V Kazachstánu několik velkých poskytovatelů zavedlo zachytávání HTTPS provozu

V souladu se změnami platnými v Kazachstánu od roku 2016 zákon o komunikacích, mnozí kazašští poskytovatelé, včetně Kcell,
Beeline, Tele2 a Altel, od dnešního dne zavádějí systémy pro odposlech HTTPS provozu zákazníků se změnou původně použitého certifikátu. Původně se plánovalo zavést odposlechy v roce 2016, ale tato operace byla neustále odkládána a zákon byl už považován za formální. Odposlech se provádí pod záminkou zájmů o bezpečnost uživatelů a jejich ochrany před potenciálně nebezpečným obsahem.

Aby se v prohlížečích odstranila upozornění na použití neplatného certifikátu, bylo uživatelům nařízeno nainstalovat na své systémy „národní bezpečnostní certifikát“, který se používá při přenosu zabezpečeného provozu na zahraniční weby (například už se zaznamenává změna provozu na Facebook).

Při navazování TLS spojení je skutečný certifikát cílové webové stránky nahrazen dynamicky vygenerovaným novým certifikátem, který bude označen prohlížečem jako důvěryhodný, pokud byl „národní bezpečnostní certifikát“ přidán uživatelem do úložiště kořenových certifikátů, neboť falešný certifikát je spojen s „národním bezpečnostním certifikátem“ řetězcem důvěry.

V podstatě je v Kazachstánu zcela kompromitována ochrana poskytovaná protokolem HTTPS a všechny HTTPS požadavky z pohledu možnosti sledování a odposlechu provozu tajnými službami se nijak neliší od HTTP. Kontrolovat zneužití v takovém schématu je nemožné, včetně případů, kdy se klíče šifrování spojené s „národním bezpečnostním certifikátem“ dostanou do jiných rukou v důsledku úniku.

Vývojáři prohlížečů zvažují návrh přidali používaný certifikát pro odposlech do seznamu odvolaných certifikátů (OneCRL), jak nedávno učinila Mozilla přijato s certifikáty certifikační autority DarkMatter. Účel této operace však není zcela jasný (v předchozích diskuzích byl považován za zbytečný), protože v případě "národního bezpečnostního certifikátu" tento certifikát není původně zahrnut do řetězců důvěry a bez instalace certifikátu uživatelem prohlížeče se varování zobrazuje. Na druhou stranu absence reakce ze strany výrobců prohlížečů může podnítit zavedení podobných systémů v jiných zemích. Jako možnost je také navrženo realizovat nový indikátor pro lokálně nainstalované certifikáty, které byly odhaleny při MITM útocích.

Zdroj: opennet.ru