"התעודה הלאומית" המיושמת בקזחסטן חסומה בפיירפוקס, כרום וספארי

Google, מוזילה и תפוח עץ הודיעה על הצבת ה"תעודת בטיחות לאומית» לרשימות שלילת האישורים. שימוש בתעודת שורש זה יגרום כעת לאזהרת אבטחה ב-Firefox, Chrome/Chromium ו-Safari, כמו גם מוצרים נגזרים המבוססים על הקוד שלהם.

הבה נזכיר שביולי בקזחסטן היה נעשה ניסיון התקנה של שליטה ממשלתית על תעבורה מאובטחת לאתרים זרים באמתלה של הגנה על משתמשים. מנויים של מספר ספקים גדולים נצטוו להתקין במחשביהם תעודת שורש מיוחדת, שתאפשר לספקים ליירט בשקט תעבורה מוצפנת ולהתכנס לחיבורי HTTPS.

במקביל היו תוקן מנסה להשתמש באישור זה בפועל כדי לזייף תנועה לגוגל, פייסבוק, Odnoklassniki, VKontakte, Twitter, YouTube ומשאבים אחרים. כאשר נוצר חיבור TLS, האישור האמיתי של אתר היעד הוחלף בתעודה חדשה שנוצרה תוך כדי תנועה, אשר סומנה על ידי הדפדפן כאמין אם "תעודת הביטחון הלאומי" הוספה על ידי המשתמש למאגר תעודות השורש. , שכן תעודת הדמה מקושרת בשרשרת אמון עם "תעודת הביטחון הלאומי". ללא התקנת אישור זה, לא ניתן היה ליצור חיבור מאובטח עם האתרים המוזכרים ללא שימוש בכלים נוספים כגון Tor או VPN.

הניסיונות הראשונים לרגל אחר קשרים מאובטחים בקזחסטן נעשו ב-2015, כאשר ממשלת קזחית ניסו ודא שתעודת השורש של רשות האישורים המבוקרת נכללת בחנות אישורי השורש של Mozilla. הביקורת גילתה כוונה להשתמש בתעודה זו כדי לרגל אחרי משתמשים והבקשה נדחתה. שנה לאחר מכן בקזחסטן היו
מְקוּבָּל תיקונים לחוק "על תקשורת", המחייבים התקנת תעודה על ידי המשתמשים עצמם, אך בפועל החלה אכיפת תעודה זו רק באמצע יולי 2019.

לפני שבועיים, הכנסת "תעודת ביטחון לאומי" זה היה מבוטל עם ההסבר שזה רק בדיקת הטכנולוגיה. הספקים קיבלו הוראה להפסיק להטיל אישורים על המשתמשים, אך תוך שבועיים מהטמעה, משתמשים קזחיים רבים כבר התקינו את האישור, כך שהפוטנציאל ליירוט תנועה לא נעלם. עם סיום הפרויקט, עלתה גם הסכנה של נפילת מפתחות הצפנה הקשורים ל"תעודת הביטחון הלאומי" לידיים אחרות כתוצאה מדליפת נתונים (האישור שנוצר בתוקף עד 2024).

תעודה שהוטלה שלא ניתן לסרב לה מפרה את מערך האימות של מרכזי הסמכה, שכן הרשות שהפיקה תעודה זו לא עברה ביקורת ביטחונית, לא הסכימה עם הדרישות למרכזי הסמכה ואינה מחויבת לפעול לפי הכללים שנקבעו, דהיינו. יכול להנפיק אישור עבור כל אתר לכל משתמש בכל תואנה.
מוזילה מאמינה שפעילות כזו מערערת את אבטחת המשתמשים ומנוגדת לעיקרון הרביעי מניפסט מוזילה, הרואה באבטחה ובפרטיות גורמים בסיסיים.

מקור: OpenNet.ru