Отзыв сертификатов GlobalSign во всей красе
Как широко известно в узких кругах, удостоверяющий центр GlobalSign в поддержку санкций начал отзывать сертификаты TLS (SSL) у подсанкционных российских компаний.
Ближайшей альтернативой мог бы являться некоммерческий удостоверяющий центр Let's Encrypt, но там буквально синхронно принято похожее решение: без отзыва действующих сертификатов, но уже с запретом выпуска новых сертификатов для российских учреждений.
И вот печальный итог. Вчера посреди просмотра VK Video на ТВ выдается уведомление о том, что пропало соединение с интернетом. Я проверяю — соединение с интернетом есть, перезапускаю приложение и ТВ, и вижу такое.
Не удалось подтвердить именно отзыв сертификата, но признаки следующие. Дамп обмена TLS показывает SNI=vk.ru, и после сообщения Server Hello сервер же отправляет еще одно нераспознанное сообщение (ignored unknown record). На вид оно не зашифровано, возможно, повреждено, например, воздействием ТСПУ, но больше похоже, что в системе ТВ просто отсутствует необходимый сертификат корневого удостоверяющего центра (root CA), служащий основой построения цепочки доверия в инфраструктуре публичных ключей.
Дело в том, что на ПК все сайты VK открываются штатно, и заверены они сертификатом HARICA (Hellenic Academic and Research Institutions CA), действительным с 16 июня 2026 года. С высокой вероятностью сертификат был выпущен именно в связи с санкционными ограничениями, о которых стало известно 13 июня, а заменили сертификат именно 18 июня.
Далее о ТВ: это LG 2019 года, webOS 5.5.0 (05.50.00, она еще раз в несколько месяцев обновляется), приложение VK Video тоже актуальной версии 2.4.26 (23.12.2025 — давно не обновлялось, но они в основном обновляют его содержимое внутри архитектуры SPA). Учитывая, что сертификат корневого удостоверяющего центра HARICA выпущен в марте 2021 года, есть вероятность, что он мог быть обновлен в системе webOS, но, вероятно, этого не было сделано. Попросту это не самый распространенный центр сертификации, я сталкиваюсь с ним впервые.
Согласно ранее происходившим похожим случаям, у меня есть некий шанс добавить нужный сертификат самостоятельно, по крайней мере квалификации позволяет:
https://webos-forums.ru/topic7006.html
Однако, сперва все же нужно написать в VK: are you ahueli tam? Ну и погуглить, конечно, что отсылает меня сюда без особой надежды:
https://otvet.mail.ru/question/232947352
Самое же забавное, что otvet.mail.ru принадлежит тоже VK, и там-то они действительно отозванный сертификат еще не заменили. Если точнее, там почти наверняка отдельный сертификат, так как новый сертификат HARICA — DV на *.vk.com, а отозванный сертификат GlobalSign — OV на *.otvet.mail.ru, но сути это не меняет: GlobalSign отзывает сертификаты у VK, и их чем-то нужно заменять. Заменять адекватно, что явно уже не получилось без потерь.
То есть круг замкнулся. В попытке хоть что-то выяснить относительно ситуации с отозванным сертификатом попадаем на другой отозванный сертификат.
А так-то санкции нам на пользу!
Лига Сисадминов
2.7K постов19.2K подписчик
Правила сообщества
Мы здесь рады любым постам связанным с рабочими буднями специалистов нашей сферы деятельности.