Разработчик создал форк браузера Fenix для Android под названием matre$ka, который решает проблему несовместимости с некоторыми сайтами, использующими цепочки сертификатов Russian Trusted. В стандартной сборке Firefox для Android такие соединения часто прерываются на этапе проверки сертификата, тогда как в Яндекс Браузере или браузерах с нативной поддержкой ГОСТ они работают корректно. Новый проект внедряет ограниченную поддержку российских центров сертификации и предоставляет пользователю интерфейс, отображающий момент активации дополнительного доверия. Важно понимать, что данная модификация не устраняет угрозы типа man-in-the-middle и не делает посещаемые сайты автоматически безопасными; она лишь расширяет модель доверия браузера, позволяя принимать определенные цепочки, которые ранее отклонялись.
При проверке HTTPS-соединения браузер анализирует сертификат сервера, промежуточные сертификаты и доверенный корень. Добавление новых корневых сертификатов в хранилище браузера меняет множество цепочек, которые могут быть приняты системой. В проекте matre$ka встроены два российских корневых сертификата, которые используются для построения цепочек доверия для явно перечисленных хостов. Кроме того, реализован механизм fallback для доменов с зонами .ru и .рф: даже если конкретный хост отсутствует в списке, цепочка будет проверяться на соответствие встроенным корням. При этом произвольные самоподписанные сертификаты или любые другие сертификаты, присланные сервером, не становятся доверенными автоматически.
Техническая реализация патча основана на изменении проверки цепочки внутри GeckoView. Конфигурация собирается из трех источников: встроенного списка, удаленного списка хостов и пользовательских записей. Удаленные обновления могут дополнять список хостов, но не могут добавлять новые корневые сертификаты, которые остаются зафиксированными внутри APK. Это предотвращает незаметное внедрение новых CA злоумышленниками через сервер списков. Android-часть приложения передает компактный бандл конфигурации в GeckoView через специальный API, где применяется логика доверия только для подходящих хостов. Обычная проверка валидности цепочки при этом остается обязательной.
Для пользователей, посещающих сайты на российских доменах, браузер может отображать янтарный индикатор, сигнализирующий о работе списка хостов и сценария сертификатов. Этот индикатор не является оценкой репутации сайта и не гарантирует отсутствие вредоносного поведения или перехвата трафика. Проект также включает отдельный контекст хранения данных для новых вкладок на российских хостах, который изолирует cookies и часть web storage, но не разделяет общий профиль, кэш и разрешения. Разработчик предупреждает, что любой новый trust anchor увеличивает поверхность доверия, и риски сохраняются, если закрытый ключ CA скомпрометирован или пользователь установит подмененное приложение. Сборка является экспериментальной, не поддерживается Mozilla и требует независимого аудита кода и сверки сертификатов перед использованием, особенно для финансовых операций.
