Kazahsztánban több nagy szolgáltató bevezette az HTTPS-forgalom lehallgatását.

A 2016 óta Kazahsztánban érvényes módosítások szerint a "Kommunikációról szóló törvényhez" számos kazah szolgáltató, köztük Kcell,
Beeline, Tele2 és Altel, a mai naptól beüzemelték a kliens HTTPS forgalmának elfogására szolgáló rendszereket, amelyek az eredetileg használt tanúsítvány helyettesítésével működnek. Az elfogórendszer bevezetését eredetileg 2016-ra tervezték, de ezt a műveletet folyamatosan halasztották, és a törvény már formálisnak számított. Az elfogás a felhasználók biztonságáról való gondoskodás álcája alatt történik, és a tartalommal kapcsolatos fenyegetések elkerülésének szándékát hirdeti.

A hibás tanúsítvány alkalmazásáról szóló figyelmeztetést a böngészőkben való kikapcsolásához a felhasználóknak meg kell felelniük a rendszereikre telepített "nemzeti biztonsági tanúsítvány", amely a védett forgalom továbbításához alkalmazandó külföldi weboldalakhoz (például a Facebook forgalma már megfigyelhetően helyettesítve van).

A TLS kapcsolat során a céloldal valós tanúsítványát egy valós időben generált új tanúsítványra cserélik, amelyet a böngésző megbízhatónak fog jelezni, ha a felhasználó "nemzeti biztonsági tanúsítványát" a gyökér tanúsítványok tárolójába adta, mivel az aláírt tanúsítvány a "nemzeti biztonsági tanúsítványtól" egy bizalmi lánccal van összekapcsolva.

Lényegében Kazahsztánban teljes mértékben kompromittálták a HTTPS protokoll által nyújtott védelmet, és minden HTTPS kérés a forgalom nyomon követésének és helyettesítésének lehetősége szempontjából alig különbözik a HTTP-től. A visszaélések ellenőrzése ilyen rendszeren belül lehetetlen, beleértve a "nemzeti biztonsági tanúsítványra" vonatkozó titkosítási kulcsok más kezekbe kerülését is, amelyek adatszivárgás eredménye.

A böngészőfejlesztők fontolgatják ajánlat a használt elfogó gyökér tanúsítványt hozzáadni a visszavont tanúsítványok listájához (OneCRL), ahogy azt a közelmúltban a Mozilla tette. a DarkMatter tanúsítványhitelesítő központjaival. De ennek a műveletnek a jelentése nem teljesen világos (a korábbi megbeszéléseken haszontalannak találták), mivel a "nemzeti biztonsági tanúsítvány" esetében ez a tanúsítvány eredetileg nem tartozik a megbízhatósági láncok alá, és a felhasználók böngészőikben a tanúsítvány telepítése nélkül is figyelmeztetéseket fog kapni. Másrészt a böngészőgyártók részéről tapasztalható reakció hiánya ösztönözheti hasonló rendszerek bevezetését más országokban. Alternatívaként javasolják egy új mutató bevezetését a helyben telepített tanúsítványok számára, amelyeket MITM-támadások során fedeztek fel.

Forrás: opennet.ru