Bug 60190

Summary:	Не работает защищенный режим Яндекс браузера при наличии sub сертификатов в anchors
Product:	Branch p11	Reporter:	Илья Н. <cyber_dok>
Component:	ca-certificates-digital.gov.ru	Assignee:	Andrey Cherepanov <cas>
Status:	NEW ---	QA Contact:	qa-p11 <qa-p11>
Severity:	normal
Priority:	P5	CC:	amakeenk
Version:	unspecified
Hardware:	x86_64
OS:	Linux

Description

Илья Н. 2026-08-18 14:51:25 MSK

В один прекрасный день просто появилось предупреждение  о подозрительном сертификате на сайте банка, и пришлось заняться исследованием. Вопрос о корректности нахождения sub сертификатов в pki anchors, либо это особенности работы Яндекс браузера?

Шаги по воспроизведению:
1. Установлен пакет ca-certificates-digital.gov.ru Версия: 1.3-alt1, в каталоге /usr/share/pki/ca-trust-source/anchors находятся root и sub сертификаты
2. В Яндекс браузере (p11 и новее, Yandex 26.6.1.1083 stable): настройки - безопасность - защита от угроз - открывать страницы онлайн-банков и платежных систем в защищенном режиме.

При входе на https://online.sberbank.ru/ в защищенном режиме:
Ожидается: страница открывается нормально, сертификат действителен
Реальность: Соединение может быть небезопасным. При попытке перейти на online.sberbank.ru браузер получил подозрительный сертификат, который выдан неизвестным Яндексу центром сертификации Russian Trusted Sub CA

Ответ из поддержки Яндекс:
Уберите, пожалуйста, из якорей (anchor) промежуточные сертификаты Russian Trusted Sub CA и Минцифры России НУЦ подчиненный (в том числе и их дубли). Эти же сертификаты в корневых можно оставить.
Найти сертификаты можно в /etc/pki/ca-trust/source/anchors/ (и соседних anchors). Удалить нужно только подчинённые сертификаты. После выполните команду в терминале update-ca-trust.