CAnttRUst geliştiren: ISAIandCO

CAnttRUst — расширение для Firefox, которое ограничивает область применения Russian Trusted Root CA и дополнительно проверяет Certificate Transparency для сайтов, использующих этот центр сертификации.

Расширение не добавляет и не удаляет сертификаты из системного хранилища и не заменяет встроенную проверку TLS в Firefox.


При открытии HTTPS-страницы верхнего уровня расширение локально проверяет цепочку сертификатов, предоставленную Firefox.

Если в цепочке найден Russian Trusted Root CA:

• за пределами доменных зон .ru, .su и .рф переход блокируется страницей предупреждения;
• внутри разрешённых зон проверяется встроенная SCT-подпись;
• SCT должна быть криптографически корректной и принадлежать одному из зафиксированных российских CT-логов;
• при отрицательном или неопределённом результате показывается предупреждение.

Совпадение удостоверяющего центра определяется по SHA-256 отпечатку DER-сертификата, а не по отображаемому имени издателя.

• локальная проверка цепочки TLS-сертификатов;
• проверка встроенных SCT российских CT-логов;
• отдельная страница предупреждения;
• точечные исключения для конкретных DNS-имён;
• одноразовый обход предупреждения;
• экспорт и импорт настроек;
• работа без аналитики, рекламы и удалённого кода.

CAnttRUst не собирает и не передаёт разработчику историю посещений, адреса страниц, сертификаты или другие пользовательские данные.

Локально сохраняются только:

• состояние расширения;
• выбранный режим CT-проверки;
• созданные пользователем исключения для точных DNS-имён.

URL заблокированных страниц и сведения о сертификатах на диск не записываются. Одноразовые обходы хранятся только в памяти расширения и автоматически истекают.

Во время обычной работы расширение не отправляет запросы на серверы разработчика.


Разрешение необходимо, чтобы расширение могло проверять HTTPS-переходы верхнего уровня и получать от Firefox сведения о TLS-соединении.

Расширение не читает содержимое страниц и не внедряет в них скрипты.

• Проверяется только Russian Trusted Root CA, указанный во встроенной политике.
• Проверяются только SCT, встроенные в конечный сертификат.
• SCT, переданные через TLS или OCSP, текущей версией не проверяются.
• Возможность проверки зависит от того, предоставляет ли Firefox полную цепочку и DER-сертификаты.
• Расширение не отменяет стандартные ошибки сертификатов Firefox и не делает недоверенный сертификат доверенным.

Проект имеет открытый исходный код и распространяется по лицензии GPL-3.0-only.

Исходный код:
https://github.com/ISAIandCO/CAnttRUst

Политика приватности:
https://github.com/ISAIandCO/CAnttRUst/blob/main/PRIVACY.md