Сертификаты

Часть сайтов выдана удостоверяющим центром, о котором macOS никогда не слышала, и для браузера такой сайт неотличим от атаки. Самый частый случай русский: с 2022 года западные центры не выдают сертификаты доброй половине этого интернета — банкам в первую очередь, — и такие сайты работают под сертификатом Минцифры. Ни на одной машине Apple его нет, и alfabank.ru просто не открывается.

Официальный способ это починить — поставить сертификат в связку ключей и вручную отметить «Всегда доверять». Он работает и меняет то, чему доверяет каждое приложение на машине, навсегда, и посмотреть на это потом негде.

Savoia держит то же решение внутри себя: Конфигурация ▸ Приватность ▸ Сертификаты — список, который можно прочитать, выключатель, который можно вернуть, и сертификат, который перестаёт что-либо значить в ту секунду, когда его выключили.

Всё в списке выключено, пока вы не включите.

Что делает выключатель

Меньше, чем связка ключей, и в этом всё дело.

Цепочку сайта сначала судит система, своими центрами и без каких-либо добавок. Если она сходится, Savoia отходит в сторону, и дальше WebKit делает всё, что делал бы всегда. Обычного веба это не касается вообще.

Второй раз читается только та цепочка, которой система уже отказала — и тогда включённые сертификаты добавляются к системным, а не заменяют их. Имя хоста проверяется и во втором чтении: центр остаётся центром, а не разрешением принять сертификат, выписанный кому-то другому.

Отсюда обещание, и оно меньше, чем «доверять»:

включить центр не может заставить обычный сайт проверяться иначе. Он может только дать второе чтение той цепочке, которая уже не прошла.

Доверие остаётся внутри Savoia. Ничто другое на машине его не получает, а выключатель забирает обратно.

Когда сайт не открылся

Раньше окно в этом случае просто оставалось белым: у веб-представления нет своей страницы ошибки — та, что вы помните по Safari, принадлежит Safari, — и браузер молчал даже тогда, когда ответ у него был. Минцифры лежали внутри, выключенные, и сказать об этом было негде.

Теперь окно показывает страницу: какой это был адрес, что сказала система, и — если сертификат сайта выписан центром, который Savoia везёт с собой и не включил, — кто это, и кнопку «Доверять „Минцифры России (Russian Trusted CA)“» рядом с «Повторить».

Кнопка — тот же самый выключатель, что в Конфигурация ▸ Приватность ▸ Сертификаты, и записывается он туда же. Согласиться здесь — не значит согласиться где-то в стороне: список остаётся тем же списком, и выключить можно там же.

Если центр незнакомый и Savoia его не везёт, страница говорит только то, что честно знает: цепочку свести не удалось, а свой сертификат можно добавить в настройках.

Что уже лежит в списке

Три сертификата Минцифры: корневой и два промежуточных (2022 и 2024) — какой из них нужен сайту, зависит от того, когда ему выписали сертификат, а сервер, который свой промежуточный не присылает, требует, чтобы он уже был у нас.

У каждой строки — кто это, до какого числа действителен и, по требованию, отпечаток, который можно сверить с опубликованным. Истёкший так и подписан: «Истёк — больше не действует».

Строка «Использован для …» говорит, работает ли включённое вообще. Это подсказка на время сеанса, а не вторая история: при выходе она забывается.

Свой сертификат

Добавить сертификат… принимает .pem, .crt, .cer или .der — один сертификат или целую цепочку в одном файле — копирует его к себе и включает. Копия важна: файл мог лежать на съёмном диске, а решение о доверии, перестающее работать после отключения флешки, — это загадка, а не настройка.

Удалить удаляет копию; встроенный удалить нельзя, его можно только выключить. Тот же сертификат второй раз не добавится — он узнаётся по отпечатку.

Чего это не покрывает

• Клиентские сертификаты — когда сайт просит браузер предъявить свой. Часть российских госсайтов этого хочет; пока не сделано.
• Шифронаборы ГОСТ — в отличие от сертификата, подписанного по ГОСТ. Их не умеет ни одна платформа Apple, и никакой список центров этого не меняет. По той же причине ГОСТовая пара сертификатов Минцифры сюда намеренно не входит: проверить её на этой платформе нечем.