कजाकिस्तान में लागू किया जा रहा "राष्ट्रीय प्रमाणपत्र" फ़ायरफ़ॉक्स, क्रोम और सफारी में अवरुद्ध है

गूगल, मोज़िला и Apple की नियुक्ति की घोषणा कीराष्ट्रीय सुरक्षा प्रमाणपत्र»प्रमाणपत्र निरस्तीकरण सूचियों के लिए। इस रूट प्रमाणपत्र का उपयोग करने से अब फ़ायरफ़ॉक्स, क्रोम/क्रोमियम और सफारी के साथ-साथ उनके कोड के आधार पर व्युत्पन्न उत्पादों में सुरक्षा चेतावनी मिलेगी।

आइए याद करें कि जुलाई में कजाकिस्तान में हुआ था एक प्रयास किया गया था उपयोगकर्ताओं की सुरक्षा के बहाने विदेशी साइटों पर सुरक्षित यातायात पर सरकारी नियंत्रण स्थापित करना। कई बड़े प्रदाताओं के ग्राहकों को अपने कंप्यूटर पर एक विशेष रूट प्रमाणपत्र स्थापित करने का आदेश दिया गया था, जो प्रदाताओं को एन्क्रिप्टेड ट्रैफ़िक को चुपचाप रोकने और HTTPS कनेक्शन में शामिल करने की अनुमति देगा।

उसी समय वहाँ थे दर्ज की गई Google, Facebook, Odnoklassniki, VKontakte, Twitter, YouTube और अन्य संसाधनों पर ट्रैफ़िक को ख़राब करने के लिए इस प्रमाणपत्र का व्यवहार में उपयोग करने का प्रयास किया जाता है। जब एक टीएलएस कनेक्शन स्थापित किया गया था, तो लक्ष्य साइट के वास्तविक प्रमाणपत्र को तुरंत उत्पन्न एक नए प्रमाणपत्र द्वारा प्रतिस्थापित किया गया था, जिसे ब्राउज़र द्वारा भरोसेमंद के रूप में चिह्नित किया गया था यदि उपयोगकर्ता द्वारा रूट प्रमाणपत्र स्टोर में "राष्ट्रीय सुरक्षा प्रमाणपत्र" जोड़ा गया था। , चूंकि डमी प्रमाणपत्र विश्वास की एक श्रृंखला द्वारा "राष्ट्रीय सुरक्षा प्रमाणपत्र" से जुड़ा हुआ था। इस प्रमाणपत्र को स्थापित किए बिना, टोर या वीपीएन जैसे अतिरिक्त टूल का उपयोग किए बिना उल्लिखित साइटों के साथ एक सुरक्षित कनेक्शन स्थापित करना संभव नहीं था।

कजाकिस्तान में सुरक्षित कनेक्शन पर जासूसी करने का पहला प्रयास 2015 में किया गया था, जब कजाख सरकार ने ऐसा किया था कोशिश की सुनिश्चित करें कि नियंत्रित प्रमाणन प्राधिकरण का रूट प्रमाणपत्र मोज़िला रूट प्रमाणपत्र स्टोर में शामिल है। ऑडिट में इस प्रमाणपत्र का उपयोग उपयोगकर्ताओं की जासूसी करने के इरादे से किया गया और आवेदन अस्वीकार कर दिया गया। एक साल बाद कजाकिस्तान में थे
को स्वीकृत "संचार पर" कानून में संशोधन, जिसमें उपयोगकर्ताओं द्वारा स्वयं प्रमाणपत्र स्थापित करने की आवश्यकता है, लेकिन व्यवहार में, इस प्रमाणपत्र का प्रवर्तन केवल जुलाई 2019 के मध्य में शुरू हुआ।

दो सप्ताह पहले, "राष्ट्रीय सुरक्षा प्रमाणपत्र" की शुरूआत यह था रद्द इस स्पष्टीकरण के साथ कि यह केवल प्रौद्योगिकी का परीक्षण था। प्रदाताओं को उपयोगकर्ताओं पर प्रमाणपत्र थोपना बंद करने का निर्देश दिया गया था, लेकिन कार्यान्वयन के दो सप्ताह के भीतर, कई कज़ाख उपयोगकर्ताओं ने पहले ही प्रमाणपत्र स्थापित कर लिया था, इसलिए ट्रैफ़िक अवरोधन की संभावना गायब नहीं हुई। परियोजना के समापन के साथ, डेटा रिसाव के परिणामस्वरूप "राष्ट्रीय सुरक्षा प्रमाणपत्र" से जुड़ी एन्क्रिप्शन कुंजी के दूसरे हाथों में पड़ने का खतरा भी बढ़ गया है (जनरेट किया गया प्रमाणपत्र 2024 तक वैध है)।

एक थोपा हुआ प्रमाणपत्र जिसे अस्वीकार नहीं किया जा सकता है, प्रमाणन केंद्रों के लिए सत्यापन योजना का उल्लंघन करता है, क्योंकि इस प्रमाणपत्र को बनाने वाले प्राधिकारी ने सुरक्षा ऑडिट नहीं किया था, प्रमाणन केंद्रों की आवश्यकताओं से सहमत नहीं था और स्थापित नियमों का पालन करने के लिए बाध्य नहीं है, अर्थात। किसी भी बहाने से किसी भी उपयोगकर्ता को किसी भी साइट के लिए प्रमाणपत्र जारी कर सकता है।
मोज़िला का मानना ​​है कि ऐसी गतिविधि उपयोगकर्ता सुरक्षा को कमज़ोर करती है और चौथे सिद्धांत के विपरीत है मोज़िला घोषणापत्र, जो सुरक्षा और गोपनीयता को मूलभूत कारक मानता है।

स्रोत: opennet.ru