In Kasachstan haben mehrere große Anbieter die HTTPS-Datenüberwachung implementiert

In Übereinstimmung mit den seit 2016 in Kasachstan geltenden Änderungen zum Gesetz "Über die Kommunikation" haben viele kasachische Anbieter, einschließlich Kcell,
Beeline, Tele2 und Altel, ab heute Systeme zur Abhörung von HTTPS-Datenverkehr der Kunden mit Ersetzung des ursprünglich verwendeten Zertifikats eingeführt. Ursprünglich war geplant, das Abhörsystem im Jahr 2016 einzuführen, doch diese Operation wurde immer wieder verschoben, und das Gesetz wurde bereits als formal wahrgenommen. Das Abhören erfolgt unter dem Vorwand sich um die Sicherheit der Nutzer zu kümmern und sie vor bedrohlichen Inhalten zu schützen. Um die Warnung über die Verwendung eines ungültigen Zertifikats in den Browsern abzuschalten, müssen die Nutzer

verpflichtend den " nationalen Sicherheitszertifikat" installieren, das bei der Übertragung geschützten Datenverkehrs zu ausländischen Webseiten verwendet wird (beispielsweise wird bereits eine Umleitung des Datenverkehrs zu Facebook festgestellt).Bei der Herstellung einer TLS-Verbindung wird das echte Zertifikat der Zielwebsite durch ein neu generiertes, automatisch erzeugtes Zertifikat ersetzt, das vom Browser als vertrauenswürdig markiert wird, wenn das "nationale Sicherheitszertifikat" vom Nutzer im Stammzertifikatsspeicher hinzugefügt wurde, da das Ersatzzertifikat über eine Vertrauensbeziehung mit dem "nationalen Sicherheitszertifikat" verbunden ist.

Im Wesentlichen ist der durch das HTTPS-Protokoll gebotene Schutz in Kasachstan vollständig kompromittiert, und alle HTTPS-Anfragen unterscheiden sich hinsichtlich der Möglichkeit des Abhörens und der Datenmanipulation durch Sicherheitsbehörden wenig von HTTP. Missbrauch in einem solchen Schema kann nicht kontrolliert werden, insbesondere wenn die mit dem "nationalen Sicherheitszertifikat" verbundenen Verschlüsselungsschlüssel durch ein Leck in andere Hände gelangen.

Browser-Entwickler

überlegen, das zur Abhörung verwendete Stammzertifikat in die Liste der widerrufenen Zertifikate (OneCRL) aufzunehmen, wie es kürzlich Mozilla Vorschlag getan hat. eingegangen mit den Zertifikaten des Zertifizierungszentrums DarkMatter. Der Sinn solcher Operationen bleibt jedoch etwas unklar (in früheren Diskussionen wurde er als nutzlos erachtet), da das 'nationale Sicherheitszertifikat' von Anfang an nicht von Vertrauensketten abgedeckt ist und ohne die Installation des Zertifikats durch den Nutzer die Browser ohnehin eine Warnung ausgeben. Andererseits könnte das Fehlen einer Reaktion seitens der Browserhersteller die Einführung solcher Systeme in anderen Ländern anregen. Als Alternative wird auch vorgeschlagen, einen neuen Indikator für lokal installierte Zertifikate zu implementieren, die in MITM-Angriffe verwickelt sind.

Quelle: opennet.ru