В Казахстан редица големи доставчици внедряват прихващане на HTTPS трафика

В съответствие с действащите в Казахстан от 2016 година поправки к закона „За връзките“, много казахски доставчици, включително Kcell,
Beeline, Tele2 и Altel, от днес ввели в експлоатация системи за прихващане на HTTPS трафик на клиентите с подмяна на първоначално използвания сертификат. Първоначално системата за прихващане беше планирана за внедряване през 2016 година, но тази операция постоянно се отлагаше и законът вече започна да се възприема като формален. Прихващането се осъществява под формата на грижа за сигурността на потребителите и желание да ги предпази от съдържание, което представлява заплаха.

За изключване на предупреждението за използване на невалиден сертификат в браузърите, потребителите са задължени да инсталират на своите системи „националния сертификат за сигурност“, който се прилага при предаване на защитен трафик към чужди сайтове (например, вече се регистрира подмяна на трафика към Facebook).

При установяване на TLS връзка, реалният сертификат на целевия сайт се заменя сгенерирания на момента нов сертификат, който ще бъде обозначен от браузъра като валиден, ако „националния сертификат за сигурност“ е добавен от потребителя в хранилището на кореновите сертификати, тъй като подмененият сертификат е свързан с верига на доверие с „националния сертификат за сигурност“.

По същество в Казахстан напълно е компрометирана защитата, предоставяна от протокола HTTPS, и всички HTTPS заявки по отношение на възможността за проследяване и подмяна на трафика от специални служби не се различават много от HTTP. Контролирането на злоупотреби в такава схема е невъзможно, в това число и при попадането на свързаните с „националния сертификат за сигурност“ ключове за шифроване в други ръце в резултат на изтичане.

Разработчиците на браузъри обмислят предложение да добавят използвания за прихващане коренов сертификат в списъка на отзованите сертификати (OneCRL), както наскоро направи Mozilla постъпи с сертификатите на удостоверяващия център DarkMatter. Но идеята на тази операция не е съвсем ясна (в предишни обсъждания я считаха за безполезна), тъй като в случая с "националния сертификат за сигурност" този сертификат първоначално не е обхванат от веригите на доверие и без инсталиране на сертификата от потребителя браузерите също така показват предупреждение. От друга страна, липсата на реакция от страна на производителите на браузъри може да стимулира внедрението на подобни системи в други държави. Като вариант се предлага също да бъде реализиран нов индикатор за локално инсталираните сертификати, засечени в MITM-атаки.

Източник: opennet.ru