Установка сертификатов Минцифры в рабочий профиль на примере Pixel 9 с Android 16 и выше1
В связи с массовым отзывом сертификатов у российских компаний, в частности у банков, пользователи столкнулись с проблемами доступа к государственным и банковским сервисам.
Для продолжения работы многие организации начали использовать сертификаты Национального удостоверяющего центра Минцифры России. Однако по умолчанию эти сертификаты отсутствуют в хранилищах доверенных сертификатов большинства зарубежных браузеров и операционных систем. Поэтому пользователям приходится устанавливать их вручную либо использовать браузеры со встроенной поддержкой российских корневых сертификатов.
Установка корневого сертификата в основное хранилище доверенных сертификатов устройства может повлечь определённые риски. Подробнее об этом уже рассказывалось в следующих материалах:
Первая часть: https://habr.com/ru/articles/966896/
Вторая часть: https://habr.com/ru/articles/968218/
Для пользователей Android существует альтернативное решение: создать отдельный рабочий профиль, установить сертификаты Минцифры только в него и разграничить приложения, которым разрешено использовать эти сертификаты.
Создание рабочего профиля
Скачиваем и устанавливаем приложение Shelter.
Возможности Shelter и процесс создания рабочего профиля подробно описаны в этом материале:
После создания рабочего профиля наша задача — установить корневой сертификат Минцифры именно в его хранилище, не затрагивая личный профиль устройства.
Стандартными средствами сделать это не так просто. Первоначально я предполагал, что достаточно запустить приложение «Настройки» из рабочего профиля, однако Shelter не позволяет обычным способом клонировать или запустить системные настройки внутри рабочего профиля.
Установка Activity Launcher
Решение заключается в использовании приложения Activity Launcher fork:
Его необходимо установить именно в рабочий профиль.
Я предварительно установил в рабочий профиль приложение RuStore. Если RuStore находится внутри рабочего профиля, то все приложения, устанавливаемые через него, также автоматически попадают в этот профиль. Через RuStore я установил Activity Launcher fork. Но можно ставить из Google Play https://play.google.com/store/apps/details?id=de.szalkowski.activitylauncher&pli=1
Также можно использовать другой доступный способ установки APK непосредственно в рабочий профиль.
Установка сертификата Минцифры
Перед установкой сертификата откройте браузер именно из рабочего профиля и скачайте сертификаты с официальной страницы:
После этого выполните следующие действия:
Запустите Activity Launcher fork из рабочего профиля.
Найдите системную активность «Дополнительные настройки».
3. Запустите найденную активность.
4. Откройте раздел «Шифрование и учётные данные».
5. Выберите «Установка сертификатов».
6. Нажмите «Сертификат центра сертификации».
7. Выберите файл сертификата, ранее скачанный через браузер рабочего профиля.
8. Подтвердите установку.
Android может показать предупреждение о том, что установка сертификата центра сертификации позволяет владельцу сертификата проверять защищённый сетевой трафик. Перед подтверждением убедитесь, что сертификат скачан с официального сайта и его источник не вызывает сомнений.
После завершения процедуры сертификат будет установлен только в рабочий профиль.
Ваш в пункт в Настройках может отличаться. Можно посмотреть в настройках поиском
И искать такую же активность в Activity Launcher, но это не точно)
Результат
Теперь приложения из личного профиля продолжают работать без установленного сертификата Минцифры, а приложения в рабочем профиле могут использовать отдельное хранилище доверенных сертификатов.
Таким образом можно разделить:
личные приложения, переписку и повседневные сервисы;
банковские, государственные и другие приложения, которым необходимы сертификаты Минцифры.
Это не устраняет все возможные риски, связанные с установкой дополнительного корневого центра сертификации, но позволяет существенно ограничить область его действия, изолировав сертификат и использующие его приложения внутри рабочего профиля.