Live and recent posts from across the Fediverse tagged #сертификаты, aggregated by home.social.
Я сдал HTB CJCA. Все, что я хотел бы знать до экзамена
Я не так давно начал менять профессию и уходить в информационную безопасность. CJCA я выбрал как первую сертификацию начального уровня. Меня подкупили две вещи. Она полностью построена на практике, в отличие, например, от Security+, и на текущий момент ее можно сдать из России. Когда я впервые открыл задание, я был уверен, что не сдам. Эта статья то, что я хотел бы прочитать до того момента.
Что на самом деле сломалось в Windows 10 за год без поддержки
Четырнадцатого октября прошлого года Windows 10 вышла из поддержки и перестала получать бесплатные обновления безопасности. К этому дню в сети скопилось столько прогнозов, что из них можно было собрать небольшой сборник апокалиптической прозы с шифровальщиками к Рождеству, отвалившимися браузерами к весне и массовым исходом игроков на одиннадцатую версию к лету. Прошел почти ровно год, а десятка по-прежнему стоит на заметной части машин: по данным Lansweeper она работает на 16.9% Windows-устройств, которые компания отслеживает, а в июньском опросе Steam ее доля среди игроков составила 23.56%, при том что Windows 11 впервые перевалила за семьдесят процентов. Человек, который включает такой компьютер утром, никакой катастрофы вокруг себя не замечает, потому что рабочий стол грузится, почта приходит, браузер исправно обновляется и игры из библиотеки запускаются, так что складывается ощущение, будто весь шум про конец поддержки был очередной страшилкой для продажи новых ноутбуков. Ощущение понятное, только поломки за этот год все-таки случились, и разложены они по тем слоям системы, куда обычный пользователь заглядывает примерно никогда: прошивка, цепочка доверия при загрузке, каналы обновления офиса, ветки видеодрайверов. Путаницы добавляет то, что у каждого вендора свой календарь, и Microsoft, Google, Mozilla и NVIDIA за год успели назначить одной и той же системе четыре разных даты конца света с разбросом в несколько лет. Ниже собрано то, что за двенадцать месяцев действительно перестало работать или стало работать хуже, с датами, номерами версий и указанием, кто именно закрыл дверь.
https://habr.com/ru/articles/1093556/
#nvidia #сертификаты #esu #secure_boot #cve #onedrive #windows_10 #microsoft_365 #lansweeper
PKI-шторм: что делать, если Kubernetes одновременно запрашивает 100 тысяч сертификатов
Что произойдёт с PKI, если после аварии одновременно запустятся десятки тысяч pod’ов Kubernetes и каждому понадобится свой TLS-сертификат? В нашем случае в центр сертификации почти одновременно прилетело около 100 тысяч запросов. При штатной нагрузке в 10–11 RPS запас производительности казался более чем достаточным , но во время массового восстановления инфраструктуры ЦС быстро превратился в узкое место: запросы начали ждать, уходить в таймауты и повторяться. В статье разбираем, почему многократного запаса производительности оказалось недостаточно, почему простое масштабирование ЦС не всегда имеет смысл и что изменилось, когда мы разделили выпуск и потребление сертификатов. А заодно — как проблема производительности привела нас к новой задаче: безопасному хранению сотен тысяч сертификатов и соответствующих закрытых ключей.
https://habr.com/ru/articles/1091012/
#kubernetes #pki #tls #mtls #devops #информационная_безопасность #центры_сертификации #сертификаты #управление_секретами #отказоустойчивость
Ваш ssl_stapling больше ничего не делает
TLS‑конфиг легко годами не трогать, пока сертификат валиден, браузеры не ругаются, а SSL Labs показывает высокий рейтинг. За это время часть привычных настроек успевает устареть, перестать работать или изменить смысл. В статье разбираем, что произошло с OCSP stapling, возобновлением TLS‑сессий, тикетами и 0-RTT и как сегодня выглядит актуальная конфигурация nginx. Проверить конфиг
https://habr.com/ru/companies/otus/articles/1083626/
#nginx #TLS #SSL #сертификаты #OCSP_stapling #TLS_13 #возобновление_сессии #SSLконфигурация #вебсервер
SSL certificate hell: как автоматизировать управление жизненным циклом цифровых сертификатов
Три часа ночи, воскресенье. «Пачка» уведомлений от системы мониторинга в почте и Telegram. Mission-critical система «лежит», потому что истёк TLS-сертификат, который упустили из вида и не включили в «эксельный» реестр. Ситуация знакома? Тогда эта статья для вас. Разберём, почему вопросы управления цифровыми сертификатами резко обострились, какие классы решений есть на рынке, и почему «просто поставить cert-manager» - это не всегда финал истории.
https://habr.com/ru/companies/clearway/articles/1079786/
#PKI #сертификаты #certmanager #Zero_Trust #mTLS #Kubernetes #Istio #автоматизация #информационная_безопасность
Как получить OV-сертификат Минцифры для HTTPS в 2026 году
Как получить бесплатный HTTPS сертификат от Минцифры для своего сайта на 365 дней. Смотрим, с какими сложностями предстоит столкнуться.
https://habr.com/ru/articles/1078966/
#https #ssl #tls #сертификаты #минцифры #госуслуги #руководство
«CT-log» — это самый частый сценарий, почему имя остается в открытом доступе, даже если его нет в DNS
Проверял, что видно про домен заказчика снаружи, и выписал имена из журналов Certificate Transparency. В списке оказались jenkins , gitlab-runner и пара стендов с именами вида test-2 — ни одного из них в публичном DNS не было. Имя знает не только команда. Его знает весь интернет, причём с того момента, как вы выпустили на этот хост TLS-сертификат.
https://habr.com/ru/articles/1075882/
#certificate_transparency #tls #сертификаты #lets_encrypt #мониторинг #фишинг
«Файл подписан, значит безопасный» — цифровая подпись отвечает не на тот вопрос
«Он подписан, издатель известный» — этим аргументом закрывают вопрос про стороннюю программу, которую тянут в сборку или ставят на рабочий компьютер. Возразить с ходу нечем: вкладка «Цифровые подписи» в свойствах файла и правда показывает «Эта цифровая подпись действительна». Случаи, когда вредоносный файл подписан настоящим сертификатом, редки — на них и не рассчитывают. В таких разговорах я обычно зануда. Подпись действительно кое-что подтверждает. Просто не то, что от неё ждут. Она говорит: «этот файл в момент подписи выпустил вот такой издатель, и после подписи содержимое не меняли». Она не говорит: «файл безопасен», «издатель — тот, за кого себя выдаёт прямо сейчас» и «ключ не украли полгода назад».
https://habr.com/ru/articles/1076544/
#authenticode #подпись_кода #сертификаты #timestamp #детектирование
Сертификаты Минцифры — как им не доверять
Ну что же — то, чего все ожидали (не путать с «ждали») случилось. Многие российские сайты и сервисы начали переходить на сертификаты Минцифры — и у пользователей начали ломаться работавшие ранее сервисы, пользователи начали получать сообщения о том, что подлинность ресурса не может быть проверена. Кто‑то просто не смог продлить свой сертификат, у других сертификаты вообще были отозваны — но, в конечном итоге, это приводит к одному и тому же результату — из за проблем с сертификатом сайты некоторых российских компаний перестают открываться через HTTPS (каковой де‑факто уже давно стал стандартом), а получить новые сертификаты становится проблемой. Для того, чтобы обойти это ограничение, многие российские подсанкционные компании начали использовать так называемые сертификаты Минцифры — сертификаты, подписанные российскими удостоверяющими центрами с корневым сертификатом, выпущеным Минцифры. Чем это грозит пользователю?
Путеводитель по сертификациям DFIR-специалиста
Привет, Хабр! Меня зовут Артем Семагин, я ведущий аналитик киберкриминалистики в «Инфосистемы Джет». Пожалуй, один из самых популярных вопросов, который задают начинающие специалисты по цифровой криминалистике (да и не только начинающие), звучит примерно так: Какой сертификат сейчас ценится, что стоит сдавать? Если немного погрузиться в тему, то оказывается, что выбор совсем неочевиден. На рынке есть престижные сертификации (и очень дорогие) GIAC — GCFE, GCFA, а теперь ещё GX-FA и GLIR. Есть давно известный CHFI от EC-Council, множество вендорских сертификатов, таких как EnCE, ACE, MCFE, Belkasoft и от других разработчиков софта. В этой статье я решил сделать субъективный обзор наиболее известных DFIR-сертификаций: рассказать о тех, с которыми сталкивался сам, поделиться личным опытом и мнением коллег, а также обсудить, какие сертификаты стоят потраченных времени и денег, а какие можно спокойно пропустить.
https://habr.com/ru/companies/jetinfosystems/articles/1071190/
#dfir #soc #cybersecurity #информационная_безопасность #иб #сертификация #сертификаты
1️⃣ Переход на национальные сертификаты безопасности (УЦ Минцифры) — что надо знать:
Западные сертификаты в России перестали работать, что стало следствием развития санкций в отношении РФ. Сайты крупнейших банков больше не открываются из известных западных браузеров. А значит будет предложено ставить отечественные сертификаты:
Переход на национальные сертификаты безопасности (УЦ Минцифры) — это вынужденное решение. Из-за санкционных ограничений международные удостоверяющие центры (такие как GlobalSign, DigiCert и др.) перестали выдавать и обновлять TLS/SSL-сертификаты для многих российских ресурсов, а в некоторых случаях начали их отзывать.
В результате зарубежные браузеры блокируют соединение с такими сайтами, считая их незащищёнными.
Главная опасность установки корневого сертификата (Root CA) в операционную систему заключается в делегировании ему абсолютного доверия. Владелец корневого сертификата технически получает возможность подписывать сертификаты для любых ресурсов в сети.
В случае прохождения трафика через подконтрольное оборудование становится возможен незаметный перехват и расшифровка HTTPS-сессий (атака Man-in-the-Middle) без каких-либо предупреждений со стороны системы.
⬇️⬇️⬇️
#сертификаты #санкции #новости #россия #впн
[Перевод] Как выстроить доверенный TLS в Kubernetes без InsecureSkipVerify
Трафик внутри Kubernetes может быть зашифрован и при этом оставаться уязвимым: сервисы принимают самоподписанные сертификаты, а API-сервер не проверяет подлинность kubelet. В этой статье разберём рабочую схему с внутренним CA, cert-manager, trust-manager и контроллером одобрения CSR, которая позволяет убрать небезопасные исключения и выстроить единую цепочку доверия для рабочих нагрузок и управляющей плоскости. Защитить Kubernetes-кластер
https://habr.com/ru/companies/otus/articles/1061964/
#kubernetes #TLS #certmanager #сертификаты #trustmanager #InsecureSkipVerify #центр_сертификации #kubelet #CertificateSigningRequest
Работа с ГОСТ TLS в реальных проектах: костыли, решения и опыт
Привет, Хабр! Меня зовут Максим Теплых, эксперт по тестированию на проникновение в ИТ-компании Innostage. В этой статье я хочу рассмотреть тему, которая с годами становится все более актуальной — тестирование систем, использующих ГОСТ TLS. Кратко расскажу о самой технологии, а также покажу подходы и наработки, которые применяем на практике. Заранее приношу извинения за объемное и несколько затянутое введение. Хотя изложение начинается не с динозавров и не с истории древней Руси, тему все же необходимо раскрыть с некоторой предыстории.
https://habr.com/ru/companies/innostage/articles/1053246/
#гост_tls #openssl #nginx #burpsuite #прокси #http #ssl #сертификаты #curl
Вебинар «mTLS для Java сервисов в Kubernetes»
Приглашаем на
https://habr.com/ru/companies/axiomjdk/articles/1051482/
#java #axiomjdk #криптография #kubernetes #mtls #криптопро #гост #разработка #ключи #сертификаты
GlobalSign отозвал 20 000 сертификатов. Прошёл свои десять сайтов и записал, где будет больно
В российском вебе за неделю сломалось две вещи. 13 июня GlobalSign начал массовый отзыв сертификатов у российских компаний — до 20 000 доменов второго уровня под ударом. Let’s Encrypt 4 июня формализовал санкционные ограничения в новой редакции пользовательского соглашения. Я держу около десятка сайтов, все на Let’s Encrypt; сел и прошёл их по списку — какой issuer у каждого, кому грозит и в каком порядке, какие альтернативы реально работают в 2026 году. Внутри: пайплайн инвентаризации через openssl и crt.sh, конфиг Caddy с двумя issuer-ами в fallback, разбор Google Trust Services, НУЦ Минцифры и тех, кто уже выбыл (Buypass) или присоединился к ограничениям (ZeroSSL).
https://habr.com/ru/articles/1049334/
#TLS #SSL #GlobalSign #сертификаты #санкции #ACME #Caddy #НУЦ #Certificate_Transparency #lets_encrypt
Карты, деньги, облака
Для B2C-сектора возможность принять оплату картой через терминал либо онлайн — уже давно базовый минимум. Поскольку финансовая сфера очень требовательна к безопасности данных, когда-то международная организация, в которую вошли крупнейшие платежные системы (MasterCard, Visa и ряд других), систематизировала все эти требования в виде международного стандарта PCI DSS. Существует расхожее мнение, что бизнесу достаточно делегировать функцию приема платежей подрядчикам: онлайн-кассам, облачному провайдеру и т.д., и это автоматически избавляет от лишней ответственности и снимает все обязанности. Давайте разберемся, всегда ли это так на самом деле, и кто за что отвечает?
https://habr.com/ru/companies/cloud_ru/articles/1048526/
#pci_dss #платежи #платежная_система #сертификаты #облачные_услуги #облачные_сервисы #ответственность
Let's Encrypt больше не вариант? Обзор альтернатив
4 июня 2026 года Let's Encrypt тихо обновил пользовательское соглашение до версии 1.7. Новый пункт обязывает получателя сертификата подтвердить, что он не находится под полными санкциями США. В России это вызвало волну обсуждений — и не без причины. В Беларуси пока тихо. Но тихо — не значит «нас это не касается».
https://habr.com/ru/articles/1046618/
#SSL #HTTPS #сертификаты #ACME #certbot #санкции #ZeroSSL #PKI #Беларусь #letsencrypt
CSR для SSL: разбор частых ошибок в SAN и wildcard
Большинство проблем с SSL-сертификатами возникает не при настройке TLS, а на этапе создания CSR: забытые SAN-домены, неправильные ожидания от wildcard, ручные ошибки в openssl.cnf. Разбираем, почему с сокращением срока действия сертификатов до 47 дней к 2029 году ручной выпуск перестаёт быть жизнеспособным, и какие инструменты приходят ему на замену.
https://habr.com/ru/articles/1043106/
#ssl #sslсертификаты #tls #csr #https #сертификаты #openssl #acme
TLSS или portable pki service в кармане
Сегодня я бы хотел рассказать о небольшом проекте, который тянется немного, немало, около двух лет. Я назвал его TLSS, или TLS Service — карманный pki сервис.
Неизменяемая архитектура. Практическая проверка кодом. Аутентификация
Это часть 2. Первую часть смотреть по ссылке . Данная статья является второй из цикла по описанию особенностей построения приложений с использованием идей, описанных в книге «Искусство неизменяемой архитектуры: теория и практика управления данными в распределенных системах». Описание создаваемого ТЕСТОВОГО / ТРЕНИРОВОЧНОГО приложения и базовые сокращения можно найти в начале первой части . В рамках данной статьи будет описана задача реализации аутентификации внешних клиентов/сервисов с помощью сертификатов и идей «неизменяемой архитектуры». Что такое аутентификация и ее отличие от авторизации можно уточнить по этой ссылке .
https://habr.com/ru/articles/1028300/
#неизменяемая_архиектура #сертификаты #сертификаты_x509 #kotlin #python #rest
GreatEasyCert или как реализовать контейнер ключа по ГОСТу
Привет, Хабр! Меня зовут Гоша, я старший инженер-программист в Контуре. Практически любой сценарий ЭДО связан с использованием криптографии, будь то ЭДО с государством или контрагентами: где-то нужно подписать документы, где-то зашифровать архив с отчетом, где-то проверить подпись документа от контрагента. Каждый из таких сценариев хочется тестировать не на реальных данных, но на наиболее похожих в реальности. Помимо самих данных нам нужны сертификаты, имитирующие сертификаты участников ЭДО: организаций, физлиц, государственных органов. Ранее для генерации тестовых сертификатов мы использовали сервис на базе ПАК УЦ , проприетарной штуки, выпускающей сертификаты по определённым правилам, не позволяя издеваться над сроками действия серта как хочется. Отсюда появилась идея в качестве эксперимента написать небольшой сервис, который мог бы генерировать какие угодно сертификаты с ГОСТ-алгоритмами, но при этом успешно работающие с КриптоПро. В этой статье хочу поделиться, какая техника скрывается под капотом такой функциональности.
https://habr.com/ru/companies/skbkontur/articles/989090/
#net #криптография #криптопро #сертификаты #pki #гост_34 #pfx #pbkdf2 #pbes2 #криптопровайдер
Собственный центр сертификации под Linux
Для тестирования, разработки и внутреннего использования часто используются самозаверенные (самоподписанные) сертификаты . Технически такой сертификат ничем не отличается от публичного, только вместо передачи на подпись в удостоверяющий центр (УЦ) пользователь создаёт свою собственную подпись. Под Linux мы можем сгенерировать сертификат командой mkcert или OpenSSL. Единственная проблема в том, что браузер не доверяет такому сертификату, поскольку он не подписан доверенным УЦ. Поэтому нужно ещё запустить и настроить собственный УЦ, который подписывает наши сертификаты — и добавить этот УЦ в список доверенных центров сертификации УЦ (или браузера).
https://habr.com/ru/companies/globalsign/articles/986352/
#TLS #сертификаты #УЦ #удостоверяющий_центр #Smallstep #XCA #самозаверенный_сертификат #самоподписанный_сертфикат #localhost #mkcert
Аутентификация клиентов в Angie с помощью TLS-сертификатов
Сегодня TLS используется повсеместно для безопасной передачи данных, и практически любой веб‑сайт работает по протоколу HTTPS. Но, кроме шифрования трафика, TLS позволяет реализовать аутентификацию клиентов по сертификату (mTLS). В этой статье мы настроим этот механизм на примере веб‑сервера Angie.
https://habr.com/ru/articles/981694/
#angie #mtls #ssl #tls #сертификаты #клиенсткие_сертификаты #взаимный_TLS
Пошаговый гайд по развертыванию «Континент 4»
В IT ANGEL мы регулярно настраиваем инфраструктуру на базе «Континент. Версия 4» и часто сталкиваемся с типовыми шагами, которые важно выполнять в правильном порядке. В этом материале мы разбираем простой и понятный пример развертывания, основанный на наших рабочих проектах, который помогает быстро поднять защищенную сеть без лишних ошибок и задержек.
https://habr.com/ru/articles/966314/
#Континент_4 #Узел_безопасности #ЦУС #VPN #Межсетевой_экран #Сертификаты #Инициализация #Криптографическая_защита #IT_ANGEL #Защищенная_сеть
Самый скучный на свете взлом подарочных сертификатов
Привет, Хабр! Я, как, надеюсь, и вы тоже, очень люблю читать про всякие уязвимости. Это похоже на чтение детективов, где разными окольными путями, используя какое-нибудь нелепое стечение обстоятельств и тупые стандарты, навроде исполнения кода при десериализации или внешних запросов при открытии xml, атакующий приходит к цели и уничтожает весь мир. Ну что-то такое. Я и сам писал пару статей такого рода и, честно говоря, очень ими горжусь, потому что уязвимости там действительно прикольные, и для их нахождения мне пришлось сильно пошевелить мозгами. Но сегодня статья будет супер банальная, кому-то может быть даже покажется скучной. Никакого хитрого сюжета, абсолютно банальнейшая уязвимость в наиболее обыденной ситуации. Но мне кажется, что кто-нибудь может найти мой ход мысли полезным, может быть даже чему-то научиться - ведь я решил расписать всё максимально подробно. Поэтому вот вам статья про самую скучную уязвимость на свете, а вы напишите, что об этом думаете.
Облачные сервисы на Tcl/Tk
С момента написания на tcl/tk удостоверяющего центра CAFL63 и утилиты cryptoarmpkcs для работы с электронной подписью меня не покидала мысль, что неплохо бы оформить их как облачные сервисы. Я постоянно смотрел в сторону проекта CloudTk .
https://habr.com/ru/articles/950592/
#cloud #облака #tcl #tk #cloudtk #электронная_подпись #сертификаты #sslсертификаты #tclhttpd #linux
Автоматическая выдача сертификатов пользователям через GPO
В корпоративной среде часто возникает задача раздать сертификаты ЭЦП всем сотрудникам. Стандартные методы certutil и Import-PfxCertificate не всегда работают: приложения вроде СБИС не видят такие сертификаты. В статье рассказываю, как автоматизировать распространение с помощью PowerShell и GPO — с заменой SID, импортом в реестр и копированием файлов.
Интеграция .NET-приложения с внешним API по ГОСТ TLS через CryptoPro
Всем привет. Представлюсь - меня зовут Евгений Думчев и я Team Lead .NET разработки в DDPlanet. В какой-то момент в моей практике появилась задача по интеграции с внешним API. Для взаимодействия требовалось применять предоставленный публичный доверенный сертификат сервера .cer и клиентский .pfx сертификат. Особенность в том, что .pfx сертификат был выпущен через CryptoPro CSP - а это вносит свои тонкости в процесс интеграции…
https://habr.com/ru/articles/938244/
#cryptopro #tls #pfx #сертификаты #net #nginx #безопасность_вебприложений #api #интеграция #dockerfile
[Перевод] Собираем собственный сервис-меш
В этой статье автор рассказывает о том, как самостоятельно построить сервис-меш с помощью современных инструментов и Open Source-решений. Материал будет полезен разработчикам и инженерам, интересующимся внутренним устройством сервис-мешей, их преимуществами, а также возможностями настройки и кастомизации под собственные нужды.
https://habr.com/ru/companies/flant/articles/923410/
#сервисмеш #service_mesh #proxy #sidecarконтейнеры #ebpf #сертификаты #сайдкаринжектор #tls #информеры #kubernetes
Берём анализы на болезни TLS у Гемотеста
17 июля я сдал анализы крови в компании Гемотест. Спустя полтора дня мне пришёл email с результатами на адрес, который я указал перед сдачей. К счастью, с анализами было всё хорошо: у меня нет ВИЧ, гепатита B, гепатита C, сифилиса, ура! PDF с анализами было заверено приложенной электронной подписью с инструкцией по проверке. Было внутри даже такое: УВЕДОМЛЕНИЕ О КОНФИДЕНЦИАЛЬНОСТИ: Это электронное сообщение и любые документы, приложенные к нему, содержат конфиденциальную информацию. Настоящим уведомляем Вас о том, что если это сообщение не предназначено Вам, использование, копирование, распространение информации, содержащейся в настоящем сообщении, а также осуществление любых действий на основе этой информации, строго запрещено. Если Вы получили это сообщение по ошибке, пожалуйста, сообщите об этом отправителю по электронной почте и удалите это сообщение. А потом ещё и то же самое на английском. Ну кайф. Вроде всё хорошо, можно не волноваться. Но одна вещь всё-таки лишила меня покоя. Замочек. Красный. Перечёркнутый.
https://habr.com/ru/articles/931246/
#tls #гемотест #шифрование #smtp #персональные_данные #медицина #сертификаты #ssl #почтовый_сервер #email
Как устроены цифровые сертификаты
Цифровой сертификат является неотъемлемой частью систем информационной безопасности, при этом зачастую вскользь упоминаясь как сопутствующий элемент более крупных технологий и протоколов. Рассмотрим сертификаты как независимые единицы: их структуру, области применения и жизненный цикл.
https://habr.com/ru/articles/930972/
#сертификаты #электронные_сертификаты #сертификация #сертификаты_x509 #sslсертификаты #tls #подпись_кода #безопасность_вебприложений #информационная_безопасность
