, и mengumumkan penempatan “» ke daftar pencabutan sertifikat. Menggunakan sertifikat akar ini sekarang akan menghasilkan peringatan keamanan di Firefox, Chrome/Chromium, dan Safari, serta produk turunannya berdasarkan kodenya.
Mari kita ingat bahwa pada bulan Juli di Kazakhstan ada pemasangan kontrol pemerintah atas lalu lintas aman ke situs asing dengan dalih melindungi pengguna. Pelanggan sejumlah penyedia besar diperintahkan untuk memasang sertifikat root khusus di komputer mereka, yang memungkinkan penyedia secara diam-diam mencegat lalu lintas terenkripsi dan masuk ke koneksi HTTPS.
Pada saat yang sama ada mencoba menggunakan sertifikat ini dalam praktiknya untuk memalsukan lalu lintas ke Google, Facebook, Odnoklassniki, VKontakte, Twitter, YouTube, dan sumber daya lainnya. Ketika koneksi TLS dibuat, sertifikat sebenarnya dari situs target digantikan oleh sertifikat baru yang dibuat dengan cepat, yang ditandai oleh browser sebagai dapat dipercaya jika “sertifikat keamanan nasional” ditambahkan oleh pengguna ke penyimpanan sertifikat akar , karena sertifikat tiruan tersebut dihubungkan oleh rantai kepercayaan dengan “sertifikat keamanan nasional”. Tanpa memasang sertifikat ini, tidak mungkin membuat koneksi aman dengan situs-situs yang disebutkan tanpa menggunakan alat tambahan seperti Tor atau VPN.
Upaya pertama untuk memata-matai koneksi aman di Kazakhstan dilakukan pada tahun 2015, ketika pemerintah Kazakh memastikan bahwa sertifikat akar dari otoritas sertifikasi yang dikontrol disertakan dalam penyimpanan sertifikat akar Mozilla. Audit tersebut mengungkapkan niat untuk menggunakan sertifikat ini untuk memata-matai pengguna dan aplikasi tersebut ditolak. Setahun kemudian di Kazakhstan ada
amandemen Undang-Undang “Tentang Komunikasi”, yang mewajibkan pemasangan sertifikat oleh pengguna sendiri, namun dalam praktiknya, pemberlakuan sertifikat ini baru dimulai pada pertengahan Juli 2019.
Dua minggu lalu, diperkenalkannya “sertifikat keamanan nasional” dengan penjelasan bahwa ini hanya menguji teknologinya. Penyedia diinstruksikan untuk berhenti menerapkan sertifikat pada pengguna, namun dalam waktu dua minggu setelah penerapan, banyak pengguna Kazakh yang telah menginstal sertifikat tersebut, sehingga potensi intersepsi lalu lintas tidak hilang. Dengan berakhirnya proyek ini, risiko jatuhnya kunci enkripsi yang terkait dengan “sertifikat keamanan nasional” ke tangan lain akibat kebocoran data juga meningkat (sertifikat yang dihasilkan berlaku hingga tahun 2024).
Sertifikat yang diberlakukan dan tidak dapat ditolak melanggar skema verifikasi pusat sertifikasi, karena instansi yang menghasilkan sertifikat tersebut tidak menjalani audit keamanan, tidak menyetujui persyaratan pusat sertifikasi dan tidak wajib mengikuti aturan yang telah ditetapkan, yaitu. dapat menerbitkan sertifikat untuk situs apa pun kepada pengguna mana pun dengan dalih apa pun.
Mozilla berpendapat bahwa aktivitas tersebut merusak keamanan pengguna dan bertentangan dengan prinsip keempat , yang menganggap keamanan dan privasi sebagai faktor fundamental.
Sumber: opennet.ru