ХабрПостыНовостиМегапосты?

Запущен сервис поиска по российским СT-логам crtlogs.ru

https://crtlogs.ru/

Интерфейс и апи максимально похожи на crt.sh. Код полностью другой, про качество работы crt.sh можно уже легенды слагать.

Открою исходники и напишу статью через несколько дней. Пока там есть места за которые стыдновато.

@BugM
30.08.2026 13:49 UTC
Первоисточник

Комментарии

@pae174
30.08.2026 14:34 UTC
+1

Для кириллицы в доменных именах фигня какая-то происходит:

https://crtlogs.ru/?q=%25.рф

30.08.2026 14:45 UTC
+2

Спасибо, починю.

31.08.2026 15:01 UTC
+1

Починил

01.09.2026 05:40 UTC
+1

Не похоже. Например, по той же ссылке https://crtlogs.ru/?q=%25.рф находит три совершенно не подходящих под шаблон сертификата.

01.09.2026 07:26 UTC
0

Разобрался. Это единственные три сертификата с CN %.рф У остальных оно там пунникодом записано. Прямо в CN он лежит. Вот они https://crtlogs.ru/?q=%25.xn--p1ai

Поправлю. Браузер пунникод уже не показывает, значит и мне не надо. До этого битые символы на выводе правил.

01.09.2026 09:14 UTC
+1

Было бы просто супер, если бы было можно вводить поисковый запрос по русски и находить в полях, записанных пунникодом.

01.09.2026 22:27 UTC
+1

Да, именно так и сделал. Выглядит удобнее всего. Заодно и в результатах поиска сделал вывод на русском. Пунникод остался только в деталях сертификатов и самом сертификате, где ему и место.

Заодно сделал красивые урлы, там где это возможно.

https://crtlogs.ru/?q=%рф

https://crtlogs.ru/?q=%com

PS: Опенсорс немного откладывается, починка багов оказалась сложнее чем казалось и сожрала прилично времени. Это просто из-за недостатка времени.

02.09.2026 03:54 UTC
0

Спасибо Вам за труд.

Я сейчас занимаюсь примерно тем же. Сделал набор скриптов на питоне для работы с Российскими CT-логами.

Выгрузка полная и частичная; раскодировка пунникода; поиск по CN и SAN в дампе; проверка соответствия подписи штампов времени; проверка включения сертификата по хэшу дерева Меркла и т. д.

Если этот код поможет Вам в работе, могу выложить его в опенсорс на Гитхаб.

02.09.2026 09:23 UTC
0

Если за код не стыдно и хочется выложить, ко конечно надо выкладывать. Не важно надо оно кому-то или нет. Пусть в поиске ищется хотя бы.

02.09.2026 11:54 UTC
0

Надеюсь, пригодится.

https://github.com/Mammoth70/ctlogs

@MRD000
31.08.2026 08:01 UTC
+1

Кто-то уже сделал похожий сервис, но с закрытым кодом: https://ct.tlscc.ru/

31.08.2026 13:53 UTC
0

Кстати, не кто-то, а ТЦИ:

ТЦИ является техническим оператором национальных доменных зон верхнего уровня ‑.ru,.рф,.su, поддерживает DNS‑инфраструктуру этих зон, а также взаимодействует и обслуживает запросы доменных регистраторов в этих зонах

Их теперь Яндекс считает доверенным УЦ.

Правда, сервис по ссылке кривой - там нет новых сертификатов - возможно, решили забросить.

@mihmig
31.08.2026 08:12 UTC
0

Есть тут разработчики расширений для браузеров?

Можно ли получить цепочку сертификатов открываемого сайта?

И, если не-ru домен подписан сертификатом минцифры - бить тревогу?

31.08.2026 08:13 UTC
0

Их уже есть некоторое количество. Нет смысла. Люди привыкают к ложным тревогам.

https://crtlogs.ru/?q=%25.com

31.08.2026 13:55 UTC
0

Ее любой браузер и так получает (без корневого). Вот хром:

Скрытый текст
@RTFM13
31.08.2026 09:03 UTC
0

А есть доверие к этим логам?

31.08.2026 09:39 UTC
0

Точно такое же как и к другим аналогичным логам. Пока не обнаружен сертификат которого нет в логах - доверяем.

31.08.2026 12:33 UTC
0

Пока не обнаружен сертификат которого нет в логах - доверяем.

"Доверять, пока не будет доказано обратное", очень странный подход, когда речь идёт о кибербезе.

31.08.2026 12:35 UTC
+1

Система так устроена. У всех. Да и методов проверки логов того же GlobalSign как-то не наблюдается. Странно требовать больше чем во всем мире есть.

31.08.2026 13:12 UTC
+1

Я в курсе как устроена отрасль и что у всех так. :(

Поэтому, надо стараться не забывать проговаривать, как именно это устроено и что "правильного" варианта и гарантированной надёжности нет - везде говно, просто разных сортов.

31.08.2026 13:25 UTC
0

Какая система? Две кнопки нажать для создания профиля в огнелисе может даже условная домохозяйка. Продвинутая домохозяйка организует там белый список. Попутно решится куча других проблем.

Во всём мире (даже в Гондурасе) ютуб работает.

31.08.2026 13:33 UTC
0

Две кнопки нажать для создания профиля в огнелисе может даже условная домохозяйка.

В реальном мире, этого никогда не будет происходить.

Речь именно о том, что вся система устроена из инфантильных хотелок задротов о том, что каждый человек может что-то подкрутить и настроить, но у людей, в отличии от задротов, есть дргие дела и компьютер это инструмент для их решения, а не смысл жизни.

31.08.2026 13:40 UTC
0

Я это написал в комментариях к вполне конкретному посту на конкретную тему. Т.е. всех кому тема не интересна мы уже отсеяли и обращаемся к в вашей терминологии "инфантильным задротам", которые не только после туалета руки моют, но и после тындекса куки чистят (условно). Давайте исходить из этого.

31.08.2026 14:08 UTC
0

"инфантильным задротам", которые не только после туалета руки моют, но и после тындекса куки чистят (условно)

Я из этого и исхожу, и стараюсь доносить до инфантильных задротов, что зацикливаться на Яндексе это признак не очень большого ума.

Современный интернет таков, что жопа в нём может быть за любым движением мышки, и зацикливаться на Яндексе это самого себя делать беззащитным.

Это всё гораздо большая проблема.

01.09.2026 12:17 UTC
0

зацикливаться

Перечитайте вниматочно. Обратите внимание на слово в скобках.

31.08.2026 14:12 UTC
0

Разница только в том, что если в GlobalSign найдут это, то его уберут из браузеров, как минимум Chrome и Firefox (Safari скорее всего оставят).

А если что-то найдется для минцифры, то ничего не произойдет.

31.08.2026 14:23 UTC
0

Точно? А доказать как-нибудь сможете?

Доказывать надо оба утверждения.

31.08.2026 14:30 UTC
+1

Например, летом 2024 года Google объявила об исключении Entrust из Chrome Root Store. Браузер перестал доверять всем новым TLS-сертификатам от этой компании. Причиной стали систематические нарушения комплаенса, ошибочный выпуск сертификатов и неспособность оперативно устранять проблемы с безопасностью. Также отзывали Chunghwa Telecom, Netlock, Symantec и другие.

Сертификата минцифры нет в бразерах (кроме яндекса), поэтому их вряд ли кто отслеживает. Если, конечно, будет много шума, то программно могут отозвать. Но людям не понравится, ведь сайты перестанут быть доступными.

Это не доказательства, это мысли. Я не думаю, что Вам лично что-то можно доказать и я даже пытаться не буду. Считайте это моим мнением.

31.08.2026 15:00 UTC
0

Доказывать надо не мне, а ваши тезисы. К одинаковым сервисам относиться по разному на основании измерения формы черепа владельца сервиса такое себе.

Ваша ссылка дает некоторые доводы в пользу одного вашего тезиса и ничего не говорит про второй.

31.08.2026 13:34 UTC
-1

Кем не обнаружен? ЯБ у которого и так репутация ниже дна?

Вроде конторы которые это делают уже достаточно себя отрицательно зарекомендовали.

@keenx
31.08.2026 23:20 UTC
+1

ГОСТовый сертификат от Минцифры не показывает, только RSA.

01.09.2026 07:27 UTC
0

Ой. Пошел изучать. Для меня ГОСТ это неизведанный мир.

01.09.2026 21:25 UTC
+1

ГОСТ сертификаты не добавляются в CT логи

02.09.2026 14:37 UTC
0

Жаль. Для Яндекс Браузера это вполне валидные сертификаты, не привлекающие особого внимания пользователя.