, и أعلن عن تعيين "» إلى قوائم إبطال الشهادات. سيؤدي استخدام شهادة الجذر هذه الآن إلى ظهور تحذير أمني في Firefox وChrome/Chromium وSafari، بالإضافة إلى المنتجات المشتقة بناءً على التعليمات البرمجية الخاصة بها.
أذكر أنه في يوليو في كازاخستان كان هناك تثبيت سيطرة حكومية على حركة المرور الآمنة إلى المواقع الأجنبية بحجة حماية المستخدمين. أُمر المشتركون في عدد من كبار مقدمي الخدمة بتثبيت شهادة جذر خاصة على أجهزة الكمبيوتر الخاصة بهم، مما يسمح لمقدمي الخدمة باعتراض حركة المرور المشفرة بهدوء والدخول في اتصالات HTTPS.
وفي نفس الوقت كان هناك يحاول استخدام هذه الشهادة عمليًا لانتحال حركة المرور إلى Google وFacebook وOdnoklassniki وVKontakte وTwitter وYouTube وغيرها من الموارد. عندما تم إنشاء اتصال TLS، تم استبدال الشهادة الحقيقية للموقع المستهدف بشهادة جديدة تم إنشاؤها بسرعة، والتي تم وضع علامة عليها من قبل المتصفح على أنها جديرة بالثقة إذا تمت إضافة "شهادة الأمن القومي" من قبل المستخدم إلى مخزن الشهادات الجذر حيث أن الشهادة الوهمية كانت مرتبطة بسلسلة ثقة بـ”شهادة الأمن القومي”. بدون تثبيت هذه الشهادة، لم يكن من الممكن إنشاء اتصال آمن مع المواقع المذكورة دون استخدام أدوات إضافية مثل Tor أو VPN.
جرت المحاولات الأولى للتجسس على الاتصالات الآمنة في كازاخستان في عام 2015، عندما قامت الحكومة الكازاخستانية تأكد من تضمين الشهادة الجذرية للمرجع المصدق الخاضع للرقابة في مخزن شهادات الجذر Mozilla. وكشف التدقيق عن نية استخدام هذه الشهادة للتجسس على المستخدمين وتم رفض الطلب. وبعد عام كان هناك في كازاخستان
تعديلات على قانون "الاتصالات"، تتطلب تثبيت شهادة من قبل المستخدمين أنفسهم، ولكن من الناحية العملية، لم يبدأ إنفاذ هذه الشهادة إلا في منتصف يوليو 2019.
قبل أسبوعين طرح «شهادة الأمن الوطني» مع توضيح أن هذا كان مجرد اختبار للتكنولوجيا. تم توجيه مقدمي الخدمة بالتوقف عن فرض الشهادات على المستخدمين، ولكن في غضون أسبوعين من التنفيذ، كان العديد من المستخدمين الكازاخستانيين قد قاموا بالفعل بتثبيت الشهادة، لذلك لم تختف احتمالية اعتراض حركة المرور. ومع انتهاء المشروع، زاد أيضًا خطر وقوع مفاتيح التشفير المرتبطة بـ "شهادة الأمن القومي" في أيدي أخرى نتيجة لتسرب البيانات (الشهادة التي تم إنشاؤها صالحة حتى عام 2024).
إن الشهادة المفروضة التي لا يمكن رفضها تنتهك نظام التحقق الخاص بمراكز التصديق، حيث أن السلطة التي أصدرت هذه الشهادة لم تخضع لتدقيق أمني، ولم توافق على متطلبات مراكز التصديق وغير ملزمة باتباع القواعد المعمول بها، أي. يمكن إصدار شهادة لأي موقع لأي مستخدم تحت أي ذريعة.
تعتقد موزيلا أن مثل هذا النشاط يقوض أمن المستخدم ويتعارض مع المبدأ الرابع ، والتي تعتبر الأمن والخصوصية عاملين أساسيين.
المصدر: opennet.ru