In Kazakistan, diversi importanti fornitori hanno implementato l'intercettazione del traffico HTTPS.

In conformità con le attuali modifiche in Kazakistan dal 2016 alle legge «Sulla comunicazione», molti fornitori kazaki, tra cui Kcell Beeline,
Tele2, Altel e , a partire da oggihanno messo in funzione sistemi di intercettazione del traffico HTTPS dei clienti sostituendo il certificato originariamente utilizzato. Inizialmente, si prevedeva di implementare il sistema di intercettazione nel 2016, ma l'operazione è stata continuamente rinviata, e la legge è stata già percepita come formale. L'intercettazione avviene sotto le spoglie di una preoccupazione per la sicurezza degli utenti e del desiderio di proteggerli da contenuti pericolosi. Per disattivare la visualizzazione nel browser dell'avviso sull'uso di un certificato non valido, gli utenti

sono obbligati a installare sui propri sistemi il « certificato di sicurezza nazionale», che viene utilizzato per la trasmissione di traffico protetto verso siti web esteri (ad esempio, si sta già registrando una sostituzione del traffico verso Facebook).Quando si stabilisce una connessione TLS, il certificato reale del sito di destinazione viene sostituito con un nuovo certificato generato al volo, che sarà contrassegnato dal browser come valido se il «certificato di sicurezza nazionale» è stato aggiunto dall'utente al deposito dei certificati radice, poiché il certificato fasullo è legato tramite una catena di fiducia al «certificato di sicurezza nazionale».

Di fatto, in Kazakistan è completamente compromessa la protezione offerta dal protocollo HTTPS e tutte le richieste HTTPS, considerando la possibilità di tracciamento e sostituzione del traffico da parte dei servizi segreti, non differiscono sostanzialmente da HTTP. Controllare gli abusi in tale schema è impossibile, incluso il rischio che le chiavi di crittografia legate al «certificato di sicurezza nazionale» finiscano in altre mani a causa di una fuga di dati.

aggiungere il certificato radice utilizzato per l'intercettazione all'elenco dei certificati revocati (OneCRL), come recentemente ha fatto Mozilla

Gli sviluppatori dei browser stanno considerando proposta aggiungere il certificato radice utilizzato per l'intercettazione nell'elenco dei certificati revocati (OneCRL), come recentemente fatto da Mozilla ricevuto con i certificati dell'authority di certificazione DarkMatter. Tuttavia, il significato di tale operazione non è del tutto chiaro (nelle discussioni precedenti è stato ritenuto inutile), poiché nel caso del "certificato nazionale di sicurezza" questo certificato non è inizialmente coperto dalle catene di fiducia e senza l'installazione del certificato da parte dell'utente, i browser mostrano comunque un avviso. D'altro canto, la mancanza di reazioni da parte dei produttori di browser potrebbe stimolare l'implementazione di sistemi simili in altri paesi. Come opzione, si propone anche di realizzare un nuovo indicatore per i certificati installati localmente coinvolti in attacchi MITM.

Fonte: opennet.ru