваш трафик — все то, чем вы обмениваетесь с интернетом (в случае с открытым Wi-Fi с этим справится и школьник). Что он увидит, если соединение зашифровано? Ничего. Максимум — IP-адреса сайтов. Но что вы там передаете и что смотрите, останется для него загадкой. Причем заглянуть в ваш трафик не сможет даже ваш провайдер. Куда трафик идет — видно, а что там внутри — нет.

Если же соединение не зашифровано, то злоумышленник будет видеть весь ваш трафик с этим сайтом как на ладони. И провайдер тоже.

Конечно, если точка доступа Wi-Fi закрытая (а значит, соединение само по себе закрыто от злоумышленника за соседним столиком) или вы вообще подключены по проводу, вероятность того, что провайдер будет лезть в ваш трафик и искать там пароли, крайне мала. Но гарантии безопасности уже нет. О чем браузер и предупреждает.

Но почему сайт Сбера отказался от защищенного соединения? Все дело снова в санкциях. Для шифрования трафика сайт должен иметь специальную вещь — сертификат безопасности. Это такой цифровой паспорт, который подтверждает, что трафик идет именно с того сайта, который вы запрашивали. Ваш браузер отправляет запрос: «Это точно сайт Сбера?» Тот отвечает: «Да, я точно сайт Сбера, вот мой пасп… сертификат!»

Но сертификаты (как и паспорта) не выдает кто попало. Это делают специальные удостоверяющие центры — аналоги паспортных столов. И в каждом устройстве/браузере зашит список центров, которым устройство/браузер доверяет. То есть наличие сертификата в конечном счете означает, что удостоверяющий центр, которому можно доверять, гарантирует: это тот самый сайт.

Вот тут и появилась проблема для попавшего под санкции госбанка. Доверенные удостоверяющие центры сплошь иностранные, да еще и из стран, которые российские власти называют недружественными. Отечественный сертификат Минцифры планировали включить в список доверенных, да не успели.

«Иностранные центры отказываются выдавать новые/продлевать старые SSL-сертификаты. Из „неприятности“ это превращается в реальную проблему. Срок действия многих ранее выданных сертификатов начинает истекать, и соединение перестает быть безопасным», — объясняет заместитель директора компании «Цифроматика» Артур Батуллин.

Сертификат Минцифры: спасение или новая опасность

Хотя… Выход, говорят госбанкиры, есть! Достаточно вручную указать устройству, что сертификату Минцифры можно доверять — и защищенное соединение снова заработает. Это называется «установка корневого сертификата», и именно это предлагает Сбер.

Однако если начать устанавливать корневой сертификат по инструкции, можно увидеть еще одно предупреждение безопасности. Это еще что?

Дело в том, что установка корневого сертификата в систему — это очень ответственный шаг, почти как вступление в брак. Вы даете разрешение сертификату подтверждать вообще всё. И это создает теоретическую возможность для расшифровки вашего трафика даже на сайтах, которые используют любые другие сертификаты.

Дмитрий Кузеванов, технический директор компании «Азбука Вкуса»:

— Важно понимать, что владелец корневого сертификата, которому вы доверяете, способен выпустить любой сертификат на имя любого сайта, и ваше устройство будет ему доверять и не выдавать никаких предупреждений.
И вот в этом моменте возможно злоупотребление — выпуск сертификата-двойника без ведома владельца ресурса и дальнейшее его использование в атаке «man-in-the-middle». Атакующий получает доступ для просмотра расшифрованного трафика между пользователем и сайтом, который может содержать: логины или пароли, тексты комментариев, любую другую конфиденциальную информацию.

Атака довольно сложная и, естественно, незаконная: для нее требуется, чтобы сам удостоверяющий центр Минцифры вдруг выдал поддельный сертификат для нужного сайта. Иначе не получится.

Дмитрий Гачко, основатель ГК ITglobal.com:

— Понятно, что можно злоупотребить, выдав сертификат, например, для YouTube, и ваш браузер не будет об этом сигнализировать, но злоупотребить может и любой другой из существующих владельцев корневых сертификатов. Пойдет ли кто-то на такой шаг и по какой причине — вот в чем вопрос.

Трафик с сайтов, которые используют сертификаты от Минцифры, расшифровать проще — надо только получить в этом поддержку самого Минцифры.

Как наиболее безопасно открыть сайт Сбера

Так что же делать-то? Не установишь сертификат Минцифры — соединение с сайтом Сбера станет небезопасным. Установишь — безопасность соединений с другими сайтами может нарушиться. Выход — использовать российский браузер, который сам по себе доверяет отечественным сертификатам. Нам известно о двух таких — «Яндекс.Браузер» от одноименной компании и «Атом» от VK.

Владимир Пузанов, директор бренда BQ:

— Глобально устанавливать любые корневые сертификаты небезопасно, независимо от страны происхождения. При этом национальные сертификаты используют общепринятую открытую криптографию и работают по стандартным правилам (это обычный RSA с длинным ключом, ровно такой же, какой выписывают другие центры сертификации). Если пользователь пользуется российскими браузерами, то дополнительно ничего устанавливать нет необходимости.

При этом разработчики «Яндекс.Браузера» уверяют, что допускают использование сертификата Минцифры только на сайтах из специального списка. То есть если «Яндекс.Браузер» увидит, что сертификатом Минцифры подписан, например, Google, то он все равно такой подписи доверять не станет. Можно просто использовать «Яндекс.Браузер» или «Атом» только на сайтах, которые подписаны Минцифрой, если сомневаетесь в этих российских разработках.

А вот перед владельцами iPhone дилеммы вообще не стоит: из-за ограничений системы у них браузеры могут доверять только корневым сертификатам из самой iOS. Так что вариант с российским браузером тут не поможет. Либо устанавливать корневой сертификат для Сбера в систему и учитывать все риски, либо пользоваться небезопасным соединением с онлайн-банком (и тоже учитывать все риски).

Ошибка TLS соединения в Сбербанк Бизнес Онлайн

Работая с разными сервисами СБ, стоит понимать, что в любой момент могут возникнуть технические проблемы. Ошибка TLS соединения Сбербанк Бизнес Онлайн представляет действительно неприятную ситуацию, которую устранить самостоятельно не представляется возможным.

Коды ошибок бывают разными, и важно понимать, как действовать и куда обращаться, если сложность возникла. Рассмотрим существующие варианты, причины их возникновения и возможность по устранению сложной ситуации.

Наиболее частые ошибки TLS соединений

Возможность дистанционно управлять собственными активами в последние годы стала крайне популярной для многих пользователей. Люди обращаются в банк и открывают счета или получают карты, чтобы в дальнейшем не тратить время на походы в банк, а перечислять деньги через личный кабинет в автоматическом режиме.

При наличии положительных сторон, недостатки имеются и связаны с техническими сбоями. Бывает, сервис перестает работать, а при выполнении определенных действий выдает коды ошибок. Частенько возникают неприятности, связанные с ошибками ТЛС соединений.  Обычно, ситуация легко поправима, но действовать стоит внимательно. В качестве примера, приведем известные ошибки:

• «0070» – неверна подпись сертификата сервера. Для устранения поломки потребуется обновить сертификат;
• «99» – нарушение контакта с терминалом. Для восстановления работы оборудования, стоит проверить соединение;
• «230» – выдается при сбое в работе банкомата во время принятия купюр;
• «34» – код, указывающий на устаревшие драйверы;
• «19» – технический сбой в работе сайта;
• «36» – сбой возник из-за установленного программного обеспечения;
• «38» – возникает во время работы с зарплатным проектом и указывает на неточности и ошибки при формировании реестра.

Перечисленные неприятности легко устранить, если понимать, какие действия необходимо предпринять.

Причины возникновения проблем

Данный вопрос можно внимательно изучить на форуме или задать оператору в Сбербанке, но обычно, подобные ошибки встречаются по причинам, подлежащим легкому исправлению.  В качестве наиболее распространенных неполадок стоит отметить:

• технические сбои;
• неправильные действия со стороны пользователя;
• прочие проблем.

Каждый случай может быть разрешен, самостоятельно клиентом или при обращении в службу техподдержки.

Ошибки соединения Сбербанк Бизнес Онлайн

Существуют и другие ошибки, которые возникают при работе системы. Рассмотрим  часто встречающиеся неприятности подробнее. Коды ошибок позволят быстро разобраться в проблеме и устранить неисправность.

Ошибка 0010/0100

Самая первая ошибка, на которую стоит обратить внимание – это ошибка TLS соединения 0010/ ошибка TLS соединения 0100. Сложность появляется из-за сбоя с сертификатом. Дело в том, что при входе в Бизнес Онлайн обязательно производится проверка подлинности сертификата.

Сначала определяется то, до какого времени работает сертификат, а затем, адрес сравнивается с адресом, прописанным в документе. Если все совпадает, то и ошибки не возникнет.

Ошибка 0140

Следующая проблема – это ошибка «0140». Причины возникновения такой неполадки бывают разные.

 Здесь стоит упомянуть обычную просрочку ЭЦП, либо с обычным сбоем в работе системы.

Ошибка 0160

Такая неполадка может появиться лишь в том случае, когда системе не может получить доступ к проверке сертификата. То есть, пин-код перестал действовать. Чтобы восстановить работу функционала потребуется обратиться в банк и получить пин-код или токен.

Другие возможные проблемы

Помимо приведенных типов ошибок, есть еще и другие сложности. В качестве часто встречающихся поломок можно назвать следующие:

• неправильное введение логина и пароля при входе клиента в личный кабинет. Достаточно указать необходимые идентификаторы, чтобы откорректировать ситуацию;
• ошибка с кодом 401 возникает при входе в систему и сообщает, что некорректно работает оборудование, т.е. сам ПК. Здесь речь может идти о некорректной работе браузера, либо попадания приложения в антивирусный список исключений;
• ошибка контроля возникает при неправильном заполнении платежного поручения. Достаточно исправить ошибки, чтобы выполнит все нужные действия по оплате;
• внутренняя ошибка сервера возникает по причине тех.сбоя в работе оборудования банка. Этим вопросом занимают специалисты организации и достаточно сообщить об этом в службу тех.подержки, а потом немного подождать.

Помимо перечисленных вариантов, есть еще и другие виды соединений с ошибками, о которых будет рассказано далее.

Как устранить проблему?

Чтобы устранить возникшую проблему можно действовать разными способами. В качестве наиболее результативных, можно назвать следующие:

1. Обновить сертификат самостоятельно или настроить доступ в систему через прокси.
2. Позвонить по телефону 8-800-555-6464 для обращения за помощью к консультантам техподдержки, если ничего сделать не удается.

Каждый вариант подойдет для решения вопроса и получения необходимой клиенту услуги в установленном порядке. Вполне возможно, что никаких действий предпринимать не требуется, а устранить проблему поможет только время.

Related Items

1. Вход на сайт Сбербанка через Tesla Browser
2. Установка российских сертификатов в Google Chrome

При попытке открытия официального сайта Сбербанка — sberbank.ru — пользователи почти всех наиболее популярных браузеров сталкиваются с сообщением о том, что «Подключение не защищено». Далее следует пояснение: «Злоумышленники могут пытаться похитить ваши данные». Конкретно это сообщение отображается в браузере Google Chrome:

Иногда появляется предупреждение «Подключение прервано. Попробуйте обновить страницу сейчас или позже»

Как оказалось, руководство Сбербанка решило отказаться от использования иностранных TLS-сертификатов, отвечающих за создание защищенного сеанса связи. В связи с этим Chrome (как и некоторые другие браузеры) не может определить, является ли сайт sberbank.ru безопасным для пользователя. Это происходит потому, что информация о сайте Сбербанка была удалена из базы данных тех компаний, которые выдают упомянутые цифровые TLS-сертификаты. Если точнее — TLS-сертификаты этими компаниями были просто отозваны, чтобы создать дополнительные трудности для Сбербанка. Основная причина — санкции в отношении РФ.

Мы выяснили, почему не открывается сайт Сбербанка в Хроме. Теперь рассмотрим возможные решения данной проблемы. Если не считать игнорирование от Chrome сообщения о незащищенном соединении (можно кликнуть по кнопке «Дополнительные», затем — по ссылке «Перейти на сайтsberbank.ru (небезопасно)»), возможных решений здесь всего два — использование браузера Tesla Browser (простой способ) или ручная установка российских TLS-сертификатов на компьютер (сложный способ).

Вход на сайт Сбербанка через Tesla Browser

Это самый простой вариант для открытия сайта Сбербанка. Дело в том, что Tesla Browser поддерживает российские сертификаты безопасности — они встроены в браузер. Что нужно пользователю:

1. Скачать Tesla Browser и установить его на компьютер.
2. Войти на сайт Сбербанка и пользоваться им как и раньше.

Tesla Browser создан на основе того же движка (Chromium), что и Google Chrome. Это говорит о том, что пользователь не заметит особой разницы при переходе с Хрома на Теслу. Также отметим, что все расширения, которые работают в Google Chrome, будут работать и в Tesla Browser.

Установка российских сертификатов в Google Chrome

Данный способ предполагает ручной импорт в Google Chrome (как и в любой другой браузер) TLS-сертификатов, выпущенных российским НУЦ (Национальным Удостоверяющим Центром). Нужно предупредить, что разработчики Google Chrome и/или операционной системы Windows могут в любой момент запретить импорт российских сертификатов в свой браузер/систему и прекратить поддержку уже импортированных.

Для импорта TLS-сертификатов в Google Chrome нужно проделать следующее:

• Открываем сайт Госуслуг, точнее эту страницу.
• Прокручиваем страницу вниз и раскрываем блок «Сертификаты для Windows»:

• Далее скачиваем корневой сертификат, кликнув по соответствующей кнопке:

• Открываем на компьютере папку, куда был сохранен сертификат (по умолчанию он сохраняется в папку «Загрузки»), и кликаем по нему два раза мышкой (файл носит название «russian_trusted_root_ca.cer»):

• На экране появится окно с предупреждением от системы безопасности Windows — нажимаем в нем кнопку «Открыть»:

• В еще одном новом окне нажимаем кнопку «Установить сертификат…»:

• Отобразится окно «Мастер импорта сертификатов». Выбираем в блоке «Расположение хранилища» вариант «Текущий пользователь» (можно и «Локальный компьютер», тогда сертификат будет установлен для всех пользователей данного компьютера), затем нажимаем кнопку «Далее»:

• В следующем окне «Хранилище сертификатов» выбираем «Поместить все сертификаты в следующее хранилище», после чего нажимаем кнопку «Обзор». Последнее действие приведет к открытию маленького окошка, в котором нужно будет выбрать вариант «Доверенные корневые центры сертификации» и затем нажать кнопку «ОК».

• Теперь в предыдущем окне в блоке «Хранилище сертификатов» отобразится надпись «Доверенные корневые центры сертификации». Нажимаем в нем кнопку «Далее»:

• Далее нажимаем кнопку «Готово» (если на экране отобразится еще одно окно с предупреждением — нажимаем в нем кнопку «Да»):

• Готово. Импорт успешно выполнен.

Теперь сайт Сбербанка должен будет открываться не только в Google Chrome, но и в любых других браузерах.

И напоследок. Не будет лишним проверить, действительно ли между браузером Google Chrome и сайтом Сбербанка установлено защищенное соединение, для чего был использован только что установленный российский сертификат. Для этого:

• Нажимаем на кнопку с изображением замка перед адресной строкой. В выпадающем меню должен присутствовать пункт «Безопасное подключение», что означает наличие безопасного соединения между браузером и сайтом Сбербанка. Кликаем по этому пункту:

• В следующем меню должен присутствовать пункт «Действительный сертификат». Это означает, что срок службы установленного сертификата еще не истек. Кликаем по этому пункту:

• На экране отобразится окно «Инструмент просмотра сертификатов», в котором будет приведена вся информация об установленном сертификате: кому выдан, кем выдан, срок действия и т.д.

На этом и завершим.