, и najavio plasman “» na liste opoziva certifikata. Korištenje ovog korijenskog certifikata sada će rezultirati sigurnosnim upozorenjem u Firefoxu, Chromeu/Chromiumu i Safariju, kao i izvedenim proizvodima na osnovu njihovog koda.
Podsjetimo da je u julu u Kazahstanu bilo uvođenje državne kontrole nad sigurnim prometom na strane stranice pod izgovorom zaštite korisnika. Pretplatnicima brojnih velikih provajdera naređeno je da instaliraju poseban root sertifikat na svoje računare, koji bi omogućio provajderima da tiho presreću šifrovani saobraćaj i uglavljuju se u HTTPS veze.
U isto vrijeme bilo ih je pokušava da koristi ovaj sertifikat u praksi za lažiranje saobraćaja na Google, Facebook, Odnoklassniki, VKontakte, Twitter, YouTube i druge resurse. Kada je uspostavljena TLS veza, pravi certifikat ciljne stranice zamijenjen je novim certifikatom generiranim u hodu, koji je preglednik označio kao pouzdan ako je korisnik dodao "nacionalni sigurnosni certifikat" u root spremište certifikata , budući da je lažni certifikat bio povezan lancem povjerenja sa “potvrdom nacionalne sigurnosti”. Bez instaliranja ovog certifikata nije bilo moguće uspostaviti sigurnu vezu sa navedenim stranicama bez korištenja dodatnih alata kao što su Tor ili VPN.
Prvi pokušaji špijuniranja sigurnih veza u Kazahstanu učinjeni su 2015. godine, kada je kazahstanska vlada osigurajte da je korijenski certifikat kontroliranog certifikacijskog tijela uključen u Mozilla root certifikat. Revizija je otkrila namjeru da se ovaj certifikat koristi za špijuniranje korisnika i aplikacija je odbijena. Godinu dana kasnije bilo ih je u Kazahstanu
izmjene i dopune Zakona o komunikacijama, koje zahtijevaju da sami korisnici instaliraju sertifikat, ali je u praksi primjena ovog sertifikata počela tek sredinom jula 2019. godine.
Prije dvije sedmice, uvođenje "sertifikata o nacionalnoj sigurnosti" uz objašnjenje da je ovo samo testiranje tehnologije. Provajderi su dobili instrukcije da prestanu sa nametanjem sertifikata korisnicima, ali u roku od dve nedelje od implementacije, mnogi kazahstanski korisnici su već instalirali sertifikat, tako da potencijal za presretanje saobraćaja nije nestao. Gašenjem projekta povećala se i opasnost da ključevi za enkripciju povezani sa “sertifikatom nacionalne sigurnosti” dođu u druge ruke kao rezultat curenja podataka (generirani certifikat vrijedi do 2024.).
Nametnuti sertifikat koji se ne može odbiti krši šemu verifikacije sertifikacionih centara, jer organ koji je izdao ovaj sertifikat nije prošao bezbednosnu reviziju, nije se saglasio sa zahtevima za sertifikacione centre i nije dužan da poštuje utvrđena pravila, tj. može izdati certifikat za bilo koju stranicu bilo kojem korisniku pod bilo kojim izgovorom.
Mozilla smatra da takva aktivnost podriva sigurnost korisnika i da je u suprotnosti sa četvrtim principom , koji sigurnost i privatnost smatra osnovnim faktorima.
izvor: opennet.ru